Святослав Редько:

Облако имеет смысл создавать только тогда, когда в нем работает не менее тысячи серверов

О подходе HP к обеспечению информационной безопасности (ИБ) заказчиков в интервью CNews рассказал Святослав Редько, ведущий архитектор отдела инфраструктурных проектов HP.

CNews: Какие тенденции на рынке ИБ вы сейчас наблюдаете?

Святослав Редько: В мире, согласно исследованию Gartner, основной тенденцией на рынке информационной безопасности (ИБ) является переход от управления элементами систем ИБ к управлению рисками. Заказчики больше не хотят управлять отдельными продуктами – системами обнаружения вторжений, антивирусами и т.д., они хотят управлять рисками несанкционированного доступа к информации, рисками ее искажения или уничтожения.

После обработки всех рисков снимается необходимость управлять отдельными компонентами ИБ. Например, защищаясь от уничтожения данных, мы можем ставить антивирус, межсетевой экран, системы обнаружения атак, разграничения доступа, защищаться от инсайдеров. Словом, предпринять весь комплекс мер.

Но можно воспользоваться другим подходом – отталкиваться от риска уничтожения данных. Возможно, есть другой вариант их обработки. Например, можно зарезервировать все данные в отдельной системе хранения и применить к ней минимальный набор защитных мер. В случае, если информация будет уничтожена, можно будет восстановить ее из хранилища.

Клиенту интересно управлять рисками настолько, насколько он готов эти риски либо обрабатывать, либо принимать. Возможно, он не готов ставить дорогие системы, а готов мириться с небольшим тайм-аутом. Управление рисками сейчас занимает в мире главенствующую роль. Клиентам не интересны рассказы про антивирусы, им интересен результат –все сотрудники должны быть защищены от перечисленных рисков.

Кроме того, к основным тенденциям развития рынка информационной безопасности Gartner относит обеспечение мобильности и ее безопасности; Переход «в облако», SaaS, PaaS, IaaS и обеспечение безопасности предоставляемых сервисов; мониторинг и контроль утечек информации по социальным сетям; переход от систем DLP, защищающих один канал утечки информации, к системе  DLP Enterprise-класса, охватывающей всю ИТ-инфраструтктуру предприятия.

CNews: Существует ли российская специфика?

Святослав Редько: В России этот процесс идет с большим запозданием. Люди понимают, что такое риски, но управление ими пока происходит на уровне декларации о намерении.

В основном россиян интересуют темы соблюдения требований регуляторов: PCI DSS, СТО БР ИБСС и 152-ФЗ. Кроме того, все более популярны становятся облака, правда, единого мнения о том, что это такое, пока не существует. Недавно в ходе собственного исследования HP выяснил, что облако имеет смысл создавать только тогда, когда в нем работает не менее тысячи серверов. Только тогда переход в него будет финансово обоснован. Но в данное время никто из наших клиентов не готов разместить в России такое количество серверов.

CNews: Что именно хотят заказчики от вас как консультантов в связи с облаками?

Святослав Редько: В основном заказчики интересуются проблемой защиты облачной инфраструктуры. Но, несмотря на то, что такие вопросы появляются, дальше разговоров дело пока не идет – облака не создаются.

Замечу, что управление рисками в облаках ничем не отличается от на собственной инфраструктуре. Но вопросы российских заказчиков, как правило, касаются конкретных продуктов: «Как будет работать антивирус в облаке?» или «Как защитить персональные данные в виртуальной среде?»

CNews:  Какие факторы стимулируют рост различных сегментов рынка ИБ? От чего зависят продажи отдельных продуктов?

Святослав Редько: Есть три основных стимулятора роста сегментов рынка ИБ в России. Это восстановление экономики, которое стимулирует рост всех сегментов рынка без исключения; возникновение новых угроз, которое формирует новые сегменты рынка и требования регуляторов и стандартов, которое стимулирует рост определенных сегментов рынка. Я пока не вижу объективных причин, которые бы смогли изменить сложившуюся ситуацию.

Что касается продаж конкретных продуктов, то они зависят, в первую очередь, от отношения заказчика с производителем. Есть решения, которые на слуху, а есть те, которые менее известны. Большинство потребителей склоняются, по крайней мере, изначально, к знакомым им системам. Это главный критерий, по которому большинство выбирает решение – известность бренда, использование его ранее, отзывы коллег о нем.

В настоящее время я не могу выделить продукта, который бы пользовался повышенным спросом. Востребовано все - антивирусы, межсетевые экраны, IDS. Думаю, что ситуация несильно изменится и в ближайшие годы.

CNews:  Какова роль регуляторов и стандартов в формировании российского рынка ИБ?

Святослав Редько: Требования регуляторов и стандартов – это определенный сегмент рынка ИБ, и влияние они имеют внутри данного сегмента.

