Експортний контроль програмного забезпечення подвійного призначення: що потрібно знати розробникам

Програмне забезпечення перетинає кордони непомітно. Репозиторій, надісланий до хмарного хостингу, демонстрація іноземному партнеру через відеоконференцію, підрядник в іншій країні, якому надано доступ до системи збирання на читання — кожна з цих ситуацій є потенційною експортною транзакцією за американським законодавством. Для розробників оборонного програмного забезпечення двома регуляторними режимами, що регулюють ці транзакції, є Правила адміністрування експорту (EAR) та Міжнародні правила торгівлі зброєю (ITAR). Неправильна класифікація — це не лише додатковий документообіг; вона може призвести до кримінальних звинувачень, позбавлення привілеїв на експорт та відсторонення від майбутніх державних контрактів. Ця стаття розглядає основні поняття, які повинен розуміти кожен інженер або керівник продукту в компанії, що розробляє оборонне програмне забезпечення, — ще до укладання першої міжнародної угоди або появи першого іноземного громадянина у команді розробників. Посилання на стратегію розробки оборонного ПЗ без ITAR з'являються протягом всієї статті, оскільки рішення щодо класифікації, прийняті на архітектурному етапі, визначають витрати на відповідність протягом усього комерційного життя продукту.

Що робить програмне забезпечення продуктом подвійного призначення за правилами експортного контролю

Термін «подвійне призначення» описує продукт, технологію або програмне забезпечення, що має як комерційні цивільні застосування, так і потенційні військові або розвідувальні. За американським законодавством про експортний контроль, продукти подвійного призначення регулюються EAR, якими керує Бюро промисловості та безпеки (BIS) у складі Міністерства торгівлі. EAR не контролює предмети виключно виходячи з намірів розробника — він контролює предмети, виходячи з їх технічних можливостей. Бібліотека геолокації, що може відстежувати транспортні засоби з точністю до 10 метрів, контролюється незалежно від того, чи цільовим ринком розробника є логістика або управління полем бою.

Конкретно для програмного забезпечення технічні параметри, що слугують підставою для контролю, варіюються залежно від категорії. У категорії криптографії (ECCN 5D002) відповідним параметром є довжина ключа: симетричне шифрування понад 56 біт та асиметричне шифрування понад 512 біт є контрольованими, що охоплює практично кожну криптографічну бібліотеку, що використовується сьогодні. У категорії навігації (ECCN 7D004) відповідним параметром є те, чи обробляє програмне забезпечення дані інерціального вимірювання або сигнали GNSS способами, що перевищують цивільні пороги точності. У категорії датчиків та лазерів (ECCN 6D001, 6D003) параметр стосується того, чи забезпечує програмне забезпечення обробку зображень або сигналів із роздільною здатністю або смугою пропускання, що перевищують встановлені цивільні межі. Класифікація подвійного призначення є технічним визначенням, а не маркетинговим.

Програмне забезпечення, що не перевищує порогів для жодного контрольованого ECCN, класифікується як EAR99 — стандартна класифікація для неконтрольованих комерційних товарів. Програмне забезпечення EAR99, як правило, не вимагає ліцензії на експорт до більшості місць призначення, але на нього все одно поширюються заборони на відправлення до підсанкційних країн і заборонених сторін. Практична складність для оборонних програмних компаній полягає в тому, що один продукт часто містить модулі різних рівнів ECCN: основна логіка програми може бути EAR99, вбудований стек TLS — 5D002, а модуль обробки сигналів — 7D004. Класифікація продукту для цілей експорту визначається найбільш контрольованим компонентом.

EAR vs ITAR: який режим застосовується до вашого продукту

Межа між EAR і ITAR визначається Американським списком боєприпасів (USML) — переліком предметів озброєння та послуг, опублікованим відповідно до ITAR у 22 CFR Частина 121. Якщо програмний продукт був спеціально розроблений або модифікований для військового застосування і підпадає під категорію USML, він підлягає контролю за ITAR — а тягар відповідності суттєво вищий, ніж за EAR. ITAR вимагає реєстрації в Дирекції з контролю торгівлі засобами захисту (DDTC), ліцензії Державного департаменту практично для кожної іноземної передачі, а також детального обліку кожного розкриття. Санкції за порушення ITAR також суворіші за транзакцію, ніж санкції за порушення EAR.

