23 сентября 2022 года, в рамках XV Business Information Security Summit 2022 (BIS Summit 2022), президент ГК InfoWatch, председатель правления Ассоциации разработчиков программных продуктов «Отечественный софт» Наталья Ивановна Касперская выступила модератором ключевой сессии «Новая старая модель угроз и предстоящие изменения». Главными темами самого форума стали: адаптация ИБ-отрасли к новой реальности и новые стратегические горизонты информационной безопасности. Мероприятие было организовано ассоциацией профессионалов в области информационной безопасности BISA (Business Information Security Association), поддержано ГК InfoWatch и отраслевыми партнерами ассоциации.
Основными спикерами сессии «Новая старая модель угроз и предстоящие изменения» стали заместитель директора ФСТЭК России Виталий Сергеевич Лютиков; директор департамента обеспечения кибербезопасности Министерства цифрового развития РФ Владимир Николаевич Бенгин; директор департамента информационной безопасности Банка России Вадим Александрович Уваров; директор центра компетенций по импортозамещению в сфере информационно-коммуникационных технологий Илья Иссович Массух и заместитель руководителя проектного офиса по реализации нацпрограммы «Цифровая экономика РФ» Михаил Владимирович Корягин.
Предлагаем Вам самые актуальные и интересные выдержки из состоявшейся дискуссии.
Наталья Касперская: Илья Иссович, как сейчас дела с импортозамещением? Насколько сейчас эффективна работа по индустриальным центрам компетенций? Какие у нас сейчас перспективы и шансы?
Илья Массух: Вы правильно сказали, что термин «импортозамещение» уходит на второй план, заменяется «импортонезависимостью». Года два назад я тоже думал переименовать центр импортозамещения в какой-нибудь центр перехода на российское ПО, но пока решили оставить. Где-то в середине 2021 года уже понимание у рынка произошло о необходимости перехода на российские решения. И это связано было с тем, что в 2021 году очень активно стали использовать информационные технологии (ИТ) для деструктивного воздействия на ИТ-инфраструктуру. И если раньше мы все говорили про хакеров, и вся индустрия была построена на противодействии хакерам либо злоумышленникам изнутри, то уже в 2021 году, а в 2022 уж и подавно мы точно понимаем, что идет деструктивное воздействие от производителей зарубежного программного обеспечения, оборудования и т.д. Производитель, который в изначальном коде может делать что угодно со своими устройствами – самое опасное. И именно это – главный драйвер перехода на российские решения, потому что отечественные производители здесь. Среда сборки, создания ПО, даже может, отчасти свободного ПО – она находится здесь, в досягаемости регуляторов и заказчиков – с точки зрения адаптации решений под конкретные нужды.
Какие сейчас процессы идут по импортозамещению? Достаточно серьезное движение в промышленном комплексе, которое запустил председатель Правительства РФ, Мишустин М.В., в июне. Он запустил процесс по тотальному пересмотру ИТ-решений в программной области по всем секторам экономики. Минцифры с Минпромторгом создали 33 индустриальных центра компетенций. Это не бюрократические структуры, а группы, которые позволяют задать направление по каждой из индустрий – сельское хозяйство, промышленность, авиация, космос, банки. Задача – посмотреть потребности по переходу во всех отраслях российской экономики на российское ПО, посмотреть зависимости, которые в ближайшем будущем могут стать уязвимостями с точки зрения ведения бизнеса. И подобрать российские решения. Сфера информационной безопасности (ИБ) покрывается, кстати, одна из самых активных (шифраторы, системы клиентской безопасности, DLP-системы и др.). Деньги выделены приличные, на эти цели государство будет изыскивать средства, потому что ИТ стали неотъемлемым средством производства, либо средством управления отраслями и государством. Выключив их, можно сильно отбросить страну назад с точки зрения конкурентоспособности. Информационные технологии Запад продолжит использовать с точки зрения доминирования, тут иллюзий нет. И для того, чтобы обеспечить устойчивость экономики, единственный способ – создать и внедрить собственные решения. Главное - не бросаться сразу всем на одно и то же направление, а выбрать те уязвимые отраслевые процессы, которые необходимо заменить на отечественные. Тогда можно будет это решить. В софте у нас компании достойно развиваются и быстро создают решения. Нам надо всем объединиться и без оглядки на то, что «отменится импортозамещение», решить эти задачи.
