Парадоксы ИБ: рынок не может угнаться за бизнесом

Развитие мирового рынка средств ИБ в 2010 году определялось возрастающей необходимостью защиты информации для компаний, находящихся "между двух огней". С одной стороны, это опастность стать жертвой киберпреступника, с другой - исполнение требований законодательства. Вендоры реагируют на подобные вызовы в меру возможностей, обновляя решения за счет собственных разработок или поглощения соответствующих поставщиков. Тем не менее, гибких и эффективных продуктов на рынке, по мнению конечного пользователя, пока недостаточно.

По данным аналитиков Gartner, несмотря на нестабильный для мировой экономики период, отрасль защитного ПО по итогам 2009 и первой половины 2010 годов показала рост и продолжит его еще в течение нескольких лет. Кризис сектор пережил лучше, чем провал 2001-2002 года, отмечают в Gartner, объясняя это большей зрелостью отрасли, широким проникновением подобных средств, ростом доверия к ИТ-решениям. Основными стимулами для развития данного сегмента аналитики Gartner считают различные мероприятия по приведению ИС предприятий в соответствие с законодательством в области управления и защиты данных, а также постоянный рост угроз безопасности в мире. Кроме того, на рынке наблюдается интерес к внедрению систем защиты не только со стороны специалистов в области ИТ и ИБ, но уже и со стороны бизнеса. Последний теперь выступает не как пассивный потребитель ИБ-решений, а как активный их заказчик.

Виртуализация и SaaS переворачивают рынок ИБ

Влияние двух "модных" ИТ-тенденций последнего времени, связанных с повышением эффективности производства за счет использования различных решений в области "облачных вычислений" и виртуализации, поставило в 2009 году перед бизнесом новые вызовы. Как отмечает Илья Шабанов, аналитик Anti-malware.ru, внедрение систем виртуализации серьезным образом меняет модель рисков - во-первых, появляются новые риски, связанные с атаками на сами системы виртуализации, а, во-вторых, стали возникать риски кражи виртуальных систем целиком, что раньше просто нельзя было себе представить. "Облачные технологии", в свою очередь, также приводят к дополнительным рискам, связанным с несанкционированным доступом и возможностью кражи конфиденциальной информации. Олег Шабуров, старший системный инженер Symantec в России и СНГ, уверен, что главная опасность виртуализации – это недооценка рисков, так как клиенты зачастую забывают про те угрозы, которые несет виртуализация за счет того, что многие системы работают на одном АО.

Иван Бурдело, директор департамента информационной безопасности компании "Кабест" группы "Астерос", отмечает, что основной  риск использования виртуализации и SaaS сегодня – это обеспечение конфиденциальности данных. "Если вопросы доступности и целостности информации в той или иной мере решаются, то существующие механизмы обмена информацией, использование незащищенных каналов, делегирование процессов обработки данных третьему лицу и т.д. вызывают вполне закономерное желание заказчика обеспечить сохранность своей критичной информации", - говорит он, добавляя, что на отечественном рынке представлен ряд решений как отечественных, так и зарубежных производителей, предназначенных для использования в подобных проектах, но они все еще далеко не совершенны и не всегда применимы.

Киберпреступники выбирают веб-атаки для взлома компаний

Веб-атаки в 2009 году признаны самым распространенным типом кибератак, выявленных практически во всех организациях (по данным опроса Ponemon Institute). Они причиняют ущерб компаниям примерно на 143 тыс. долларов в год. На втором месте находятся угрозы, связанные с использованием вредоносного кода (вирусов, червей и троянских программ), которые актуальны для 80% компаний, теряющих на них около 124 тыс. долл. в год. Третье место по популярности принадлежит инсайдерам, которые могут нанести урон в размере примерно 100 тыс. долл. в год.

На размер ущерба влияет и продолжительность атаки – хакеры выбирают все более изощренные способы взлома, которые сложно идентифицировать и предотвратить. Кроме того, актуальны и угрозы, связанные с мошенничеством и социальной инженерией. В итоге, как отмечают в Ponemon Institute, 90% компаний сталкиваются в среднем с 50 успешными кибератаками еженедельно.