Актуальні для розробників програмного забезпечення категорії USML включають Категорію XI (військова електроніка, яка охоплює радіоелектронну боротьбу, військові радари та програмне забезпечення для військового командування і управління), Категорію XIII (допоміжне військове обладнання, що включає певне програмне забезпечення для стеження та збору розвідувальних даних) і Категорію XV (космічні системи та супутні предмети, що охоплює програмне забезпечення для командування і управління супутниками з військовими застосуваннями). Якщо продукт явно підпадає під одну з цих категорій, реєстрація ITAR не є необов'язковою — це обов'язкова умова для будь-якого іноземного розкриття, включно з демонстрацією продукту іноземному громадянину в американському офісі.

Практичним тестом для визначення режиму є стандарт «спеціально розроблений або модифікований для військового використання». Система C2, розроблена із самого початку для військових операцій і призначена виключно для оборонних відомств, скоріш за все підпадає під ITAR. Та ж сама базова технологія картографування і зв'язку, упакована як комерційний продукт і пропонована службам екстреної допомоги, операторам логістики та військовим клієнтам, імовірніше підпадає під EAR за відповідним кодом ECCN подвійного призначення. Ця відмінність не є суто академічною: стратегічне рішення розробляти оборонне ПЗ без ITAR набуває дедалі більшої популярності серед неамериканських розробників та компаній, що хочуть експортувати до союзних держав без труднощів із ліцензуванням DDTC. Ретельний аналіз USML юристом з експортного контролю перед запуском продукту є єдиним надійним способом встановити, який режим застосовується.

Обмеження на експорт шифрування: EAR 740.17 і правило 64 біт

Обмеження на експорт шифрування за EAR є одним із найбільш поширених питань відповідності для розробників оборонного програмного забезпечення, оскільки кожен сучасний програмний продукт використовує шифрування. Відповідним ECCN є 5D002, який охоплює програмне забезпечення, що реалізує або спеціально призначене для підтримки алгоритмів шифрування з довжиною ключа вище встановлених порогів. AES-128, AES-256, RSA-2048, ECDH із P-256 або P-384, TLS 1.2 та TLS 1.3 — всі є контрольованими за 5D002. SaaS-продукт, що надається повністю через HTTPS, здійснює експорт предмету 5D002 кожного разу, коли браузер іноземного користувача встановлює сесію TLS.

Виключення з ліцензії ENC за EAR 740.17 надає основу для експорту більшості комерційного шифрування без ліцензії на окрему транзакцію. Масові продукти з шифруванням — програмне забезпечення, доступне для роздрібного продажу широкому загалу через стандартні комерційні канали — підпадають під найбільш широкий рівень ENC (Розділ 740.17(b)(3)) без будь-якої попередньої перевірки BIS для більшості місць призначення. Нестандартні або немасові продукти з шифруванням потребують одноразового запиту на перевірку до BIS та NSA перед експортом, після чого слідує щорічне звітування про продажі до певних місць призначення, включно з Росією та Китаєм. Оборонні програмні компанії, що вбудовують власні реалізації шифрування (замість готових бібліотек TLS), повинні класифікувати ці реалізації окремо і можуть зіткнутися з суворішими критеріями відповідності ENC.

«Правило 64 біт» є неофіційним посиланням на поріг у EAR Частина 742.15, що розрізняє загальнодоступний вихідний код шифрування (який не підпадає під EAR за умови належного опублікування) і контрольоване програмне забезпечення. Практичне значення цього правила полягає в тому, що бібліотеки шифрування з відкритим кодом, які розповсюджуються без обмежень, зазвичай перебувають поза юрисдикцією EAR, але як тільки оборонна програмна компанія робить форк однієї з таких бібліотек і обмежує розповсюдження — навіть з міркувань зміцнення безпеки — обмежений форк може знову підпасти під юрисдикцію EAR як контрольований предмет 5D002. Команди розробників, які підтримують приватні форки бібліотек криптографії з відкритим кодом, повинні переконатися, що ці форки перевіряються в рамках аналізу класифікації продукту.

Коди ECCN, що зустрічаються в програмному забезпеченні оборонних технологій

Оборонне програмне забезпечення концентрується навколо невеликої кількості кодів ECCN, і розуміння того, що охоплює кожен з них, дозволяє розробникам виявляти контрольовані модулі на ранніх стадіях проектування. ECCN 5D002 (програмне забезпечення інформаційної безпеки) є найпоширенішим і охоплює будь-які реалізації шифрування, що перевищують мінімальні пороги. ECCN 7D004 охоплює програмне забезпечення для інерціальних навігаційних систем (INS) і приймачів GPS/GNSS, що функціонують за межами цивільних обмежень точності — актуально для будь-якого навігаційного ПЗ, що використовується в системах управління польотом UAV, прецизійному наведенні або управлінні наземними безпілотними транспортними засобами. ECCN 4D001 охоплює програмне забезпечення, спеціально розроблене для збору військових розвідувальних даних, радіотехнічної розвідки або заходів підтримки радіоелектронної боротьби.

