Сергей Груздев: Мнение о том, что российские компьютеры неплохо защищены — это только миф
CNews.ru: Какие тенденции, на ваш взгляд, повлияли на развитие рынка защиты информации в России в прошедшем и начале текущего года? Сергей Груздев: Если говорить о рынке ИБ в целом, безусловно, значимым, хотя и неоднозначным событием явилось принятие Закона о техническом регулировании. С одной стороны, он отменяет обязательную сертификацию, с другой стороны, Закон о коммерческой тайне так и не был принят, законопроект был отвергнут в третьем чтении. В результате с законодательной точки зрения полной ясности в сфере регулирования государством нашего сектора рынка пока нет, как нет и полномочного государственного органа, отвечавшего бы за такое регулирование. Нет и полноценных органов лицензирования. Именно для нашей компании очень важной вехой послужила смена парадигмы: теперь в понимании большинства людей «безопасность» не является неким абстрактным абсолютным понятием. Безопасность, наконец, стали воспринимать как экономическую категорию, которая связана с теорией управления рисками и может быть, вероятностной, т.е. может зависеть от разных факторов. Второй момент, который хотелось бы отметить: консолидация усилий крупных вендоров в деле обеспечения безопасности. Начало этого процесса запоздало, однако он позволил значительно оживить наш сегмент рынка. Это видно по тому, как люди начали относиться к обсуждению проблем безопасности, с каким интересом они посещают семинары и другие мероприятия на эту тему, насколько «правильные» вопросы они стали задавать. Еще изменения, уже со стороны наших заказчиков. Они осознали, что гораздо проще работать на лицензионных программах, законно пользуясь обновлениями, а не на пиратском софте. Большую роль в этом, кстати, сыграли так надоевшие всем спам и вирусы. Теперь заказчики, вынужденные покупать лицензионное ПО, платят за его поддержку. Это большой сдвиг для рынка защиты информации. Раньше ни мы, ни наши коллеги не работали с теми, у кого стояли нелицензионные программы. Теперь круг наших заказчиков расширился именно за счет того, что они законным путем приобрели программы и теперь могут обращаться к нам. Хотелось бы отметить активную роль ГУ СТМ РФ, которое в последнее время старается не замалчивать проблему кражи корпоративной информации, а выявлять преступления и наказывать нарушителей. Пожалуй, последнее, о чем хотелось бы упомянуть в этой связи: поднимаются российские регионы. Если раньше наши партнеры и заказчики были сосредоточены на территории Московской, Ленинградской, Нижегородской и некоторых других областей, то сейчас география нашей работы распространяется почти на всю Россию (я не говорю сейчас о других государствах). CNews.ru: Как бы вы могли оценить масштаб использования средств 3А в системах защиты корпоративных сетей, контроля и управления доступом в помещения в России и мире в 2003 г.? Чем, по вашему мнению, можно объяснить изменение спроса на подобные решения по сравнению с 2002 г.? Сергей Груздев: О масштабе говорить пока рано, поскольку заказчики только начинают ставить перед собой эти задачи. В 2002 г. в основном наши усилия были направлены на то, чтобы поднять, «просветить» рынок. Судя по количеству пилотных внедрений в 2003 г., нам это удалось. Прошлый год можно назвать годом массового тестирования технологий ААА на российском рынке. Логично «наложить» развитие рынка ААА на рынок СКУД (системы контроля управления доступом). Технология СКУД — тоже сравнительно молодая. Ее массовое внедрение началось только тогда, когда у компаний появились «свободные» деньги: они заняли приличное место на рынке, имеют хороший офис, достаточное количество сотрудников. Итак, если принять число предприятий с внедренными СКУД за 100%, то количество пилотных проектов в области ААА за 2003 г. достигает порядка 3–5%. Казалось бы, мало. Однако для нас самое главное — то, что рынок осознал необходимость применения технологий ААА и, в частности, аппаратной аутентификации, и средства на ее внедрение уже заложены в бюджеты предприятий. Поэтому мы прогнозируем Отмечу, что (как часто это бывает с новыми технологиями) на этапе пилотов они внедряются в рамках одного подразделения (обычно — ИТ или финансового отдела) или, еще чаще, среди Отчасти это забавно, отчасти отвечает реальному положению вещей: ведь с нашими средствами аутентификации у пользователя действительно появляется больше возможностей. Раньше — при том, что теоретически можно было и читать почту из дома, и обращаться к корпоративным ресурсам, будучи в командировке и т.п., эти возможности часто сознательно блокировались В прошлом году, наконец, к заказчикам пришло понимание, что действительно защищенную сеть без применения наших технологий нельзя представить. Если еще года два назад в первую очередь все старались обезопасить себя от наиболее очевидных внешних угроз и устанавливали firewalls, антивирусы и т.д., то на сегодняшний день большинство компаний «дозрело» до осознания необходимости персонализации каждого пользователя информационной системы. Пример: мы защищаем канал VPN. Отлично, канал защищен, можно работать… Стоп! А кто на том конце канала? Свой или чужой?.. Иными словами, пришло понимание того, что необходимо гарантированно аутентифицировать личность пользователя «с другой стороны», причем необязательно только лишь при удаленном доступе, но и при работе непосредственно в организации. Этого можно достичь либо с помощью средств аутентификации, либо организационными мерами — в этом смысле наши средства являются некой альтернативой face control. Надо отметить, что использование аппаратных средств аутентификации способствует облегчению работы пользователя. С одной стороны, внедрение новых платформ, новых технологий (в том числе приложений, поддерживающих использование PKI и цифровых сертификатов) диктует