Эти данные подтверждаются и отчетом Symantec о распространенности киберугроз. Так, каждую секунду по всему миру хакеры осуществляют более 100 атак на различные компьютеры. По мнению экспертов компании, хотя большинство из них не приносят никакого вреда, но каждые 4,5 сек. одна такая атака влияет на работу какого-либо компьютера. 2009 год показал и высокий рост числа разного типа вредоносного ПО - показатели обнаруженных программ на 71% превысили 2008 года за счет того, что средства для разработки вирусов стали еще более доступными. Всего специалисты Symantec обнаружили за год почти 2,9 млн образцов вредоносного кода.

Enterprise 2.0 и мобильный доступ ухудшили безопасность

Тенденция распространения в корпоративной среде различных интерактивных решений так называемого "социального Веба" (Web 2.0) и мобильного доступа для повышения эффективности труда и упрощения взаимодействия сотрудников несет в себе побочный эффект, выражаемый в неконтролируемом управлении корпоративными данными. По данным отчета Panda Security, основанного на опросе 315 СМБ-компаний, сегодня бизнес испытывает сложности при взаимодействию с социальными сетями, которые в 35% приводят случаев к потерям в среднем 5 тыс. долларов (из-за размещения конфиденциальных документов и заражения вирусами). В числе наиболее опасных сервисов Веб 2.0 для бизнеса – Facebook, YouTube и Twitter, которые во всех отчетах о развитии Enterprise 2.0 в корпоративном секторе, позиционируются как наиболее удобные (из-за своей массовости и востребованности клиентами СМБ-компаний) для представления бизнеса в новых социальных медиа. В результате компаниям приходится заниматься созданием политик безопасности и применять дополнительное ПО для защиты информации и контроля доступа (IAM, DLP и т.п.). Как отмечают в компании Infowatch, в случае внедрения Enterprise 2.0 на предприятии потребуется пересмотр технологий защиты от утечек информации и ввод автоматизированного анализ содержимого трафика, причем не по сигнатурам, а с помощью лингвистически значимого разбора. Очевидно, что эта технология является дорогостоящей и требующей наличия более квалифицированных кадров.

Мобильный же доступ к данным несет в себе опасность не только потери самой информации вместе с устройством (ноутбуком, смартфоном, планшетом), но и в не меньшей степени, чем социальные сервисы, подвергает риску заражения вирусами корпоративные сети.  Так, по данным Symantec, около 35% работников заражают предприятие вредоносным ПО, работая вне офиса. Сотрудники, находящиеся в командировках, с большей вероятностью (в 5,4 раз), чем офисные служащие, вызывают блокировку системы обеспечения безопасности корпоративного сайта. Люди посещают онлайн-магазины, поисковые системы, сайты знакомств во время поездки, в то время как у офисных работников доступ к подобным веб-ресурсам обычно закрыт.

Регуляторы "закручивают гайки"

Риск утечки данных вследствие различных причин (вирусная атака, действия инсайдеров, несанкционированный доступ сотрудников к корпоративным данным из любопытства) приобрел в кризисный период еще большее значение в силу увеличения ответственности компаний за подобные нарушения. Кроме того, необходимость соблюдения законодательных требований также определяла интерес к специализированному ПО в области аудита безопасности. Например, в России расходы на мероприятия compliance, по оценкам генерального директора Perimetrix Евгения Преображенского, составляют 20-30% от общего бюджета компаний на ИБ, а у ряда заказчиков достигают и 50%.  "В России достаточно законов для развития и регулирования отрасли ИБ. Другой вопрос, что зачастую ответственность за невыполнение требований закона остается номинальной. Усиление ответственности для юридических и физических лиц в области защиты информации позволит данным законам действительно работать", - говорит Сергей Земков, управляющий директор "Лаборатории Касперского" в России и странах Закавказья.

