Цифровая среда как источник угроз
Как обычно осень богата на ИБ-мероприятия, но сегодня мы хотим вспомнить одно, очень важное состоявшееся на стыке лета и осени. В последние дни августа в рамках II Петербургского цифрового форума прошла конференция по информационной безопасности, в которой приняли участие ведущие производители средств защиты, руководители служб ИБ государственных структур и корпораций, эксперты рынка. В дискуссии обсудили роли и задачи менеджмента, готовность отрасли ИБ к цифровой трансформации, внутренние и внешние угрозы, обнаружение, предупреждение, ликвидацию последствий кибератак на информационные ресурсы и другие актуальные вопросы безопасности.
Защита личности
Первая секция «Личность» была посвящена персональным данным, поиску баланса между интересами гражданина и государства в цифровую эпоху. Проблемы вторичных данных, тех, что размещают о себе и других пользователи социальных сетей, перечислил Игорь Ашманов, президент «Крибрум», управляющий партнер «Ашманов и партнеры». По его словам, вычислить все больше информации, не обращаясь к первичным данным, становится все проще, а ответственности за это никто не несет.
По теме GDPR мнения спикеров разделились. Так, Алексей Мунтян, эксперт по ПДн считает, что при выборе политики защиты персональных данных не следует отвергать опыт, накопленный Европой, необходимо всесторонне оценить все преимущества и недостатки модели.
Поскольку цифровая личность уже вполне осязаема, мы столкнулись с рисками, о которых 15–20 лет назад никто и подумать не мог, уверен модератор секции Дмитрий Мананников. Личность можно подделать, можно украсть. Как защитить биометрию? Какие новые инструменты будут эффективными?
Государство защищает любую информацию, размещенную на государственных ресурсах, говорит Валерий Комаров, представитель ДИТ Москвы. Поэтому необходимо разделять коммерческие и государственные сайты. Далее требуется определить, нужно ли вводить отдельную ответственность для коммерческих структур, как это будет выполняться иностранными компаниями на территории РФ и многое другое. Нужно обеспечить безопасность цифровой инфраструктуры, непрерывность бизнес-процессов по обработке данных о личности. К сожалению, сейчас часто возникают ситуации, когда люди вынуждены доказывать в суде свое существование, а данные отсутствуют.
Однозначных рекомендаций по защите цифровой личности нет. Время диктует необходимость соблюдать базовые правила цифровой гигиены. Государство в свою очередь должно прививать навыки безопасного поведения в Сети, рассказывать о мерах предосторожности, контролировать ресурсы.
В заключение участники обсудили ситуацию с кадрами, безопасность для детей, подростков и их родителей. Екатерина Старостина, консультант департамента ИБ Банка России, подчеркнула, что для подготовки качественных кадров нужно привлекать практиков при формировании учебных вузовских программ. Бизнес заинтересован в получении хороших специалистов, поэтому многие компании преподают в вузах, организуют специальные курсы ИБ-дисциплин. Например, недавно ЦБ принимал участие в разработке программы для Высшей школы экономики, активно сотрудничает с «Сириусом», образовательным центром для школьников. Кроме того, Центробанк вскоре открывает «киберполигон», где будут проходить учения для школьников, студентов, да и просто всех заинтересованных людей.
Защита государства
Цифровая трансформация не только затронула большинство коммерческих компаний, но и активно реализуется на государственном уровне, в связи с чем возникают новые задачи по обеспечению ИБ. Об этих задачах говорили в секции «Государство». Участники обсуждали источники новых видов угроз для частных лиц, бизнеса и государства, государственную политику в области ИБ, регулирование Интернета и гражданские инициативы.
По словам Натальи Касперской, президента ГК InfoWatch доля утечек данных из государственных корпораций в России растет, и она выше, чем в среднем по миру. При этом случаев наказания ничтожно мало. И если за государственную измену есть примеры реальных сроков, то за разглашение гостайны – два года условно. В случае с персданными – это максимум штрафы. Первый вопрос, который должен быть задан при цифровизации государственных услуг: «Как мы защитим гражданина?»
Цифровизация проникает глубоко внутрь управления производством, в системы жизнеобеспечения, системы государственного управления, считает Игорь Ляпунов, вице-президент по информационной безопасности ПАО «Ростелеком». И здесь виден более опасный тренд – атаки на получение точки присутствия и контроля в системе управления. Причем эти атаки отличаются от классических серьезным уровнем подготовки, высокой скоростью, средствами маскировки. Пострадавшие компании не обнаруживают присутствия в своих информационных системах посторонних в течение долгого времени.
