Безопасность в региональном масштабе

В эпоху турбулентности ключевыми факторами для бесперебойной работы государственных систем являются оперативность в решении задач и взаимодействие всех заинтересованных сторон: регуляторов, госзаказчиков и вендоров. К 1 января 2025 года все объекты критической информационной инфраструктуры должны быть переведены на отечественные продукты. Насколько это требование может быть выполнено в регионах? Что делать с обновлениями иностранного ПО? Какую роль в ИБ будет играть ГОСТЕХ? Повлиял ли на работу ИТ-служб массовый отъезд специалистов из России? Вопросы, поднятые в ходе пленарного заседания форума «ИТ Диалог» продолжили обсуждать на секции «Кибербезопасность: от концепции к реальности». Руководители региональных министерств говорили о своих задачах и проблемах с руководителями Минцифры и ФСТЭК, а представители ИТ-отрасли предлагали свои идеи для их решения.

Въезд-выезд

В конце февраля-начале марта из России начался массовый отъезд ИТ-специалистов. Как это сказалось на ИТ-службах органов госвласти? И стало ли это угрозой для обеспечения безопасности?

Руководители региональных министерств говорят, что они с такой проблемой пока не сталкивались. В отличие от ИТ-компаний, из органов власти ИТ-специалисты очень редко уезжают за границу. К сожалению они уходят в основном из-за финансовых причин.

Однако ФСТЭК России предусмотрела меры, которые необходимо принять в случае отъезда специалиста. Заместитель директора ФСТЭК России Виталий Лютиков называет два варианта. Если специалист уезжает, но при этом остается работать в компании, это первый вариант и один набор мер, который должен быть принят, а если он уволился – это другой набор. «Для второго варианта мы сформировали набор организационно-технических мероприятий и разослали рекомендации. Среди которых блокировка доступа к ресурсам, смена аутентификационной информации, проведение дополнительного мониторинга узлов или сегментов, с которыми работал этот специалист. Сложнее обстоит дело с теми, кто продолжает работать удаленно. Здесь существует определенный базовый набор мер для доступа к инфраструктуре из-за рубежа. В том числе это доступ на основе «белых списков», его контроль через систему привилегированных учетных записей», - поясняет замглавы ФСТЭК.

Обновление ПО

Иностранные производители продолжают выпускать обновления своих продуктов и всегда рекомендуют пользователям их ставить. В том числе и для повышения безопасности. Но что делать сейчас российскому госсектору? Может ли установка обновления из недружественного государства привести к гораздо большим проблемам?

В государственных органах Тульской области отключили все такие обновления и заблокировали возможность их получения. Для критически важных обновлений есть специализированные песочницы, где они тщательно тестируются на предмет деструктивного влияния.

Министр информатизации и связи Удмуртской Республики Тимур Меджитов считает, что нужно сфокусироваться на серверном блоке, который сейчас больше всего атакуют. «Мы в последние годы активно заменяли иностранное ПО на российское, но остались еще отдельные open source решения, и мы стараемся закрыть их снаружи системами разной направленности. Есть план работ, по которому оставшиеся системы будут заменены отечественными».

Гостех: прогнозы и опасения

Идея единой цифровой платформы, на которой можно быстро и эффективно создавать государственные цифровые сервисы и информационные системы активно продвигается Минцифры. Решит ли переход всех регионов на Гостех их проблемы с точки зрения безопасности?

Наталья Никольская, заместитель руководителя Администрации Главы Республики Карелия считает, что сама идея Гостеха интересна, особенно для дотационных регионов. Но из-за постоянно меняющихся условий и тем, что проблема безопасности на платформе Гостеха пока до конца не решена, это является существенным ограничением.

А заместитель председателя Правительства Тульской области Ярослав Раков называет Гостех, как централизованную систему – по сути «яйцами в одной корзине». «Что произойдёт, если каналообразующее оборудование будет выведено из строя? Централизация критически важных систем сегодня – это большой риск. Чтобы его снизить, нужны геораспределенные системы», - уверен зампред.

Действительно Гостех, по словам модератора секции Алексея Лукацкого сейчас живет в своеобразном режиме agile. Но как он сочетается с требованиями безопасности? И кто будет отвечать за случившийся инцидент?

