Обзор подготовлен	При поддержке

Алексей Раевский: Спрос на системы шифрования в некоторых сегментах рынка вырос в три-четыре раза

Об особенностях безопасного хранения данных и развитии рынка систем шифрования рассказал Алексей Раевский, генеральный директор компании SecurIT.

CNews: Какие ключевые тенденции, на ваш взгляд, доминировали на российском рынке информационной безопасности в 2004 году?

Алексей Раевский: По моему мнению, тенденции прошлого года в основном определял Указ Президента №611 от 19 мая 2004 года "О мерах по обеспечению информационной безопасности Российской Федерации в сфере международного информационного обмена" и последующие положения о подходах к его реализации. Этот указ направлен главным образом на обеспечение надежной защиты российского сегмента международной сети интернет от внешних угроз несанкционированного воздействия.

Поэтому не удивительно, что сразу вырос спрос на сертифицированные средства защиты российских компаний, такие как межсетевые экраны, усиленные операционные системы, электронные замки, криптографические средства подтверждения достоверности предоставляемой на сайте информации и т.д.

CNews: Как изменился, по вашим наблюдениям, фон угроз для отечественного бизнеса за прошедший год?

Алексей Раевский: На мой взгляд, в этом году у всех была возможность обратить внимание на необходимость обеспечения безопасного хранения данных. Самые громкие инциденты в области информационной безопасности, имевшие место в последнее время, были связаны с пропажами носителей данных.

Так, 30 мая швейцарский банк UBS объявил об утере жесткого диска с информацией ограниченного доступа о 15,500 клиентах банка. Информация на жестком диске включала в себя имена клиентов, их адреса и телефоны, номера счетов, а также записи о транзакциях и остатках по счетам с 1994 по 2004 года. Пропажа жесткого диска произошла в процессе апгрейда системы архивирования данных.

А уже через неделю после этого события, 7 июня, уже самый крупный банк в мире, американский Citigroup, объявил об утере магнитных лент с информацией о 3,9 миллионах клиентов. На лентах были записаны имена клиентов, номера социального страхования и информация по их счетам и платежам. Ленты были потеряны курьерской службой UPS в процессе ее доставки в кредитное бюро в Техасе.

Про ситуацию у нас и говорить нечего — для перечисления различных баз данных, которые можно купить на черном рынке, объема данного интервью будет явно недостаточно. При этом предлагаются базы данных как государственных организаций, так и частных компаний, например, операторов связи.

Последним нашумевшим событием было попадание в этот список базы данных проводок Центрального Банка. Источник утечки официально не назывался, но, по мнению некоторых экспертов, это могло произойти в результате несанкционированного доступа к магнитным лентам.

CNews: Ряд экспертов подчеркивают, что, несмотря на лавинообразный рост вирусов и спама в интернете, наиболее серьезную проблему составляет защита от собственных сотрудников. Разделяете ли вы эту точку зрения, и какие методы борьбы с этой проблемой кажутся вам наиболее эффективными?

Алексей Раевский: Да, такая проблема действительно существует и ее можно условно разделить на две части. Первая составляющая — это элементарная безалаберность сотрудников при работе с информационными ресурсами компании, нецелевое использование рабочего времени и тому подобное, словом все, что не подразумевает злого умысла. В этом случае самым эффективным средством борьбы с такого рода проявлениями будет улучшение организационных мер, в сочетании с внедрением системы мониторинга и контроля действий пользователей.

Если говорить о внутреннем диверсанте, то тут необходимо, в первую очередь, проанализировать возможности кражи конфиденциальной информации нелояльными сотрудниками компании. Такими каналами может быть практически все, что угодно: корпоративная или бесплатная почта, возможность копирования информации на внешние носители, а иногда и подкуп системного администратора.

Очень часто руководители предприятий обращаются к нам с просьбой решить проблему “защиты от системного администратора”, которому они по каким-то причинам не доверяют. Если предположить, что создание такой системы возможно, то при ее введении в эксплуатацию большая часть функций системного администратора ложится на плечи недоверчивого руководителя. Это сильно осложняет создание универсальных решений и представляется абсолютно неперспективным с коммерческой точки зрения.