Наталья Касперская: Виталий Сергеевич, что делать предприятиям, которые закупили и внедрили у себя массовые средства информации, которые были сертифицированы уважаемым ФСТЭК.
Виталий Лютиков: Планировать замену. На сегодняшний момент у нас все сертификаты на зарубежные средства защиты аннулированы. Поддержка по всем средствам защиты с точки зрения их безопасности на территории РФ прекращена. Поэтому нужно планировать поэтапно замену и поэтапный переход на отечественные средства защиты. Выставлять требования к разработчикам, которые необходимы заказчику с точки зрения функциональности этих средств. Это стандартная работа, которую мы должны были раньше начать, но мы традиционно дождались, что нас приперли к стенке и теперь делаем это все в «ошпаренном» режиме, закидывая друг друга камнями, но другого пути у нас нет. К тому же, Президент РФ поставил задачу двумя указами – и №250, и № 166 – перейти на отечественные программно-аппаратные средства и на российские средства защиты информации. Поэтому какие у нас тут есть варианты? Их, практически, нет.
Наталья Касперская: Вадим Александрович, вопрос с точки зрения банковской сферы: насколько в Вашей сфере ситуация лучше/хуже в системах защиты информации в банковской сфере?
Вадим Уваров: Тему, которую мы обсуждаем, обсуждают на всех форумах. Работу по замещению иностранных продуктах Банк России начал еще в 2018 году, по сформулированным требованиям. Требования для средств по защите информации мы разрабатывали совместно с коллегами из ФСБ и ФСТЭК. Отдельно хочу сказать, что мы в 2019 году проводили определенный анализ тех решений, которые используются организациями в кредитно-финансовой сфере и на тот период основная масса – это были иностранные решения. В настоящее время у нас в Банке России создан центр по координации технологического суверенитета в кредитно-финансовой сфере. Основная задача этого центра – собрать данные у банков по иностранным решениям и вместе с коллегами из Минцифры и Минпромторга предоставить возможность получить объективную информацию о тех продуктах, о тех решениях российских разработчиков, которые могут быть использованы в будущем. Основной вопрос в том, что не нужно сейчас, по моему мнению, кидаться подряд во все с точки зрения замены тех решений, которые уже есть. Мы для себя определили такой формат, что по каждой конкретной организации, существующей в кредитно-финансовой сфере, мы хотим составить технологическую карту, чтобы понимать, какие есть критичные бизнес-функции, которые могут в моменте времени перестать функционировать в зависимости от тех или иных используемых иностранных решений, программных продуктов. Есть определенные вопросы с оборудованием, но основная задача – это выделить риски и понять, что в ближайшее время нам необходимо будет именно с точки зрения банков заменить.
Наталья Касперская: Я правильно понимаю, что Банк России строит свой подход от рисков? Вы анализируете риски и в зависимости от этого вы уже выдаете рекомендации?
Вадим Уваров: Да. Мы сейчас разработали определенную технологическую карту, которая имеет технологические стеки и бизнес-функции по каждой конкретной организации, которые привязаны к тем или иным технологическим стекам. И на основании этого хотим сделать некий «светофор» - построение модели каждой организации, чтобы в моменте времени выделить наиболее значимые риски, которые, по нашему мнению, нужно будет первоначально определить, как процесс, требующий внимания и замещения.
Наталья Касперская: «Светофор» - это система подхода к рискам, где красный – самый острый риск, а зеленый – наименее вероятный, невозможный. Вообще – «светофор» в информационной безопасности используется много лет. И Банк России с этой точки зрения к рискам импортозамещения подошел, что очень грамотно.
