Обзор подготовлен

Эдуард Гордеев: «Общие критерии» приведут к повышению уровня предлагаемых на рынке ИБ отечественных решений

О влиянии на рынок информационной безопасности в России «общих критериев», о состоянии этого рынка в настоящее время и перспективах в ближайшем будущем в интервью CNews.ru рассказал Эдуард Гордеев, вице-президент «Корпорации ЮНИ».

CNews.ru: С начала 2004 года вступили в силу стандарты ISO15408. Однако, известно, что между событием и реакцией рынка на это событие проходит некоторое время. Сколько времени, по-вашему, должно пройти, прежде чем рынок «примет» common criteria и начать действовать?

Эдуард Гордеев: Принятие в качестве государственных стандартов ISO 15408 — безусловно, важное событие. Вместе с тем, говорить о практических результатах его применения в российских условиях несколько преждевременно. Я бы также поостерегся делать какие-нибудь временные прогнозы. В этой связи можно лишь отметить, что реакция рынка на это событие, в первую очередь, сопряжена с возросшими ожиданиями всех заинтересованных участников дальнейшей гармонизации отечественных и международных стандартов, регулирующих деятельность в области защиты информации и, как следствие, более активной интеграции российских компаний-интеграторов в международное сообщество.

CNews.ru: Вступление «общих стандартов» в силу — это всего лишь первый шаг российских компаний на пути на международный рынок. В какой, на ваш взгляд, степени необходимо присоединение России к соглашению о взаимном признании результатов сертификации для полноценного присутствия на международном рынке? Как скоро, на ваш взгляд, может состояться такое присоединение?

Эдуард Гордеев: С точки зрения конечного потребителя, факт присоединения России к соглашению о взаимном признании результатов сертификации, безусловно, рассматривается в позитивном ракурсе. Связано это, в первую очередь, с тем, что российский пользователь получит возможность легитимно применять лучшие зарубежные разработки в области информационной безопасности, для него расширится спектр предложений в указанной области. С другой стороны, появляется возможность более полной, технологичной интеграции систем и технологий отечественных организаций и учреждений в зарубежные информационные и телекоммуникационные системы, что будет способствовать более успешному вхождению российского бизнеса в международное экономическое сообщество.

Для отечественных фирм-разработчиков средств и систем защиты информации указанный процесс носит двойственный характер. С одной стороны, лучшие отечественные разработки получат выход на зарубежные рынки информационной безопасности, расширится клиентская база. С другой стороны, на российском рынке произойдет некий «передел» сфер влияния, увеличится конкуренция, следствием чего станет уменьшение спроса на категорию отечественных разработок, уступающих по качеству зарубежным аналогам.

Но и в этом видится некий положительный эффект, который должен привести к повышению уровня предлагаемых на рынок отечественных решений и, в конечном итоге, позволит более полно удовлетворить потребности конечных пользователей.

CNews.ru: Какие угрозы в сфере защиты информации, на ваш взгляд, представляют наибольшую опасность для предприятий корпоративного и государственного сектора?

Эдуард Гордеев: До недавнего времени основными направлениями развития систем информационной безопасности у конечных пользователей являлись решения, направленные на противодействие угрозам, традиционно позиционирующимся как наиболее «опасные»: вирусные атаки, атаки «хакеров» из внешних сетей, несанкционированный доступ к ресурсам и т.д.

В то же время, по нашему мнению, на сегодняшний день очень важным является защита информационных ресурсов и технологий от недобросовестного «легального» пользователя или, как определено в ряде источников, — инсайдера. Защита от указанной угрозы, в сравнении с «традиционным» предметом информационной безопасности, требует принципиально других подходов и технических средств. И именно эта проблема становится все более актуальной как для государственных структур, так и для коммерческих организаций.

CNews.ru: Из уст некоторых специалистов в сфере ИБ можно услышать, что российские государственные организации недостаточно серьезно подходят к обеспечению безопасности своих компьютерных систем. Можно ли согласиться с этим заявлением?

Эдуард Гордеев: Комментировать указанные заявления крайне сложно. Вместе с тем, в этой связи можно было бы остановиться на следующих аспектах:

1. Деятельность государственных организаций в сфере обеспечения информационной безопасности должна осуществляться в полном соответствии с нормативной базой РФ. Вместе с тем, всем известно об определенных пробелах в существующих законах, противоречивости отдельных положений, неопределенностях в отношении ряда вопросов, связанных с деятельностью по информационной безопасности. Это не может не накладывать негативный отпечаток на обеспечение необходимого уровня защищенности ресурсов любой организации.

2. При внедрении систем информационной безопасности конечные пользователи нередко вынуждены самостоятельно решать задачи, связанные с выбором допустимых (в соответствии с нашим законодательством) средств и систем защиты информации и встраиванию их в используемые технологии. Известны случаи, когда пользователь обязан отдавать предпочтение не самому качественному продукту только потому, что отсутствуют необходимые разрешительные документы на его использование в существующих условиях или технологиях. В результате пользователь вынужден использовать «громоздкие», нетехнологичные системы информационной безопасности, решать проблемы по управлению «несовместимыми» средствами в рамках указанной системы.