«В Гостехе вопросы безопасности идут параллельно с ИТ. Как только появляется новый сегмент ИТ-ландшафта, наши эксперты пишут под него документы по ИБ. Да, это все «яйца в одной корзине», но и механизмов защиты гораздо больше. Что касается ответственности – она точно должна быть разделена. На каждом уровне будет свой ответственный. Кто управляет инфраструктурой – тот и будет отвечать за инциденты в ней, а не оператор ГИС», - уверен Владимир Бенгин, директор Департамента обеспечения кибербезопасности Минцифры России.

По словам Виталия Лютикова, безопасность должна строиться как на системном уровне, так и на прикладном: «Наши системы строятся на принципах контейнеризации. А у нас есть адаптированные российские средства контейнеризации? Мягко говоря нет. Есть еще очень важная технология с точки зрения ИБ – это Java. Все системы предусматривают безопасную разработку в среде Java? Тоже нет».

Сорок – много, три – мало

Модератор Алексей Лукацкий говорит, что сегодня на российском рынке работают примерно двести отечественных разработчиков средств защиты информации. Но в будущем выживут из них далеко не все, ходят конспирологические версии, что в итоге останется несколько компаний. Не повлияет ли отсутствие конкуренции на развитие рынка?

Замглавы ФСТЭК считает, что в России не нужно сорок операционных систем – это слишком много. Особенно для разработчиков прикладного ПО, в том числе и средств защиты. «С другой стороны мы не готовы схлопнуть рынок до трех-четырех игроков», - добавляет Виталий Лютиков.

Планируется ли запрещать продукты, которые используют недружественное нам программное обеспечение?

По словам Виталия Лютикова, ФСТЭК в течение всего года с разной степенью интенсивности акцентирует внимание разработчиков средств безопасности на использование в качестве среды функционирования или ядра того или иного общесистемного и прикладного ПО. «Если условно прикладное средство защиты использует для работы только ПО недружественных стран, мы сертификат не выдадим. Те же средства, что имеют сертификаты, будут заменять иностранные продукты на российские. Понятно, что на это потребуется время. Если к определенной дате замена не произойдет, сертификаты будут аннулированы», - говорит он.

По словам Тимура Меджитова, в Удмуртской Республике при построении системы защиты ориентируются исключительно на российские программные решения. «Считаю, что они одни из самых зрелых среди всех, что есть на мировом рынке. Они далеко обогнали инженерный софт и SCADA системы. С одной стороны 200 разработчиков средств ИБ – слишком много для российского рынка, с другой – есть риск, когда крупная госкорпорация поглощает мелкие предприятия. Потому что сейчас российские вендоры работают на конкурентном рынке и бьются за клиентов, учитывая клиентский опыт и пожелания. У крупного игрока такой заинтересованности может не быть», - поясняет Тимур Меджитов.

Ожидания госзаказчика

С уходом западных вендоров их место активно занимают отечественные производители. Но могут ли они полностью покрыть нужды госсектора?

Михаил Шляпников, начальник управления ИБ Министерства цифрового развития и связи Оренбургской области говорит, что безопасность – это некое состояние, которое строится на совокупности информационных систем и средств защиты. Многие российские средства защиты прекрасно работают с Windows. И не очень хорошо с Linux. Системы активного обнаружения вторжений видят CVE (Common Vulnerabilities and Exposures) под Windows и не видят под Linux. Поэтому сложно оценить, насколько ГИС при замене одного ПО на другое будут хорошо защищены. «Нам нужны API, NGFW и BGP, но эти три компоненты мы ни в одном отечественном решении не нашли», - добавляет он.

А Ярославу Ракову (Тульская область) не хватает скорости сертификации и адаптации программных продуктов под новые версии Linux систем, под российские мобильные системы. «Попробуйте на Авроре построить ViPNet. Пока релиз не прошел все внутренние тестирования, его нельзя использовать. А временной лаг в полгода может быть критичен. Прикладные системы выходят под конкретное ядро, а средств защиты информации под него нет. Приходится ждать или изобретать костыли. Поэтому идея выбора ключевых игроков – хорошая идея. При этом всё, что мы используем для информационной безопасности российского происхождения, сертифицированное ФСТЭК и ФСБ», - говорит Ярослав Раков.

Наталья Никольская (Республика Карелия) считает очень важной «железную импортонезависимость»: «Есть пожелание, чтобы производители железа не заставляли себя долго ждать. Необходимо, чтобы не только ПО, но и компоненты инфраструктуры были отечественными».