ECCN 0D521 є контрольним заходом, доданим у рамках механізму регулювання нових технологій EAR, і охоплює програмне забезпечення, що забезпечує стеження, відстеження місцезнаходження або моніторинг зв'язку фізичних осіб або груп у масштабі. Цей ECCN стає дедалі більш актуальним для оборонного програмного забезпечення, що включає виявлення RF, можливості суміжні з SIGINT, або масштабний аналіз мережевого трафіку. ECCN 3D001 охоплює програмне забезпечення для виробництва напівпровідників та електронних компонентів, що самі по собі контрольовані; він є актуальним для оборонних програмних компаній, що розробляють вбудовану мікропрограму на рівні апаратної абстракції для контрольованих чіпів обробки сигналів. ECCN 2D002 охоплює програмне забезпечення для систем управління верстатами, що використовуються у виробництві зброї — рідше зустрічається в суто програмних продуктах, але актуально для компаній, що продають програмне забезпечення виробникам оборонно-промислової бази.

Програмне забезпечення, що містить модулі в різних категоріях ECCN, вимагає покомпонентного аналізу. Загальна вимога щодо ліцензії на експорт продукту визначається найбільш контрольованим компонентом, але кожен компонент може підпадати під різні виключення з ліцензії. Продукт із модулем шифрування 5D002 та навігаційним модулем 7D004 не може використовувати ENC для ліцензування компонента 7D004 — кожен ECCN має свій власний набір застосовних виключень з ліцензії, перелічених у відповідному записі Списку контролю торгівлі. Для оборонного програмного забезпечення, що входить у формальний процес закупівлі, контрагент зазвичай вимагає копію класифікаційного запису ECCN продукту та застосовних виключень з ліцензії як частину пакету технічної документації.

Ризик умовного експорту: іноземні громадяни в командах розробників

Правило умовного експорту, закріплене у 15 CFR 734.13(a)(2), розглядає розкриття контрольованої за EAR технології або вихідного коду іноземному громадянину на території Сполучених Штатів як експорт до країни громадянства цієї особи. Правило застосовується до розкриття контрольованих предметів шляхом «візуальної перевірки, усного обміну або застосування за кордоном особистих знань або технічного досвіду, набутих у Сполучених Штатах». На практиці це означає, що демонстрація іноземному інженеру-громадянину архітектури системи під контролем 5D002, надання доступу до контрольованого репозиторію або обговорення технічних специфікацій під час архітектурного огляду є подією експорту — такою, що може вимагати ліцензії BIS перед тим, як вона законно може відбутися.

Ризик умовного експорту є найгострішим у командах розробників, до яких входять громадяни країн із суворими вимогами до ліцензування: Китай, Росія та країни, що підпадають під всеосяжні санкції, є найбільш ризикованими національностями для предметів, контрольованих за EAR. Однак правило умовного експорту поширюється на громадян усіх іноземних країн для предметів, контрольованих за ITAR, — для умовних експортів за ITAR немає виключень для союзних держав, хоча для громадян певних держав-союзників за договорами існують виключення з ліцензії. Оборонна програмна компанія, яка надає британському інженеру повний доступ до репозиторію з вихідним кодом під контролем ITAR без ліцензії DDTC, здійснила порушення умовного експорту незалежно від статусу Великобританії як близького союзника США.

Мінімізація ризику умовного експорту вимагає структурованої системи контролю доступу, а не неформальних припущень щодо походження членів команди. Ця система повинна ідентифікувати кожен контрольований предмет у середовищі розробки, категоризувати членів команди за громадянством та імміграційним статусом і відповідати дозволам доступу до вимог ліцензії для кожного предмету. Іноземні громадяни, яким для законної інженерної роботи необхідний доступ до контрольованих предметів, можуть бути авторизовані через ліцензію BIS на умовний експорт (офіційно — «ліцензія EAR на розкриття технологій іноземним громадянам») або, для предметів, контрольованих на нижчому рівні EAR, через виключення з ліцензії, наприклад «Технологія та програмне забезпечення без обмежень» (TSU) там, де це застосовно. Критичний збій, якого слід уникати — ретроспективне виявлення: коли порушення умовного експорту з'ясовується під час державного аудиту, а не шляхом проактивного управління доступом заздалегідь.

Побудова програми відповідності вимогам експортного контролю для малої команди

Програма відповідності не обов'язково має бути великою бюрократичною системою, щоб бути ефективною. Для програмної компанії з менш ніж 50 інженерами основна інфраструктура відповідності складається з чотирьох елементів: обліковий запис класифікації продукту, процедура перевірки заборонених сторін, політика контролю доступу до контрольованих предметів та вимога до щорічного навчання. Кожен з цих елементів може підтримувати один призначений офіцер з питань експортного контролю — зазвичай старший інженер або головний юрисконсульт з відповідною підготовкою — замість окремого відділу відповідності.

