Реализация проектов в области ИБ – то направление, тратиться на которое компаниям приходится в любом случае, даже при отсутствии достаточных ИТ-бюджетов. Что, в общем, не удивительно: режим ИБ диктуется, с одной стороны, законодательными нормами, с другой – необходимостью еще большего внимания к конфиденциальной коммерческой информации в кризис. И, наконец, существует риск интернет-угроз, который отменить также невозможно.

Быть может, поэтому ряд аналитиков сходятся во мнении, что в настоящее время рынок ИБ чувствует себя лучше, чем ИТ-рынок в целом. Причем этот тренд останется заметным и в ближайшей перспективе.

Объем российского рынка ПО для обеспечения ИБ в 2008 г. составил, по данным IDC, $211 млн – для сравнения, в целом ИТ-рынок оценивается в $24,26 млрд. Таким образом, доля продаж ИБ-систем в общем объеме рынка ИТ– менее процента. В 2008 г. рынок ИБ-систем в России вырос на 46,7%, сбавив скорость роста почти на 30%. Однако этот рост все равно оказался на 21% больше, чем, например, рынка ПО в целом. При этом, по оценке IDC, 60% российского рынка ИБ делят между собой пять компаний: «Лаборатория Касперского», Eset, Check Point, Symantec и Microsoft.

Сравнительная динамика ИБ-рынка и ИТ-рынка

Источник: IDC, 2009 г.

В ожидании «проблем с законом»

«Закон о персональных данных», который вступает в силу с 1 января 2010 года, стал в последний год ключевой темой обсуждения. Председатель комитета по
информационной безопасности Ассоциации российских банков Александр Велигура отмечает, что до начала 2010 г. компании еще имеют право приводить свои информационные системы в соответствие с требованиями 152-ФЗ, но уже сегодня проводятся предварительные проверки готовности систем. При этом остается много юридических возможностей для того, чтобы оспорить выводы таких проверок даже после начала 2010 г. По его словам, теоретически можно парализовать работу любой структуры, имеющей дело с персональными данными, организовав хотя бы несколько десятков обращений субъектов ПД с требованием предоставить информацию о том, как обрабатываются их данные. В результате - работа учреждения, которое обязано предоставить такую информацию, но которому сделать это будет не просто, может практически остановиться.

Заместитель директора департамента информационной безопасности ФК «Открытие» Игорь Калганов делится, как корпорация готовится к началу действия закона о персональных данных. По его словам, в компании сформированы специальные рабочие группы, которые занимаются предварительной оценкой требуемых объемов и бюджета работ, ведется разработка перечня и категорирование персональных данных, собираются и анализируются исходные данные. ФК «Открытие» также объявила конкурс на выполнение работ по проекту  «Приведение информационных систем персональных данных в соответствие с требованиями федерального закона № 152 – фз». По словам г-на Калганова, ряд вопросов, связанных с исполнением этого закона, требует разрешения, какие-то пункты закона нуждаются в более детальной проработке (к примеру, непонятно, каким должно быть содержание «Аттестата соответствия», как выглядит декларирование соответствия и др.).

Начальник службы информационной безопасности банка «Возрождение» Андрей Грициенко сетует, что помимо уже упомянутых сложностей с хранением персональных данных, которые вскоре коснутся финансовых структур, банки пребывают в ожидании еще одной проблемы: второй волны сокращений персонала. Г-н Грициенко убежден, что на фоне снижения дохода банков подобных сокращений избежать не удастся. В этих непростых условиях тема ИБ становится для банков вдвойне актуальной.

По словам г-на Грициенко, расходы банка на ИБ составляют от 3 до 8% от всех расходов на ИТ. При этом проблемами безопасности занимаются 3% сотрудников банка. Он отметил, что сегодня на рынке ИБ преобладают отдельные специализированные решения, и заказчикам достаточно сложно получить продукт, который одинаково хорошо бы работал в различных областях ИБ. Существующие же на рынке комплексные решения в основном применимы для небольших компаний.

Банк «Возрождение» сегодня применяет продукты и решения ИБ-компаний, занимающих лидирующее положение в своем сегменте. В частности, для обеспечения информационной безопасности при использовании средств электронной почты было внедрено решение InfoWatch Traffic Monitor, которое обладает защищенным хранилищем корпоративного масштаба, возможностью восстановления данных, а также возможностью настройки длительности хранения. Решение позволяет вести полный контроль за перепиской с доказательной базой для расследования инцидентов.

