ИБ в облаках
Несколько лет назад тема облачных сервисов и услуг была на слуху, но в какой-то момент ажиотаж спал, а облачные технологии незаметно, но прочно вошли в повседневную жизнь как обывателя, так и бизнеса. Сегодня вопросы развития рынка облаков снова актуальны как никогда. В последнее время происходят довольно серьезные изменения в законодательстве (как российском, так и мировом), которые в первую очередь касаются именно работы в Сети, а значит, влияют и на рынок облаков. Кроме того, особенно важной становится тема обеспечения ИБ в облаках, причем специалисты и участники рынка готовы рассматривать ее под самыми разными углами. Это и безопасность самих облаков, в частности защита данных, хранящихся в них, так и перевод значительной части ИБ-процессов в облака, нарастающий тренд по использованию облачных ИБ-решений.
Мы попытались разобраться в этом сложном и запутанном сегменте IT-рынка и обратились с актуальными вопросами к облачным экспертам.
Рынок облачных ИБ-решений
Рынок облачных ИБ-решений постепенно трансформируется: появляются новые точки роста, меняются приоритеты заинтересованных сторон, увеличивается роль государства. Что в действительности происходит с этим рынком сегодня, как удается согласовать интересы участников и чего желают заказчики?
Директор по развитию бизнеса M1Cloud (Stack Group) Владимир Лебедев убежден, что рынок ИБ для облаков продолжает расти. Связано это как с ростом рынка облачных сервисов в качестве модели потребления ИТ, так и с переходом заказчиков на сервисную модель потребления ИБ-решений для собственных целей. Он отмечает, что в последнее время наблюдается повышенная готовность ИБ-вендоров предоставлять все большее количество продуктов и решений для облачных поставщиков, предлагая их конечному заказчику как сервис.
Технический директор ActiveCloud Руслан Райкевич отмечает, что вместе с ростом популярности облачной модели использования ресурсов также растут требования к обеспечению ИБ в облачных средах. И если большинство заказчиков удовлетворяют стандартные подходы, то крупные заказчики в большинстве случаев рассматривают предложения с инфраструктурой, защищенной в соответствии с ФЗ-152, чаще всего независимой от других клиентов.
Руководитель направления DLP центра информационной безопасности компании «Инфосистемы Джет» Дмитрий Ключников считает, что точкой роста является заинтересованность потребителей облачных услуг в контроле и управлении критичными данными. Многие зарубежные сервис-провайдеры предоставляют сервисы по многофакторной аутентификации, резервному копированию и контролю привилегированных пользователей. Однако, продолжает г-н Ключников, контроль сохранности конфиденциальных данных и их движения в облачной среде ложится на заказчика облачных услуг, так как степень критичности данных может оценить только их владелец. Здесь на помощь приходят решения класса Cloud Access Security Broker (CASB), в общем случае представляющие собой облачный сервис, связанный как с инфраструктурой организации, так и с облачным приложением. С их помощью можно получить полную картину использования облачных приложений в организации, определить местоположение и движение конфиденциальных документов внутри облачных сервисов, а также настроить реагирование на нарушения в соответствии с политикой защиты конфиденциальной информации предприятия, рассказывает он. Продукты класса CASB активно развиваются за рубежом, и некоторые отечественные производители уже задумались над выпуском аналогов, резюмирует г-н Ключников.
«Мультитенантность, то есть техническая возможность обслуживания многих клиентов на базе одного решения, уже поддерживается во многих импортных средствах защиты. В российских СЗИ часто есть только лицензия, позволяющая оказывать услуги на решении вендора, а технически каждому клиенту нужно разворачивать отдельное решение. Так что мультитенантность в СЗИ и СКЗИ – это перспектива для многих российских и зарубежных вендоров», – рассказывает директор центра киберзащиты DataLine Василий Степаненко. Он отмечает, что сегодня облачным провайдерам очень не хватает этих возможностей для создания эффективных сервисов. В то же время на рынке уже давно присутствуют специальные облачные ИБ-решения, в том числе изначально российские, например Qrator, Wallarm и др. По мнению г-на Степаненко, рынок долго не верил в облака, но на данный момент многие изменили свое мнение и теперь активно работают с ними: вероятно, следующий шаг – рост спроса на облачные ИБ-сервисы. Г-н Степаненко подчеркивает, что доверие к модели SECaaS (Security as a Service) постепенно растет и уже сейчас у компании есть клиенты, пользующиеся подобными услугами. Переход в облака, говорит он, породил ряд новых проблем, в связи с чем на рынке стали появляться новые классы средств защиты, например CASB (Cloud Access Security Broker). Однако, к сожалению, известных российских решений данного класса пока нет.