В любом случае, решить данную проблему на сто процентов вряд ли представляется возможным. Можно лишь попытаться создать максимальные препятствия для кражи информации. Самым эффективным способом, как это не парадоксально, является организация таких условий, при которых сотрудники и работодатели были бы довольны друг другом, а «засланные казачки» не смогли бы просочиться через кадровую службу предприятия.

CNews: Как вы оцениваете динамику роста в России на системы шифрования данных, хранимых и обрабатываемых как на рабочих станциях, так и на корпоративных серверных платформах? Можно ли говорить, что спрос растет или устойчивой тенденции здесь пока не наблюдается?

Алексей Раевский: Мне кажется, что в настоящее время спрос на системы шифрования подобного класса определяется, в первую очередь, осознанием того факта, что практически любая информация представляет собой ценность для ее владельца. Несмотря на то, что сомнений в этом плане все меньше, рынок нельзя назвать сформированным и пока очертились лишь его контуры. По нашим оценкам, за прошедший год спрос на системы шифрования в некоторых сегментах рынка вырос в 3-4 раза. Можно ли это назвать устойчивой тенденцией? Пожалуй, да.

CNews: Какими критериями вы бы посоветовали пользоваться при выборе тех или иных систем шифрования?

Алексей Раевский: Не секрет, что, к сожалению, на рынке существует достаточное количество низкопробных разработок, в первую очередь зарубежных, единственным достоинством которых является их низкая цена. Однако, всем уже хорошо известно и про бесплатный сыр в мышеловке и про то, сколько раз платит скупой.

Мировая практика показывает, что на защиту хранилищ данных в среднем тратится 10-15% стоимости конфиденциальной информации. Стоимость информации легко прикинуть, оценив возможные убытки при ее попадании в чужые руки. Нижний порог в 10% указывает на то, что меньшая цена выбранной системы защиты, возможно, связана с ее качеством.

Мне бы хотелось, чтобы каждый пользователь, выбравший в качестве решения своих задач систему шифрования, задал бы себе и продавцу этой системы ряд самых обычных вопросов. К ним можно отнести не только вопросы, связанные со стойкостью, функционалом, технической поддержкой, регулярностью выпуска новых версий и практикой их обновления, но и с применимостью выбранной системы для решения конкретной задачи. Это принципиальный подход, поскольку субъективные представления о возможностях той или иной системы часто приводят к краху иллюзий в самый неожиданный момент, когда система вроде бы уже внедрена и успешно работала длительное время.

В качестве иллюстрации к сказанному, могу привести массу примеров, основанных на нашей повседневной практике. Среди наших клиентов, есть целый ряд компаний, до недавнего времени использовавших для защиты корпоративных серверов системы, которые даже их производитель не позиционировал подобным образом. В результате, эти компании теряли большие объемы данных и несли значительные убытки из-за простоя серверов, просто потому, что системы шифрования, установленные на них, не были рассчитаны на определенную нагрузку.

CNews: Какого рода продукты и услуги SecurIT пользовались наибольшим спросом в 2004 году?

Алексей Раевский: В прошлом году, с началом активным продаж продукта Zbackup, оформилась основная специализация нашей компании — разработка и продвижение комплексных решений, обеспечивающих безопасное хранение информации на корпоративных серверных платформах (server storage security).

Комплекс Zserver Suite, состоящий из систем Zserver и Zbackup, стал законченным решением для защиты хранилищ данных масштабов предприятия, не имеющий аналогов не только на отечественном, но и на зарубежном рынке. Единый подход к защите данных, как при хранении и обработке, так и при резервном копировании позволил нам привлечь значительную часть клиентов, для которых было принципиально защитить не только дисковые накопители, но и стримерные ленты. Эта проблема оказалась особенно актуальной для компаний, которые передают на хранение резервные копии за пределы своего офиса. При таком подходе круг лиц, имеющий доступ к информации резервных копий сразу расширяется. В связи с этим, очень многие начали задаваться вопросом безопасного хранения резервных копий.