Михаил Петров, директор Департамента цифровой трансформации Счетной палаты РФ, считает, что необходимо встраивать в системы управления имуществом, деньгами, объектам КИИ какие-то схемы защиты прежде всего социального характера, именно такой подход должен быть в приоритете. Не секрет, что у многих компаний журналы с «моделями угроз» лежат на дальних полках и пылятся от проверки до проверки, а подобная защита данных не может быть эффективной. Вместо этого нужны рабочие тренировки персонала.
Наталья Касперская обратила внимание участников, что сегодня 90% «железа», используемого в объектах КИИ, – иностранного производства, и не надо специально организовывать атаки, потому что в оборудовании уже имеются необходимые для этого закладки. Призывы компаниям защищаться с помощью средств наложенной безопасности в современном мире практически теряют смысл. Безопасность должна быть встроенной.
По мнению Евгения Акимова, директора по кибербезопасности концерна «Калашников» атаки опережают действия по защите, он предположил, что если бы ФЗ-187 был принят пять лет назад, ситуация с информационной безопасностью была бы иной. Но использование только российских продуктов не является панацеей: закладки могут быть и в них.
Но Россия пока не умеет производить микропроцессоры мирового уровня, которые необходимы современному оборудованию, государство только начинает инвестировать в эту область, делая вложения на длительную перспективу. По словам Игоря Ляпунова, через 10 лет возможно появление высокопроизводительных серверов, полностью основанных на отечественной элементной базе.
Говоря о перспективах информационной безопасности, Михаил Петров подчеркнул, что искусственный интеллект в этой сфере может сослужить хорошую службу. Растущие мощности позволяют выявлять ранее неизвестные закономерности, которые, в свою очередь, могут быть использованы как для профилактики нарушений, так и для снижения рисков ИБ.
Защита бизнеса
В заключение конференции была проведена секция «Бизнес и технологии», на которой говорили об ИБ как о драйвере бизнес изменений, результатах импортозамещения, механизмах экспорта и импорта технологических решений и ноу-хау, о формировании конкурентных преимуществ на мировом технологическом рынке, готовности служб ИБ поддержать цифровую трансформацию бизнеса.
.jpg)
«Драйверность» ИБ зависит не только от бизнес-модели, но и от зрелости компании, считает Дмитрий Маннаников. Процесс закрытия большинства рисков и проблем, с которыми сталкивается любое предприятие, положительно влияет на его развитие, таким образом через систему внутренних ограничений компания получает больше внешней свободы.
Владимир Рубанов, управляющий директор компании «Росплатформа» говорит, что ИБ в компании-разработчике сильно отличается от традиционных подходов. Здесь больше послаблений. Так, программист может участвовать в рабочем процессе в любое время из любой точки мира, соответственно, у него должен быть полный доступ.
Какой должна стать служба ИБ в пятилетней перспективе? По мнению Артема Воробьева, руководителя ИБ «Байер СНГ», нельзя писать одну модель угроз на компанию. Нужно оценить, с одной стороны, какой ущерб может быть нанесен компании, а с другой – понять, что она потеряет, в случае если ИБ будет применять жесткие методы.
Безопасность неотделима от кадров, в продолжение темы, поднятой на первой секции, участники бизнес-дискуссии обсудили компетенции безопасников, требования бизнеса к специалистам, соответствие ожиданиям.
С 1 января 2020 года профессиональный стандарт специалиста по ИБ будет обязателен для госкорпораций, затем, после обкатки – для финансовой отрасли. Это должно положительно повлиять на рынок кадров ИБ, считает Лев Шумский, директор по информационной безопасности ассоциации «ФинТех».
Говоря о перспективных трендах ИБ, Дмитрий Мананников отметил, что например, безопасность бизнес-процессов, системы анализа потоковых данных с точки зрения бизнес-логики дают максимальный результат. Лев Шумский назвал перспективным для снижения фрода поведенческий анализ и технологии, связанные с детектированием пользовательских устройств.
Из интересных идей участники выделили «безопасность как сервис», поэтому от рынка ожидают облачных решений, снижающих стоимость затрат на ИБ для предприятий.
Смотреть все статьи по теме "Информационная безопасность"
Опубликовано 07.11.2019