Руководитель направления ИБ компании Bell Integrator Алексей Майоров согласен с тем, что заинтересованность со стороны всех участников процесса постепенно растет. Но, по его мнению, регулирующие органы в сфере защиты информации не совсем позитивно относятся к этому процессу и накладывают ограничения на использование некоторых средств защиты информации в облачных структурах, например, в сфере защиты информации ограниченного доступа.
Руководитель службы ИБ компании «Онланта» (ГК ЛАНИТ) Мурад Мустафаев отмечает, что рынок ИБ-решений меняется в зависимости от потребностей заказчика. Так, сегодня особенно много внимания уделяется защите персональных данных в облаках.
Мурад МУСТАФАЕВ («Онланта»):
В схеме «заказчик – облачный провайдер» заинтересованы обе стороны, так как одной необходим качественный отказоустойчивый безопасный сервис, а второй – платежеспособный клиент, готовый платить за надежность оказываемого сервиса.
Особое внимание
Особую роль на рынке облаков и соответствующих ИБ-решений играют облачные сервис-провайдеры. Очевидно, что российский рынок облачных услуг и сервисов имеет свою специфику. На какие нюансы сегмента ИБ в облаках стоит обратить особое внимание российским сервис-провайдерам?
Владимир ЛЕБЕДЕВ (M1Cloud):
Владимир Лебедев (M1Cloud) отмечает, что интерес к решениям ИБ в облаке проявляют заказчики, которые реализуют свои требования по безопасности в гибридных инфраструктурах: с одной стороны, имея уже достаточно большой выбор вендорских решений по защите информации у сервис-провайдера, а с другой стороны, реализуя требования к единой среде и средствам защиты как внутри собственной инфраструктуры, так и у облачного провайдера.
Директор по продуктам ActiveCloud Сергей Авраменко обращает внимание на интересный факт: повышение ИБ является одним из мотиваторов облачных клиентов при переходе в облако – наряду с гибкостью и скоростью доступа к вычислительным ресурсам, повышением качества обслуживания собственного бизнеса. В большинстве своем именно облачные провайдеры обладают более совершенными процессами и инструментами по ИБ, способными обеспечить безопасность на должном уровне, что подкрепляется в том числе и договорными отношениями. Наличие у облачных провайдеров международных и локальных сертификатов по ИБ также усиливает их позиции, считает г-н Авраменко.
Сергей АВРАМЕНКО (ActiveCloud):
Опросы показывают, что риски, связанные с ИБ, уже не входят в топ опасений клиентов при переходе в облако. На первые места вышли бесшовная интеграция с собственными IT-ландшафтами, наличие у клиентов облачных компетенций и зависимость от облачных провайдеров, заключает г-н Авраменко.
Василий Степаненко (DataLine) отмечает, что все чаще появляются претензии к облачным провайдерам от различных «уполномоченных представителей» правообладателей о том, что клиенты облака нарушили авторское право или без разрешения правообладателя используют его интеллектуальную собственность. Таких «уполномоченных представителей» все больше, и, хотя их жалобы в большинстве случаев нелегитимны, они уже стали обращаться в суд. Похоже, что это новый вид бизнеса в РФ – такие IT-коллекторы.
Василий СТЕПАНЕНКО (DataLine):
Мурад Мустафаев («Онланта») говорит, что многие провайдеры забывают о главном: нужно не только продать сервис, но и качественно защитить облачную инфраструктуру. Особое внимание необходимо уделить защите от утечек информации и усилению отказоустойчивости оборудования при попытках проникновения, убежден он.
Опубликовано 10.04.2019
Руслан РАЙКЕВИЧ (ActiveCloud):