Если попробовать сегментировать ИБ, то можно выделить рынок, который создают регуляторы; рынок, который создают риски и новые угрозы; и, наконец, рынок, возникший благодаря общему оздоровлению экономики, при котором клиенты понимают, что есть незакрытые проблемы и ими можно заняться, раз теперь на это появилось финансирование.

Приходящаяся на регуляторов доля, конечно, существует. Но по опыту крупных корпоративных клиентов могу сказать, доля затрат на работы, связанные с требованиями регуляторов, невелика по сравнению с общими суммами затрат на ИБ. Такие требования доставляют заказчикам небольшой дискомфорт, но не более. Остальные деньги расходуются по комплексным целевым направлениям.

CNews: Каких изменений на российском рынке ИБ вы ждете в свете 152-ФЗ? Согласны ли вы с тем, что именно задача обеспечения требований закона о персональных данных заставит малый и средний бизнес идти в облака?

Святослав Редько: Никаких существенных изменений на рынке ИБ в свете 152 ФЗ уже не произойдет. Требования и механизмы защиты определены, ожидать в новых нормативных актах чего-то нового не стоит. Скорее всего, изменения будут носить «косметический» характер, существующая ситуация с защитой персональных данных существенных изменений не претерпит.

Безусловно, этот закон стал большой головной болью, но в основном для среднего и малого бизнеса, а не для крупных корпоративных заказчиков, с которыми работаем мы. На них он сказался незначительно. Рынок действительно вырос, многие живут за счет появления 152-ФЗ.

Большинство компаний, которые решили привести свои системы (ИСПДН) в соответствие 152 ФЗ еще только делают первые шаги – разрабатывают нормативные документы, определяют требования к системам. Это не очень затратные работы. Редко покупается большой комплекс и доводится до конца. Все чего-то ждут и пытаются тянуть время. Штраф в 30 тыс. руб. крупная компания готова платить хоть дважды в месяц до тех пор, пока не будет прецедента с приостановлением лицензии на основную деятельность. Если такое случится – ситуация на рынке сразу же изменится.

Если сравнить подходы к защите персональных данных за границей и в России, то там ответственность наступает за утечку данных, а у нас при неисполнении требований. В итоге мы можем исполнить любые требования, но с нулевым результатом. За утечки у нас тоже наказывают, но это очень небольшие суммы. В Англии был случай, когда за утерю даже одного ноутбука штраф составил миллион фунтов.

Если говорить об уходе в «облако» сектора SMB как о способе уйти от исполнения требований регуляторов по защите персональных данных, то реакция будет незамедлительной – в очередном нормативном документе операторов ПДн в явном виде обяжут защищать персональные данные в облаке аналогично классическому механизму обработки. А исполнять требования по защите что в облаке, что в классической схеме – придется все равно.

Если говорить об уходе в «облако» сектора SMB как о способе разом исполнить  все требования по защите ПДн, то стоит вспомнить о том, что требования по защите ПДн разрабатываются каждым оператором индивидуально, и требуют такого же индивидуального подхода к их реализации – «волшебная таблетка» в виде облака здесь не поможет.

CNews: Не заставит ли 152-ФЗ  небольшой бизнес хранить данные в  удаленных ЦОДах?

Святослав Редько: Сама по себе технология «облака» обеспечивает некий базовый уровень защищенности систем, находящихся в нем. При недоверии или компрометации  встроенных в «облако» механизмов защиты в дополнение к классическим угрозам придется рассматривать угрозы со стороны облака, что повлечет за собою усложнение системы безопасности.

В 152 ФЗ не сказано, что если перенести персональные данные в облако, то их можно не защищать. Существуют услуги по обработке таких данных в ЦОДах у крупных системных интеграторов, но оператору все равно придется ему платить за удаленное хранение и защиту.

Возможно, выгоднее сделать капитальные вложения, закрыв параллельно и другие стоящие перед компанией цели, чем пойти на незначительные суммы текущих платежей, которые в результате будут менее эффективны. Это каждый клиент должен решать самостоятельно.

CNews:  Существуют ли признанные методики проверки защищенности данных в облаке?

Святослав Редько: Персональные данные должны защищаться в соответствии с моделями угроз, которые разрабатываются индивидуально для каждой системы. У оператора, обрабатывающего такую информацию в облаке, должна быть построена система, которая закрывает все возможные требования конечных заказчиков. Клиент приходит со списком рисков и угроз, оператор своим списком отвечает ему, как они будут обрабатываться. Только в таком случае данные можно отдавать на хранение.

CNews: А если подойти к этому вопросу с технической точки зрения?

Святослав Редько: Во-первых, у каждого облака существует встроенная система защиты. У VMware это vShield. Эти решения аттестованы, сертифицированы (например, на соответствие техническим условиям, ТУ), у них есть задекларированные наборы функций, которые защищают от каких-либо угроз.

