Кибериммунитет КИИ разовьют в центре
"Лаборатория Касперского", "Росатом" и Ассоциация "Доверенная платформа" заключили меморандум о сотрудничестве, чтобы внедрять принципы сквозной безопасности в промышленности. Со стороны "Росатома" проект курирует Центр исследований, тестирования и апробации импортонезависимых решений (ЦИТАИР) на базе ИТ-интегратора атомной отрасли АО "Гринатом".
В рамках соглашения организации создали Центр компетенций по кибербезопасности объектов критической информационной инфраструктуры (КИИ). В нем будут сосредоточены экспертные знания о кибериммунности - новом подходе, разработанном "Лабораторией Касперского", который предполагает встроенную защиту от большинства типов угроз. Проекты, созданные в ходе работы Центра КИИ, будут предложены к рассмотрению на общественном экспертном совете при президиуме правительственной комиссии по цифровому развитию. Тема совета - использование электроники в отраслях экономики.
Цель соглашения - содействие переходу промышленных предприятий на преимущественное использование оборудования и информационных систем, обладающих кибериммунитетом, а значит, высоким уровнем доверия и безопасности, и разработанных российскими компаниями. Организации будут проводить апробацию отечественных решений, и самые эффективные из них попадут в специализированный каталог, доступный всем участникам рынка. Также "Лаборатория Касперского", "Росатом" и ассоциация "Доверенная платформа" займутся подготовкой методических документов и требований, чтобы на каждом этапе разработки и производства компонентов российского оборудования и ПО, используемых в КИИ, соблюдались принципы сквозной безопасности.
По словам директора по информационным технологиям госкорпорации "Росатом" Евгения Абакумова, обеспечение информационной безопасности атомной отрасли - безусловный приоритет работы компании. "Именно поэтому мы аккумулируем большой опыт и значительные экспертные знания, как именно можно выстроить данный процесс с точки зрения применяемых технологий. Подписанное соглашение - это важный этап в направлении развития подходов кибериммунности как внутри атомной отрасли, так и за ее пределами. Мы открыты к сотрудничеству для внедрения наиболее эффективных практик, рассматриваем это соглашение как один из шагов на пути взаимодействия с широким кругом участников рынка", - отметил Евгений Абакумов.
"Идея кибериммунности заключается в создании ИТ-систем, обладающих свойствами доверия и безопасности в силу устойчивой архитектуры. Подавляющее большинство видов кибератак на такие системы неэффективны и не могут повлиять на выполнение ими своих основных функций. Самый надежный способ реализовать такую архитектуру - это закладывать соответствующие требования на этапе проектирования. Мы создали сильную команду, которая занимается разработкой кибериммунных продуктов, и рады объединить усилия с крупнейшими промышленными предприятиями страны", - рассказал руководитель управления перспективных технологий "Лаборатории Касперского" Андрей Духвалов.
В пресс-службе компании "Доктор Веб" объяснили, что подходы к реализации унифицированного процесса разумны только в базовом или начальном уровне, так как критическая инфраструктура требует более щепетильного и детального рассмотрения, по причине того, что каждая из них уникальна как по своим задачам, так и по технологии реализации. "Кибериммунитет - этот термин является синонимом устоявшегося и понятного рынку термина "информационная безопасность". А ИБ уже давно не концепция, а наша суровая действительность на протяжении многих лет. Мы целиком поддерживаем коллег из ГК "Росатом" в их стремлении в аккумулировании знаний и эффективных практик и надеемся, что почти 30-летний успешный опыт компании "Доктор Веб", будет востребован в новом центре", - прокомментировал представитель пресс-службы компании "Доктор Веб".
Технический директор InfoWatch ARMA Игорь Душа заявил, что системы со встроенными функциями безопасности на рынке существуют давно, их принцип понятен и естественен. Более того, по его словам, об этом говорит ФСТЭК России, и в последних правках к приказу ФСТЭК №239 существуют требования по обеспечению проверки прикладного ПО на соответствие требованиям безопасности, статического и динамического сканирования, подготовки модели угроз. По оценке Игоря Души, обеспечение безопасности прикладного ПО - общая задача для любой отрасли и действительно правильный подход. "Также и встраивание функций безопасности внутрь ПО - верный подход, к которому нужно стремиться, но сам Центр вряд ли предоставит общее решение, так как эту задачу нужно реализовывать каждому разработчику, выстраивать процессы безопасной разработки и встраивать системы и функции защиты. Желание создания унифицированного подхода для защиты объектов КИИ от компьютерных атак понятно и раскрыто во многих стандартах. Однако это общий, не привязанный к конкретной отрасли и ее специфике подход, в частности отображенный в приказе ФСТЭК России №239 и в различных международных стандартах. Это своего рода рекомендации, каким образом нужно строить систему информационной безопасности. Описанная концепция кибериммунитета - это подход, базирующийся на принципе, что безопасность необходимо обеспечивать в самом ПО и на этапе создания ПО. Само слово как термин, на мой взгляд, несколько избыточно, потому что по факту это переименование уже существующих подходов и еще один шаг, указанный в приказе ФСТЭК России №239. Он верный, его необходимо исполнять и способствовать его популяризации", - рассказал Игорь Душа.