Игроки рынка видят выход из ситуации в том, что как государства, так и отраслевые сообщества, формирующие структуру рынка, должны проявлять инициативу по разработке более совершенных и понятных стандартов по управлению ИБ, ориентированных на отраслевую специфику компаний, к которым они применяются, более четких и конкретных формулировок, а также уже формализованных для вписывания в существующие бизнес-процессы. В числе таких инициатив эксперты называют меры по обеспечению безопасности онлайн-сервисов и электронной коммерции.

Бизнес обратил внимание на ИБ

По ощущениям вендоров, в 2009 - первой половине 2010 гг. на рынке ИБ произошел определенный сдвиг, связанный с усилением интереса к теме защиты данных со стороны не ИТ-специалистов, а бизнеса. Исполнительный менеджмент представляет себе ценность той или иной информации и возможные потери компании при ее компрометации, а "безопасники" из ИТ-службы осуществляют уже выбор самого решения и его внедрение, устраняя конфликт между двумя подходами (с точки зрения бизнеса и технологий).  При этом сам проект при наличии "внутреннего заказчика" становится более успешным. Такие сценарии существуют в проектах по защите интеллектуальной собственности, внедрению режима коммерческой тайны, защите проектной документации и др., направленные на защиту от компроментации конкретных информационных активов

Кроме этого, компании проявляют интерес к аудиту программного обеспечения. По данным Veracode, 57% ПО, используемого сегодня в компаниях (из 2900 исследованных за 1.5 года), является уязвимым перед современными угрозами информационной безопасности, причем в списке на первых местах находится софт, который по определению не должен иметь таких проблем - ПО для электронной коммерции и управления финансами. Восемь из десяти проанализированных веб-приложений также не соответствовали требованиям некоммерческой организации OWASP (Open Web Application Security Project), выполнение которых является необходимым для работы по PCI DSS. Количество выявленных проблем не зависит от реализации кода программы – в коммерческих продуктах было найдено 65% проблем, в открытых – 58%. Софт, разработанный на аутсорсинге, оказался "дырявым" в 93% случаев. Таким образом, и десктопные, и сетевые приложения, по мнению компании Veracode, имеют чрезвычайно высокий уровень уязвимости. При этом количество выявленных проблем не особенно различается для коммерческих продуктов (65% проблемного кода) и открытых проектов (58%). Наихудшим оказался софт, который был разработан по договорам аутсорсинга – здесь всего 7% программ смогло получить положительную оценку. В России также востребован аудит ПО на наличие уязвимостей, в частности, заказчиков интересует анализ программного кода ERP и других критических для бизнеса приложений.

Евгений Акимов:

На рынке ИБ изменилась структура предложения и состав игроков

На вопросы CNews ответил заместитель директора центра информационной безопасности компании "Инфосистемы Джет" Евгений Акимов.

CNews: Как повлияло изменение экономической ситуации на развитие рынка ИБ в России? Как в этой связи были скорректированы стратегии поставщиков – по вашим наблюдениям?

Евгений Акимов: Два последних года радикально изменили рынок информационной безопасности. 2009 год - по очевидным причинам - прошел под девизом тотального сокращения расходов. При этом бюджеты на ИБ перешли из разряда "выделяемых" в разряд "получаемых по бизнес-обоснованию" с условием короткого срока для достижения очевидного для бизнеса эффекта. Поэтому в течение этого непростого для игроков рынка года были востребованы проекты, от которых просто нельзя было отказаться. Прежде всего, к ним можно отнести те, что направлены на удовлетворением требований регуляторов. Стартовало огромное количество проектов, связанных с законом о персональных данных и требованиями стандарта PCI DSS. Популярностью также пользовались сравнительно недорогие решения (например, DLP), необходимость которых можно достаточно наглядно обосновать бизнес-руководству. В то же время произошло сильное падение традиционных направлений – поставок ПО и оборудования по сетевой, антивирусной безопасности и пр.

Полный текст интервью