Таким образом, вопрос лишь в том, доверяет ли заказчик встроенным в среду системам защитам. Если нет, то необходимо применять дополнительные механизмы. Это может быть ПО из стандартного списка хорошо известных производителей. 

CNews:  Каковы на сегодня самые серьезные для бизнеса угрозы с точки зрения ИБ?

Святослав Редько: По данным Gartner, самая большая угроза – это мошенничество в финансовой сфере. Этот сектор несет самые большие потери в результате атак, и в нем на противодействие угрозам тратятся самые большие средства.

На втором месте, как ни странно, угрозы корпоративным брендам, т.е.  компрометация торговой марки в интернете любым возможным способом: начиная от фишинговых сайтов, размещения в социальных сетях недостоверной информации до рассылки клиентам писем с ложными данными. 

Затем идет угроза мобильности. Современные предприятия, сотрудники которых должны быть доступны везде, где бы они ни находились, получают за счет этого дополнительные угрозы. Можно представить себе подключенное к сети общего доступа, например, нефтеперерабатывающее оборудование, к которому оператор получает доступ удаленно. В нашей концепции Instant-On Enterprise эта проблема решается.

И последнее, - это DDoS-атаки, которым подвержены большинство крупных интернет-ресурсов. Этой угрозе на текущий момент противопоставить, к сожалению, нечего.

В России угроза мобильности явно не входит в топ-5, в отличие от атак на финсектор, DDoS и угроз корпоративным брендам. Остальные атаки встречаются значительно реже.

CNews:  Как меняются сами подходы к обеспечению ИБ в организациях - по вашим наблюдениям? Насколько российские практики отличаются в этих вопросах от глобальных?

Святослав Редько: За последние 5 лет я не могу отметить сколь-нибудь существенного изменения в подходах к обеспечению ИБ.

Мировые практики по обеспечению ИБ кардинально отличаются от российских. Самый яркий пример – защита персональных данных. В большинстве стран ответственность оператора персональных данных наступает при их утечке, а у нас – при неисполнении требований законодательства.

Данный принцип – исполнение требований, а не защита информации – для нас нормальное явление. По моим наблюдениям, большая часть проектов по защите информации связана с исполнением требований, реализацией планов и программ, исполнением бюджета и, в редких случаях,– с необходимостью защиты информации.

CNews: Как развивается ваш бизнес по направлению ИБ? На каких решениях и услугах вы в первую очередь сфокусированы?

Святослав Редько: Компания HP занимается защитой информации около сорока лет, в ней работает  более 3 000 профессионалов по информационной безопасности. Мы являемся производителями средств защиты информации и поставщиками услуг фактически по всем основным направлениям ИБ. Наш подход к безопасности – это комплексное обеспечение информационной безопасности путем защиты данных, ресурсов и обеспечения соответствия. Основной рынок ИБ, где HP является серьезным игроком – это Америка и регион EMEA. На рынок России и стран СНГ компания вышла недавно.

Компания HP позиционирует себя как поставщика услуг высшего качества в строго оговоренные сроки. Услуги по защите информации, предлагаемые в России и за рубежом, идентичны по составу и уровню оказываемых услуг. Для реализации сложных, высокотехнологичных проектов могут создаваться международные команды с привлечением специалистов требуемых квалификаций.

В сентябре 2011 г. компания анонсировала новый портфель решений  по информационной безопасности Enterprise класса, ориентированный в первую очередь на Instant-on Enterprise - предприятие, где все мобильно, связано между собой, взаимодействует и изменяется. В состав портфеля входят обновленные и новые продукты и услуги, которые помогают заказчикам оценивать, трансформировать, управлять и оптимизировать среду информационной безопасности компании.

Компания HP имеет действующие лицензии на деятельность по разработке средств защиты и технической защите конфиденциальной информации на территории Российской Федерации.

CNews: Каковы ваши прогнозы относительно дальнейшего развития рынка ИБ  и технологий, обеспечивающих защиту информации? Куда идет отрасль?

Святослав Редько: Как я уже говорил, на рынок ИБ в значительной мере мере оказывает влияние общий уровень экономики и требования регуляторов. Пока не ощущается проблем ни с одним из этих факторов, рынок ждет устойчивый рост.

«Законодателем моды» в области ИБ Россия, к сожалению, не является, поэтому рассмотрим основные тенденции ИБ в мире.

Первое. Переход к управлению рисками. Компании уходят от управления антивирусами, межсетевыми экранами и средствами обнаружения вторжений к управлению рисками – несанкционированного доступа, компрометации бренда, остановки бизнеса и пр.

Второе. Переход к концепции обеспечения безопасности Instant-on Enterprise, включающей в себя оценку, управление, трансформацию и оптимизацию среды информационной безопасности.

Третье. Безопасность облачных сервисов. Согласно исследованию Gartner, к 2016 году все top-2000 компаний будут использовать публичные облачные сервисы.

CNews: Спасибо.