Эксперт по информационной безопасности компании "Акронис Инфозащита" Евгений Родыгин считает, что инициатива значимых представителей отрасли, работающих в области информационной безопасности, по созданию центра компетенций вполне своевременная. По его оценке, важно, что она подразумевает участие крупного заказчика решений: в структуре "Росатома" богатое разнообразие объектов КИИ, это значит, что решения будут апробироваться в реальной среде непосредственно на стороне пользователей. Однако, как считает Евгений Родыгин, применение конкретной методологии и формирование очередного рекомендуемого к применению в КИИ "реестра" может встретить критику со стороны отрасли, это станет видно в процессе реализации проекта.
"Унифицированный подход к кибербезопасности объектов КИИ может ограничить возможности архитекторов целевых систем защиты информации, но базовые подходы могут формироваться и приносить пользу и на основе предложенной инициативы. Конкретные концепции, предлагаемые компаниями на основе их компетенций, могли бы дополнить плеяду других: вряд ли возможно сформировать абсолютно универсальный подход. Как правило, специалисты понимают, что такое "безопасное решение", но добиться его создания и поддержания на всем жизненном цикле в составе систем КИИ - задача, требующая внимания на всех этапах", - рассказал Евгений Родыгин.
Исполнительный директор компании Artezio (входит в группу "Ланит") Павел Адылин отметил, что в России процесс импортозамещения постепенно перестает быть задачей только государства и законодательных органов. В него включаются крупные компании и появляются инициативы, которые вполне можно считать частными. Это значит, как подчеркивает Павел Адылин, что сам бизнес заинтересован в том, чтобы использовать безопасные российские решения. "Для отечественного рынка разработки оборудования и ПО такие центры и инициативы несут позитивные изменения. Спрос на российские решения вырастет, а это в свою очередь будет стимулировать инвестиции в новые исследования. Основная проблема, которую важно преодолеть на текущем этапе импортозамещения, - это серьезное отставание российской разработки, особенно аппаратной, от зарубежной. Потенциал у ИТ в России очень высокий, но не всегда по качеству и функциональности наши решения могут уверено конкурировать с популярными аналогами. Изменить положение можно благодаря растущему спросу и инвестициям в отрасль, поэтому создание различных центров и унификация требований - это движение в правильном направлении", - сообщил Павел Адылин.
По его мнению, унифицированный подход к кибербезопасности объектов КИИ поможет разработчикам лучше понимать ожидания заказчика, в какой-то мере упростит и ускорит создание эффективных решений. Также позволит обезопасить промышленные объекты от участившихся в последнее время кибератак злоумышленников. Как отмечает Павел Адылин, в конечном счете все эти усилия ведут к улучшению позиций российского ИТ на отечественном рынке ПО и оборудования.
Директор по стратегическим коммуникациям Infosecurity Александр Дворянский убежден, что тиражирование уникальной экспертизы будет полезно для всех участников рынка, так как позволит унифицировать многие процессы. "Плюс ко всему многим новым компаниям не придется проходить собственный путь проб и ошибок при выработке наиболее действенных технологий и процессов обеспечения информационной безопасности. В разрезе соответствия требования КИИ подобные инициативы всегда находят отклик у участников рынка, поскольку требования при обеспечении безопасности КИИ жестко регламентированы законодательством и при их выполнении на начальном этапе у субъектов КИИ всегда появляется много вопросов. Таким образом, формирование лучших практик и их тиражирование среди участников вполне ожидаемое и правильно решение. Отдельно стоит отметить: технологии злоумышленников тоже не стоят на месте, поэтому процедура определения и тиражирования наиболее эффективных методов реагирования и процессов обеспечения информационной безопасности также должна постоянно актуализироваться в соответствии с текущей конъюнктурой рынка", - объясняет Александр Дворянский.