необходимость их применения. А с другой, они, обеспечивая единый вход пользователя в информационную систему, значительно снижают нагрузку на него. Отпадает необходимость помнить множество паролей, больше никто их не записывает на бумажки и не хранит под клавиатурой. CNews.ru: В чем, на ваш взгляд, программные средства аутентификации уступают аппаратным? Произойдет ли, по вашему мнению, возврат к программной аутентификации? Сергей Груздев: С моей точки зрения, противопоставление программных и аппаратных средств аутентификации не совсем правомерно. Применение и одних, и других обусловлено конкретными задачами бизнеса. Часто бывает так, что предприятию просто не нужны аппаратные средства. Если проникновение в сеть «чужого» вообще никак не скажется на делах компании, — конечно, не имеет смысла пользоваться более дорогими аппаратными средствами. Еще раз подчеркну, безопасность — это категория экономическая, и внедрение тех или иных средств для ее обеспечения должно напрямую зависеть от нужд предприятия. CNews.ru: Почему eToken не стал массовой технологией в России? Каковы основные препятствия на пути этого решения? Сергей Груздев: Требования к уровню безопасности определяет бизнес. eToken не станет массовой технологией, да это и не нужно — им будут пользоваться только определенные категории компаний и пользователей. Главное назначение eToken — снижение риска несанкционированного доступа к информации. Эта технология необходима только там, где этот риск угрожает потерей деловой репутации компании, потерей данных, в конечном итоге, денег. Эта технология — элитарная, она не для всех. CNews.ru: Некоторые специалисты в сфере защиты информации считают, что российские компании неплохо защищены от внешних угроз. Слабым звеном системы защиты информации являются внутренние угрозы, исходящие от работников компании. В какой степени Сергей Груздев: «Русские компьютеры неплохо защищены» — миф, сравнимый с мифом о силе и изощренности русских хакеров. Во многих российских организациях компьютеры просто не подключены к интернету. А должной защиты очень часто попросту нет, руководители надеются на обычный русский «авось», не понимая, что слабое звено организации — собственные сотрудники. Нельзя забывать о том, что любая технология — лишь придаток в грамотных и умелых руках. Технические меры по организации информационной безопасности должны идти в ногу с организационными. Что касается риска снижения человеческого фактора с помощью Для угроз от нелояльных пользователей (которых значительно меньше) риски снижаются не напрямую, а опосредованно. Что дает применение средств аутентификации? В первую очередь, возможность доказательства того, что те или иные действия произведены именно этим пользователем. Для того чтобы неправомерные действия были совершены другим лицом, необходимо отдать Еще одно очень важное замечание: по отчетам социологических исследований, в 85% случаев люди не совершали бы противоправных действий, если бы не были уверены в своей безнаказанности. Т.е. преступления вызревают на почве безнаказанности и анонимности. CNews.ru: На какие модели существует больший спрос со стороны государственных учреждений и на какие — со стороны корпоративного сектора? Чем, по вашему мнению, вызван спрос именно на эти решения? Сергей Груздев: Среди государственных организаций существует спрос на топовые модели токенов для Удостоверяющих Центров, органов исполнительной власти. Эти же модели идут и на корпоративный рынок, но для других целей: доступа в корпоративные сети, обеспечения защищенного удаленного доступа, защиты каналов (VPN), защиты ноутбуков для мобильных пользователей. В начале года мы выпустили на рынок модель, совмещенную с CNews.ru: Какая модель из линейки eToken была востребована рынком в 2003 г. в большей степени и почему? Как, на ваш взгляд, изменится спрос на продукты из этой линейки в 2004 г.? Сергей Груздев: В целом динамика такова: сначала компании берут небольшое количество более дешевых и простых моделей для того, чтобы их опробовать. Обычно после этого закупаются топовые модели с большим объемом памяти. Эта тенденция будет сохраняться. Почему? Ответ очень прост: пришло понимание, что не надо экономить на безопасности. Топовые модели более функциональны, они решают большее количество Кроме того, после освоения моделей с RFID-метками повысился интерес к CNews.ru: Недавно Aladdin усилил свою команду менеджеров. Связано ли это с тем, что ваша компания была недовольна результатами деятельности в 2003 году? Сергей Груздев: Конечно, всегда хочется большего. Однако планы компании на 2003 г. были полностью выполнены. На только что прошедшей конференции партнеров Aladdin Knowledge Systems наша компания была названа номером один по активности на рынке и объемам продаж. В то же время, у нас, как всегда, довольно много серьезных планов на будущее. Под их осуществление мы берем новых людей, очень квалифицированных, чтобы они могли выполнить те или иные стоящие перед нами задачи. Усиление команды — не разовая акция, это нормальный постоянный процесс. Если компания постоянно развивается, усиление команды — вечная необходимость. CNews.ru: Какие, на ваш взгляд, перспективные решения в области аутентификации могут появиться в ближайшие 2–3 года? Сергей Груздев: Мы постоянно отслеживаем тенденции нашего сектора рынка. Много информации в этом плане дает посещение крупнейших мероприятий — CeBIT, COMDEX, RSA Conference. Могу сделать вывод, что развитие в этом секторе идет не революционным, а эволюционным путем. С моей точки зрения, можно говорить о перспективности нескольких технологий.
CNews.ru: Спасибо. |
О тенденциях развития российского рынка защиты информации, а также о некоторых распространенных мифах в интервью CNews.ru рассказал Сергей Груздев, генеральный директор Aladdin Software Security R.D.