Владимир Бенгин: Если смотреть на импортозамещение с точки зрения информационной безопасности и средств защиты информации, то после выхода указов № 166 и 250, для всех стало, вроде бы, однозначно понятно, что отсрочки больше не будет и всем нужно замещаться – есть аналоги или нет, надо бежать в этом направлении. И собирая карты по классам решений, мы пытались понять, где есть аналоги, где нет, где должна быть государственная единая поддержка или госзаказ, а где рынок решит сам вопросы по остаточному импортозамещению. Оказалось, что рынок средств защиты информации крайне высоко импортозамещен и практически по каждому классу есть достаточно неплохие аналоги. Или эти аналоги прямо сейчас активно внедряются со словами: «Мы сейчас все заменим, нам поддержка не нужна, у нас даже есть ключевые заказчики, которые в течение года/полутора на это переедут». Возможная проблемная история возникла только в Next Generation Firewalls, эту проблему сегодня подсветили все. И она как раз сильно привязана к аппаратной части, как считает отрасль. И мы связались со всеми вендорами, которые сейчас делают Next Generation Firewalls и спросили, смогут ли они сделать целиком программные решения, могут ли работать Next Generation Firewalls и с какой деградацией по скорости на общедоступных системах? Грубо говоря, достать классические процессоры, сервера из Индии, Китая, еще откуда-то у нас есть возможность. И ответом было однозначное «да» или почти все сказали, что будет деградация, но, если мы только решим вопрос с пакетным, аппаратным разбором сетевого трафика. Есть конкретные аппаратные решения, то есть, похоже мы можем подойти к этому снаряду и сделать для всех производителей Next Generation Firewalls. И это не огромная проблема. И даже не нужно для этого выходить на 2 нанометра, чтобы заместить средства защиты информации. Потребности на самом деле нет.
Наталья Касперская: Это хорошая возможность для разработчиков, работающих в этой области – сделать новое прорывное решение. Его точно купят, потому что востребовано. Я бы хотела задать вопрос Михаилу Владимировичу Корягину. Если мы говорим про информационную безопасность, то какие-то выводы у проектного офиса по развитию кибербезопасности у вас есть? Я знаю, что вы делаете такие исследования, возможно, Вы поделитесь ими с уважаемой аудиторией?
Михаил Корягин: Мы готовим информационно-аналитические материалы, есть проект документов, который выносится на президиум правительственной комиссии, и после 24 февраля мы видим значительные изменения в рамках предложений, которые участники нацпрограммы «Цифровая экономика РФ» формируют. Мы видим общий тренд на импортозамещение, этому уделяется большое внимание. То, что раньше вызывало полемику – отечественные решения, иностранные – сегодня этот вопрос на повестке не стоит и ориентация участников идет на решение этих вопросов. И до событий в феврале, руководство приняло ряд очень важных решений по созданию замещающей инфраструктуры РФ, в начале это тоже вызывало сомнения – нужно ли подключаться, не нужно, хотя все нормативные требования были. Сейчас, когда произошли все эти события, данное мероприятие позволит обеспечить устойчивость наших сетей связи общего пользования, повысить защищенность. Поэтому мы видим реакцию всех участников на выполнение требований по импортозамещению и в том числе, это отражается напрямую в их заявках, результатах, мероприятиях, которые они планируют и в этом году, и на следующий.
С точки зрения кибербезопасности, особенно по государственным информационным системам (ГИС) есть инновационная площадка «Гостех», которая позволит обеспечить требования на высочайшем уровне по информационной безопасности и общее направление по размещению ГИС на централизованных государственных площадках, которые позволяют и обеспечить лучшую утилизацию оборудования, тем самым позволить решить этот вопрос в этот тяжелый период. И также, с учетом кадрового голода и сложностей, которые есть, обеспечить высокие требования по ИБ для наших функциональных заказчиков, которые на эту площадку придут.
Наталья Касперская: Спасибо!
Продолжение следует…
Количество показов: 249
Дата создания: 28.09.2022 17:07:46
Дата изменения: 05.10.2022 15:11:19
Автор: Наталья Касперская
Время на чтение: 30 минут