ФСТЭК как ФОИВ тоже является госзаказчиком. «Хотелось бы, чтобы поддержка продуктов и устранение проблем было быстрым и оперативным. И чтобы эта поддержка не стоила как самолет. А если у нас заканчивается лицензия и мы не смогли в силу финансовых причин ее своевременно продлить, чтобы наше российское средство не превращалось в кирпич. И чтобы не нужно было тратить 500 часов, чтобы разобраться, как оно работает. Нужна ориентированность на пользователя», - говорит Виталий Лютиков. В то же время ФСТЭК делает всё, чтобы сократить время сертификации, так недавно внесли изменения в регламентные сроки, значительно уменьшив их. «Но разработчик часто выходит на сертификацию с условно готовым продуктом как с точки зрения качества кода, так и внутренних процессов. Несмотря на то, что тренд на внедрение безопасной разработки задан у нас еще с 2016 года и базовые механизмы уже должны быть давно внедрены, к сожалению это не так», - добавляет он.

По словам Владимира Бенгина, существует набор классов решений, которые Минцифры как заказчика, не удовлетворяют по объемам, скоростям или функциональным возможностям. Например, сложно закрыть потребности огромных ГИС. «В настоящее время отечественный рынок растет на благодатной почве. Но есть системная проблема: разработчики могут решить практически любую задачу, но это не масштабируется на всю страну. Так, у российских провайдеров очень дорогие услуги просто потому, что их мало и они не успевают удовлетворить потребности всех желающих. Часто нет сложной экспертизы у интеграторов. Всё это взаимосвязанные проблемы. Мы помогаем отрасли вырасти и закрыть потребности заказчиков. Поэтому мы пытаемся фактически спонсировать создание российского NGFW. Кстати те, кто его разрабатывает часто не просят субсидии, они хотят координации. Сегодня SIEM-системам очень сложно переварить события от сетевых устройств, ведь это 50 тыс. событий в секунду уже не в самых больших сетях. Соответственно, задачу ретроанализа нужно куда-то встраивать на уровень NGFW, а не отдавать на откуп SIEMам. Поэтому так важны вопросы координации при создании отечественного рынка ИБ решений», - говорит Владимир Бенгин.

Вознаграждение за обнаружение ошибок

У ИТ-гигантов широкое распространение получила модель Bug Bounty. Те, кто находят проблемы в безопасности приложений, получают вознаграждение. Можно ли использовать Bug Bounty при разработке государственных систем? И кто будет платить за попытки их взлома и поиск уязвимостей?

Поскольку органы госвласти не создают сами средства защиты информации, а используют готовые прикладные решения, то этот вопрос в первую очередь адресован производителям. Готовы ли они выкладывать свои продукты для публичного тестирования? При этом госзаказчикам может быть интересна такая сторонняя экспертиза, как проверка на уязвимость. Это поможет выяснить, все ли закрыто с учетом существующих требований. С другой стороны, ведь найдутся те, кто найдут уязвимости и их не задекларируют. А это уже представляет серьезную угрозу.

Региональные участники предложили Минцифры ввести для продуктов, находящихся в реестре отечественного ПО систему грейдов. Чтобы оценить как качество разработки, так и защищенности решений. Это может мотивировать вендоров участвовать в такой программе для повышения своего рейтинга.

Владимир Бенгин считает, что опыт Bug Bounty может быть очень полезным: «У вас есть продукт, и вы не способны контролировать всех, кто им пользуется. Например сайт госоргана, на который все ходят, так как он находится в публичном доступе, и его может попытаться взломать любой хакер. Можно объявить программу Bug Bounty и предложить исследователям найти уязвимости. При этом конечно есть ограничения. Так, не выключаются защитные механизмы, запрещено любое проникновение внутрь. Было бы замечательно, если бы ФСТЭК заставило вендоров проводить такие процедуры со своими массовыми продуктами».

Виталий Лютиков поддерживает идею: «Если говорить об ИТ-продуктах вендоров – мы «за» обеими руками. С точки зрения безопасности это пойдет на пользу всем. Что касается информационных систем, то если сформировать и описать все правила и требования, то это тоже будет иметь положительный эффект. Но это не должно стать для ИС обязательным требованием. Потому что сначала нужно создать платформы и условия, и экспериментально всё отработать. Что касается разработчиков средств защиты, то их уровень зрелости сегодня очень разный. Одни выполняют всё необходимое, не дожидаясь рекомендаций ФСТЭК, а других не заставят даже наши рекомендации. К тому же часто те, кто активно продвигает идею Bug Bounty, свои продукты в эту программу не запускают».

Продолжение следует.