Для обеспечения информационной безопасности при использовании интернета внедрена преактивная система контентной фильтрации трафика Aladdin eSafe Web. Помимо защиты от вирусов, шпионских приложений и URL-фильтрации система предоставляет средства для реализации безопасных политик использования интернет-ресурсов путем «вырезания» вредоносных и подозрительных скриптов из web-страниц, web-почты, тела email; блокирования всех скриптовых вирусов и эксплойтов, а также известных и неизвестных на момент проверки HTML- и HTTP-эксплойтов. Мониторинг и управление событиями ИБ ведется с помощью решения ArcSight ESM. По словам г-на Грициенко, внедрение указанных средств оказалось полезным для систематизации и упорядочения деятельности службы ИБ банка по обеспечению информационной безопасности.

Тема соответствия требованиям закона о персональных денных становится проблемой не только для ИБ-специалистов банков, но и для их коллег из телеком-структур. Директор по проектам ДТБ КЦ МТС Дмитрий Костров отмечает, что сегодня на рынке операторов все более активно проявляется новая бизнес-модель - Telco 2.0 (Mobile 2.0. Web 2.0). Она характеризуется наличием двух цепочек создания стоимости: оператор получает прибыль и от своей абонентской базы, и от провайдеров услуг. Анализ тенденций потребления показывает, что коммуникационный трафик в целом растет, но традиционный телекоммуникационный – падает. За последние пять лет доля операторов связи в коммуникационном трафике уменьшилась с 95 до 50%. Остальное время (и деньги) оттягивают на себя новые игроки и сервисы – Google, Yahoo, Skype, AOL, MSN и т.д.

Соответственно, услуги с добавленной стоимостью станут основной стратегией в рамках обеспечения устойчивого роста бизнеса для операторов и в дальнейшем. При этом ответственность за сохранность персональных данных ложится именно на операторов. Требования закона 152-ФЗ обязывают операторов  при обработке персональных данных принимать необходимые организационные и технические меры, в том числе использовать шифровальные средства для защиты этих данных от неправомерного или случайного доступа, уничтожения, изменения, блокирования, копирования, распространения персональных данных, а также от иных неправомерных действий.

Бороться с ИБ-проблемами сообща

В последнее время заметно стремление отечественных игроков к консолидации в вопросах ИБ – в основном, по отраслевому признаку.Начальник отдела защиты информации Банка Москвы Василий Окулесский говорит о необходимости создания отраслевых сообществ по ИБ. Согласно его оценке, за 4 месяца текущего года было совершено больше преступлений в области ИБ, чем в течение всего прошлого года. «Если мы не будем обмениваться мнениями о том, как мы решаем проблемы, связанные с введением закона о персональных данных, то 1 января следующего года станет для многих специалистов по ИБ черным днем», - отмечает г-н Окулесский.

Основными причинами формирования отраслевых ИБ-сообществ он назвал единство задач по обеспечению ИБ в различных организациях, ограниченность ресурсов подразделений ИБ при высоком уровне сложности поставленных задач и необходимости оперативного взаимодействия при их решении. Положительными примерами действующих отраслевых сообществ по ИБ г-н Окулесский считает технический комитет по информационной безопасности АРБ, сообщество ABISS, сообщество DLP-expert, а также неформальные виртуальные сообщества по ИБ.

Г-н Велигура комментирует, что возглавляемый им комитет по ИБ АРБ является интерфейсом взаимодействия банков с государственными органами в вопросах обеспечения информационной безопасности. В качестве примеров он упоминает взаимодействие с регулятором по сложным проблемам, создание стандартов, обмен опытом, реагирование на инциденты. При этом есть ряд нерешенных вопросов, таких как несистематичность горизонтальных связей между организациями в области ИБ, недостаточная организованность в решении общих проблем. Порой обмен информацией между организациями носит случайный характер. Г-н Велигура считает, что необходима модель систематического взаимодействия, для начала – взаимного информирования о том, что происходит в сообществах в области ИБ. Аналогичная работа – с учетом отраслевой специфики - ведется и в госсекторе, и в телекоме, и на других вертикальных рынках. Выгоды от этого очевидны.