Все это в совокупности не способствует адекватному важности данного направления деятельности вниманию со стороны не только и не столько государственных организаций, но и частного сектора экономики.

При этом я хочу подчеркнуть, что уровень серьезности задач и требуемое качество (а следовательно, и стоимость) решения должны соизмеряться с затратами уже на стадиях аудита и проектирования. Мы многократно сталкивались с ситуациями, когда потребностям бизнеса коммерческой структуры вполне соответствовало очень простое и дешевое решение проблем информационной безопасности.

CNews.ru: Многие российские компании полагают, что могут справиться с созданием систем комплексной защиты информации внутри предприятия собственными силами. Когда, на ваш взгляд, наступит «переломный» момент, который будет знаменовать готовность российских компаний привлекать профессионалов для более эффективной защиты информации?

Эдуард Гордеев: На этот вопрос мы уже частично ответили. Конечно, условием наступления «переломного» момента должен быть результат большой, кропотливой работы всех без исключения участников деятельности по обеспечению информационной безопасности: государственных органов, коммерческих организаций, специализирующихся на деятельности в области защиты информации, и самих потребителей решений и услуг по информационной безопасности.

В рамках короткого интервью сложно полностью сформулировать направления этой работы — слишком многогранной должна быть эта деятельность: законодательство, научно-исследовательские и опытно-конструкторские работы, образование, и т.д. Без комплексного решения всех этих задач вряд ли можно надеяться на некий качественный скачок в понимании у руководителей организаций и учреждений, в том числе и в отношении проблемы, изложенной в вашем вопросе.

CNews.ru: Начало текущего года ознаменовалось гигантским потоком вирусов и других виртуальных угроз, циркулировавшим в интернете. Как эти события отразились на спросе на решения в сфере защиты информации со стороны корпоративных и государственных заказчиков в России?

Эдуард Гордеев: Конечно, в результате резкого увеличения количества и «качества» атак на автоматизированные системы со стороны внешних сетей (интернет) наблюдается рост потребительского спроса как на традиционно «популярные» средства и системы защиты информации — межсетевые экраны, средства антивирусной защиты, средства VPN, — так и на сравнительно новые услуги и решения, в первую очередь, на средства активного аудита и мониторинга. Поскольку количество организаций, пострадавших от различных атак, к сожалению, также растет, все большей популярностью у потребителей пользуются услуги профессионалов по техническому сопровождению и аутсорсингу клиентских систем.

CNews.ru: Можно ли утверждать, что на какие-то решения существует повышенный спрос со стороны государства, а на какие-то решения — со стороны корпоративного сектора? Какие решения были востребованы этими игроками в большей степени и чем обусловлен спрос на них в 2003 г.?

Эдуард Гордеев: Вкратце, подведя итоги нашей деятельности в 2003 году, можно отметить, что для государственных организаций, использующих системы информационной безопасности, состоящие, как упоминалось выше, из различных, «плохо совместимых» компонент, на первый план выходят проблемы интеграции указанных решений с реализацией функций по автоматизации процедуры мониторинга выявляемых «событий безопасности», инициации различных сценариев реагирования систем на указанные события.

В то же время корпоративный сектор отдает предпочтение задачам по созданию, развитию, наращиванию систем информационной безопасности.

CNews.ru: Назовите наиболее крупные проекты, реализованные вашей компанией в сфере защиты информации в 2003 — начале 2004 гг.

Эдуард Гордеев: На нашем сайте приведена информация о ряде интересных проектов. Из совсем нового хотелось бы отметить следующие проекты: применение нового и достаточно уникального решения для защиты фрагмента GPRS-сети крупного мобильного оператора; сложный программно-аппаратный комплекс (на базе продуктов Check Point, Nokia, Nortel и пр.) для защиты распределенной корпоративной сети крупного банка; аудит, концепция, проектирование и создание системы информационной безопасности для подразделения крупной компании на рынке ТЭК.

CNews.ru: Какие, на ваш взгляд, тенденции будут преобладать на рынке защиты информации в России в ближайшие год-два?

Эдуард Гордеев: В условиях проходящей административной реформы прогнозировать развитие тенденций на рынке информационной безопасности крайне затруднительно, поскольку основным фактором указанного рынка остается государство.

Вместе с тем, основываясь на ранее сказанном, можно предположить, что, наряду с высоким спросом на межсетевые экраны, антивирусные средства, средства защиты от НСД, VPN-технологии, будет расти потребность рынка в средствах активного аудита и мониторинга защищенности электронных технологий, интеграции и создании систем централизованного управления безопасностью объектов (в приложении к информационной безопасности), больше внимания потенциальные заказчики будут уделять вопросам построения отказоустойчивых решений. Можно предположить, что более востребованными будут услуги по разработке концептуальных документов по информационной безопасности — как средство «оптимизации» затрат на информационную безопасность.

CNews.ru: Спасибо.