Эксперт по информационной безопасности Лиги цифровой экономики Андрей Слободчиков считает, что сегодня сквозная безопасность нужна как никогда. "Каждый год количество кибератак увеличивается в разы, а методы становятся все более изощренными. Появляются услуги по DDoS-атакам и вирусам-вымогателям как сервис, по привлечению злоумышленников для взлома ресурсов и т.п. Поэтому создание такого центра актуально не только в энергетике, но и для государственных информационных систем, медицинских информационных систем и т.д. Рынку такой подход малоизвестен, так как это своеобразное ноу-хау в области информационной безопасности. Но подобный вид услуг действительно необходим в силу нехватки кадров в области безопасной разработки программного обеспечения, экспертов по ИБ и т.д. На самом деле сквозная безопасность - следующий шаг по обеспечению безопасности ИТ-систем. В будущем этот подход будет внедряться повсеместно, так как данная концепция сводит к минимуму возможность реализации многих актуальных угроз", - отмечает Андрей Слободчиков.
По оценке эксперта унифицировать подход к кибербезопасности для всех практически невозможно, но можно это сделать по направлениям деятельности объектов КИИ. "Например, для медицинских учреждений один подход к обеспечению концепции сквозной безопасности, для ТЭК - другой, возможно, более объемный и комплексный. Но в любом случае они будут схожи. Для повышения информационной безопасности на уровне страны создание подобных центров действительно необходимо", - рассказал Андрей Слободчиков.
Руководитель отдела информационной безопасности компании "Ланит-Интеграция" Николай Фокин говорит, что создание такого центра - это серьезный шаг в области защиты объектов КИИ, да и в вопросе построения систем защиты. "К сожалению, на данный момент многие субъекты КИИ стремятся выполнить требования законодательства и лишь во вторую очередь заботятся об обеспечении реальной безопасности своих объектов. Если говорить о востребованности такого центра на рынке, то, скорее всего, наибольший интерес проявят крупные госкорпорации и холдинги, которые и сейчас в достаточной степени заботятся о безопасности своих систем. Но для компаний меньшего размера вопрос построения таких систем обеспечения ИБ останется по-прежнему острым", - отметил Николай Фокин.
Согласно его оценке, идея создания унифицированного подхода к обеспечению безопасности объектов КИИ достаточно интересная, но сложно реализуемая, учитывая достаточно широкий перечень отраслей субъектов КИИ, а также их разношерстность. "Концепция кибериммунитета, предложенная "Лабораторией Касперского", схожа с концепцией безопасной разработки приложений (DevSecOps), но только для информационных систем. Допускаю, что в основе идеи унифицированного подхода должно лежать несколько концепций, среди которых может оказаться и концепция кибериммунитета. Будем надеяться, что субъектам КИИ дадут свободу выбора при определении подхода к защите своих систем", - считает Николай Фокин.
Член комиссии Ассоциации юристов России по новым технологиям и правовому обеспечению цифровизации общества Дмитрий Липин сообщает, что все вопросы, связанные с обеспечением безопасности критической информационной инфраструктуры Российской Федерации, к которой в первую очередь относятся и объекты атомной промышленности, регулируются Федеральным законом "О безопасности критической информационной инфраструктуры в Российской Федерации" и соответствующими подзаконными актами уполномоченных федеральных органов. "В целях защиты объектов КИИ от внешних и внутренних атак функционирует Государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы Российской Федерации, эффективность которой обеспечивается силами ФСБ и ФСТЭК России. Вместе с тем создание Центра компетенций выглядит разумной идеей, поскольку одной из очевидных задач такого центра будет формирование отраслевой практики импортозамещения. Безусловно, есть единые требования к стандартам безопасности на федеральном уровне, однако сегодня необходимо создать и некие "тестовые лаборатории", которые могут заняться проверкой совместимости российских аппаратных решений и программного обеспечения, а также вопросами более детальной проработки нормативных правовых актов. Поскольку регуляторы отвечают за государственную политику обеспечения безопасности КИИ в целом, а также за функционирование государственной системы информационной безопасности, им довольно сложно будет взять на себя и контроль всех процессов от производства оборудования до его внедрения. С другой стороны, еще сложнее контролировать каждого производителя оборудования и разработчика программного обеспечения по отдельности. Именно поэтому появление единой платформы - Центра компетенций, - которая будет связующим звеном между производителями, разработчиками, объектами КИИ и регуляторами, позволит избежать многих проблем при импортозамещении ИT-решений на стратегически важных объектах", - рассказал Дмитрий Липин.