Обліковий запис класифікації продукту є основою. Він документує ECCN для кожного програмного модуля, підставу для класифікації, застосовні виключення з ліцензії та дату останнього перегляду. Він повинен оновлюватися кожного разу, коли додається новий модуль або змінюються технічні параметри наявного. Модуль, що починається як EAR99, може стати контрольованим за 5D002 в той момент, коли розробник додає рівень шифрування AES — і обліковий запис класифікації є механізмом, що фіксує цю зміну до того, як команда продажів або партнерств ненавмисно експортує щойно контрольований предмет без ліцензії. Стати субпідрядником НАТО як постачальник програмного забезпечення зазвичай передбачає надання облікового запису класифікації продукту генеральному підряднику як частини процесу відповідності ланцюжка постачання.

Процедура перевірки заборонених сторін повинна виконуватися автоматично для кожного нового клієнта, партнера та каналу розповсюдження. BIS, OFAC та DDTC ведуть окремі списки для перевірки; комерційні інструменти перевірки агрегують всі їх в єдину базу даних з API-доступом. Перевірка повинна здійснюватися в момент створення облікового запису для SaaS-продуктів, під час підписання контракту для локальних розгортань та в момент будь-якої передачі коду або технічної документації третій стороні. Записи про результат кожної перевірки повинні зберігатися п'ять років. Політика контролю доступу до контрольованих предметів у середовищі розробки є внутрішнім аналогом перевірки заборонених сторін — вона відображає контрольовані предмети на персонал, авторизований для доступу до них, і повинна переглядатися кожного разу, коли приєднується новий член команди або змінюється імміграційний статус наявного.

Наслідки невідповідності та способи ініціювання аудитів

BIS проводить аудити відповідності вимогам експортного контролю через свій Офіс з питань забезпечення дотримання законодавства про експорт (OEE). Аудити можуть ініціюватися за доносом конкурента, підозрілою фінансовою транзакцією, позначеною системою відповідності банку, митним записом, що не відповідає експортній ліцензії, або перевіркою відкритих публікацій, таких як патентні заявки або матеріали конференцій, що свідчать про те, що контрольована технічна інформація була розкрита іноземним громадянам. OEE також проводить перевірки у рамках просвітницьких заходів — добровільні огляди відповідності без виявлення порушень — як частину своєї освітньої програми, і компанії, які проактивно беруть участь у таких оглядах, отримують кращу оцінку в ході подальших правозастосовних дій.

Цивільні штрафи за порушення EAR нараховуються за кожне порушення і були підвищені відповідно до Закону про коригування цивільних штрафів на інфляцію до понад 350 000 доларів за транзакцію станом на 2025 рік. Для компанії, яка щотижня здійснювала хмарне розгортання продукту 5D002 для іноземних користувачів без класифікації ENC протягом двох років, штраф за кожне розгортання, застосований до кожного окремого розгортання, може сформувати теоретичну відповідальність, що значно перевищує загальний дохід компанії. На практиці BIS проводить переговори про врегулювання, що враховують розмір компанії, добросовісні зусилля з дотримання вимог і співпрацю зі слідством — але теоретична цифра відповідальності визначає переговори про врегулювання і може мати для стартапу екзистенційні наслідки. Кримінальні санкції за умисні порушення ITAR або EAR сягають 1 мільйона доларів за порушення і 20 років ув'язнення, і можуть застосовуватися до окремих керівників на додаток до корпоративного суб'єкта.

Добровільне самодекларування (VSD) є найпотужнішим інструментом, доступним компанії, що виявила минуле порушення. Настанови BIS з правозастосування у сфері експорту надають розгляду VSD статус основного пом'якшувального фактора, і вирішені VSD зазвичай завершуються відсутністю санкцій або суттєво знижений цивільним штрафом порівняно зі штрафом за те ж порушення, виявлене в ході правозастосовних дій. Процедура VSD передбачає подання первісного повідомлення до OEE протягом п'яти днів після виявлення потенційного порушення з подальшим поданням повного письмового звіту протягом 60 днів. Оборонні програмні компанії, які проводять регулярні внутрішні аудити відповідності та мають задокументовану процедуру VSD, значно краще підготовлені до виживання після виявленого порушення, ніж компанії, що не мають жодної інфраструктури відповідності та жодного аудиторського сліду, що свідчив би про самостійне виявлення порушення, а не про виявлення ззовні.