Также, мне хотелось бы отметить наши решения с использованием электронных идентификаторов — Zdisk, Zlogin и новый продукт Zshell, появившийся в конце года. Эти решения можно объединить для использования одного и того же электронного идентификатора, как для двухфакторной аутентификации пользователей в корпоративную сеть (Zlogin), так и в различного рода приложения (Zshell).

CNews: В октябре прошлого года ваша компания заключила партнерский договор с компанией DECRU. Расскажите, пожалуйста, как развивается сотрудничество.

Алексей Раевский: Компания DECRU занимается разработкой и продвижением устройств DataFort, которые защищают информацию при хранении и обработке в инфраструктуре SAN, NAS, DAS, а также при резервном копировании на ленту. Решения Decru DataFort сочетают в себе функциональность контроля доступа, аутентификации и шифрования хранилищ данных для обеспечения надежной защиты конфиденциальной информации.

Все чаще в новостной ленте встречается информация об успешных проектах по созданию сложных сетей в телекоммуникационных компаниях, банковских структурах. Различные системные интеграторы, занимающиеся созданием крупных вычислительных комплексов, сообщают о своих достижениях в продажах передовых систем хранения данных различных вендоров. Все эти факторы уже сейчас формируют спрос в России на устройства, производимые DECRU.

Это сложные аппаратные решения, аналогов которым на российском рынке пока нет. Решение компании DECRU хорошо сочетаются с нашими продуктами и позволяют предложить выбор клиентам, имеющим сложную ИT-инфраструктуру. Одна из отличительных особенностей устройств DECRU DataFort — фантастическое быстродействие. DataFort “умеет” шифровать на лету поток данных со скоростью 2 Gb/s.

Кроме того, DataFort обладает всеми необходимыми качествами и отвечает самым жестким требованиям, предъявляемым к устройствам, работающим в инфраструктурах любой степени сложности. Удивительные показатели системы свидетельствуют о серьезности подхода к проблеме и о востребованности таких решений на зарубежном рынке.

В настоящий момент мы ведем переговоры с рядом отечественных системных интеграторов о внедрении решений DECRU для тех заказчиков, которые за последний год часто обращались к нам с просьбой посоветовать какое-либо решение для защиты сетей SAN.

CNews: Какие новые решения в сфере ИБ вы планируете вывести на рынок в 2005 году? Какие задачи стоят перед компанией?

Алексей Раевский: В конце этого года планируется выпуск нового продукта для защиты от внутренних угроз, связанных с появлением и повсеместным распространением мобильных накопителей информации большой емкости, подключаемых через USB порты — таких как flash-диски, винчестеры с USB-интерфейсом, MP3-проигрыватели с жестким диском и т.д.

Тем не менее, приоритетным направлением является развитие программно-аппаратного комплекса Zserver Suite, очередная версия которого планируется в ближайший месяц. Кроме того, ожидается появление новой версии Zserver под операционную систему Linux с ядром 2.6.x.

Одной из важнейших задач на ближайшее время, мы также считаем дальнейшее развитие партнерского направления, поскольку, в этом году ощутили активный интерес к нашим решениям со стороны ведущих системных интеграторов.

CNews: Какие технологии вы считаете наиболее перспективными в области ИБ?

Алексей Раевский: Наверное, имеет смысл говорить не о перспективных технологиях, а о перспективных подходах. На сегодняшний день я вижу две основные проблемы, которые стоят перед любым производителем средств ИБ.

Первая проблема связана с тем, что внедрение любого средства безопасности приводит к усложнению работы ИТ-персонала и обычных пользователях. Это приводит к тому, что средства информационной безопасности в лучшем случае не работают. В худшем случае они могут даже ослабить защищенность сети, как это происходит в случае с паролями на бумажке, приклеенной к монитору.

Вторая неприятность — это отношение потенциальных клиентов к средствам защиты информации как к чему-то второстепенному. Это уже не раз обсуждалось, и мне кажется, что это обусловлено особенностями человеческого сознания.

Чтобы нейтрализовать эти проблемы, на мой взгляд, необходимо интегрировать средства защиты информации в приложения и операционные системы, чтобы конечный пользователь получал готовые информационные технологии с уже встроенными средствами защиты и разграничения доступа.

CNews: Спасибо.