Стандартизация поможет

Российский бизнес в последние годы демонстрирует стремление к использованию методологии процессного управления ИБ на базе международных стандартов, в основе которых лежит риск-менеджмент. В условиях кризиса, который самым серьезным образом сказался на ИТ- и ИБ-бюджетах компаний, этот подход становится, наверное, единственной лучшей практикой, приспособленной к фактическому применению.

По мнению старшего консультанта отдела бизнес-консультирования КПМГ Владислава Павперова, стандартизация – это задача государственная, преследующая в первую очередь защиту национальных интересов. При этом основной акцент – это обеспечение конфиденциальности информации. В России разработка стандартов всегда являлась приоритетом государственных органов – ФСТЭК (Гостехкомиссия России), ФСБ, Госстандарт. Россия понемногу перенимает международные концепции и подход. Но до недавнего времени для нашей страны было не характерно публичное обсуждение стандартов и требований.

Г-н Павперов считает, что стандарты в области ИБ затрагивают множество областей в государственном управлении, бизнесе и общественной жизни. Поэтому при их создании необходимы ориентация на передовые технологии и прогресс, привлечение профессионалов из государственного, частного и общественного секторов. Важен и учет таких факторов, как экономическая целесообразность, масштабируемость, соответствие требованиям законодательства и отраслевой специфики, а также непротиворечивость по сравнению с предыдущими стандартами.

Инструменты ИБ: необходимые и достаточные

По мере распространения широкополосного доступа в интернет возможностей подхватить вирусы становится все больше. По мнению руководителя отдела развития компании «Доктор Веб» Валентина Федотова, интернет сегодня является основным каналом их распространения. При этом он отметил, что глобальные вирусные эпидемии не спешат кануть в лету: они снова возвращаются. В качестве примера он привел эпидемию Win32.HLLW.Shadow (Conficker/Downadup), в наибольшей степени поразившую Китай, Россию и Бразилию. Эта эпидемия имела драматические последствия. По словам г-на Федотова, в результате заражения системы автоматической выписки рецептов во Франции погибли два пациента. Поражение вирусом внутренних сетей ВМС Франции воспрепятствовало получению планов полетов для некоторых экипажей.

Эксперт отмечает, что сегодня мало кто сомневается в необходимости установки антивирусных решений. Но при этом люди все чаще выбирают антивирусные программы, руководствуясь маркетинговыми соображениями. Технологии, использованные в антивирусных программах, могут становиться для пользователей менее значимым аргументом, чем «маркетинговая обертка».  

CIO «Эспроконсалт» Валентин Попов считает обязательным применение специализированных решений для архивирования электронной почты. Он привел ряд примеров, когда в результате потери электронной переписки крупные компании в случае судебных исков не смогли предоставить доказательства своей правоты, соответственно – теряли деньги. Есть и обратные примеры, когда использование архивирования электронной почты позволило корпорациям предоставить электронную переписку суду в качестве аргумента в свою пользу и, соответственно, дало возможность выиграть судебные дела. Однако, по мнению г-на Попова, архивирование электронной почты дает компании преимущества в преодолении не только внешних, но и внутренних рисков. Так, с помощью архивирования проще вести контроль за внутренней перепиской сотрудников, легко находить того, кто допустил ошибку, а в случае необходимости можно формировать быстрые тематические выборки. Более того, г-н Попов убежден, что возможности архивирования электронной почты могут по достоинству оценить HR-менеджеры, решающие, к примеру, задачу формирования нового отдела, и на основании данных электронной почты выбирающие для этих целей сотрудников, поддерживающих дружеские отношения.

Вопрос о том, может ли быть информационная безопасность излишней, также являлся важным для участников дискуссии. Начальник отдела методологии и аудита ФК «Открытие» Михаил Левашов делает вывод, что защита информации и ИТ может считаться достаточной, если: соблюдается правовая основа - как со стороны национальных и международных регуляторов, так договорная; значения рисков ИБ находятся в допустимых пределах; неприемлемые риски непрерывно обрабатываются до того уровня, когда остаточные риски с учетом произведенных на их обработку затрат будут приняты.

Кроме того, достаточным уровень ИБ может считаться в случае, если результаты внутреннего и внешнего аудитов не содержат серьезных нарушений требований ИБ; выявленные недостатки своевременно устраняются; процессы обеспечения ИБ имеют высокий (4-5-й) уровень зрелости. По мнению г-на Левашова, защиту также можно считать достаточной, если дальнейшее увеличение расходов на нее не уменьшает величину остаточного риска вместе с указанными выше затратами.