ИБ в условиях повышенной облачности
Сохранится ли в 2022-2023 гг. тренд на удаленную работу?
Сергей Петренко,
директор по продуктам компании «Аладдин Р.Д.»
ФСТЭК России в письмах федеральным органам исполнительной власти сформулировала первоначальные подходы к обеспечению безопасного удаленного доступа к ГИС, КИИ, ИСПДн и т.д. В 2021 году удалённая работа легализуется в федеральном законодательстве. Вносятся изменения в Трудовой кодекс Российской Федерации в части регулирования дистанционной (удаленной) работы и временного перевода работника на дистанционную (удаленную) работу по инициативе работодателя в исключительных случаях (Федеральный закон от 08.12.2020 г. № 407-ФЗ).То есть "удалёнка" из временной меры из-за угрозы пандемии превращается в стандартный, "штатный" вариант работы сотрудников.
ФСТЭК России со своей стороны совместно с экспертным сообществом вендоров в сфере ИБ разрабатывает и выпускает новые Требования по безопасности информации к средствам обеспечения безопасной дистанционной работы в информационных (автоматизированных) системах (приказ ФСТЭК России от 16 февраля 2021 г. № 32).
Плюсы дистанционного формата
В 2022 году пандемия закончилась, а желание работать "из дома" у сотрудников осталось и окрепло. По опыту нашей компании можно констатировать, что многие соискатели уже в принципе не рассматривает full-time работу в офисе, предпочтительно обсуждаются полностью удаленная работа или гибридный график с периодическим присутствием в офисе. В ИТ сфере это касается таких профессий как программист, тестировщик, системный аналитик, технический писатель и т.д. От многих крупных компаний среди наших клиентов также поступала информация о сохранении дистанционного формата работы для значительной части своих сотрудников на постоянной основе.
Это, в общем-то, легко объяснимо. За два пандемийных года были перестроены бизнес-процессы и адаптирована информационная инфраструктура для поддержания удаленного режима работы большой части персонала. Во-первых, это понравилось многим сотрудникам, а во-вторых, сами работодатели ощутили повышение эффективности многих сотрудников "на удалёнке", а также оценили получающуюся при этом экономию бюджета и расширение географических горизонтов в плане подбора персонала.
ИБ-угрозы в новой реальности
Дальнейшее развитие событий после 24 февраля этого года привело к тому, что с одной стороны многие поставщики "западных" решений в сфере ИБ ушли с российского рынка, а с другой – значительно активизировались кибератаки, в особенности на крупные системообразующие и государственные корпорации. Это привело к ограничению распространения и поддержки решений многих брендов и развернуло рынок в сторону отечественных разработок.
В частности, можем отметить, что "Аладдин Р.Д." готов к увеличению спроса. Еще в феврале 2021 года мы выпустили "коробочный" продукт для организации безопасной удаленной работы сертифицированный по требованиям ФСТЭК России Aladdin LiveOffice. Он может применяться в ГИС до 1-го класса защищённости включительно, ИСПДн до 1-го уровня защищённости, в АСУП и АСУ ТП на критически важных объектах, потенциально опасных объектах до 1-го класса защищённости включительно; в значимых объектах КИИ до 1-ой категории включительно; в ИС общего пользования II класса, а также для обработки любой конфиденциальной информации, доступ к которой ограничен в соответствии с Конституцией РФ и федеральными законами (кроме государственной тайны).
Aladdin LiveOffice реализован в виде токена Live USB с полным набором средств для безопасного дистанционного подключения к служебному компьютеру с применением строгой или усиленной двухфакторной аутентификации (2ФА). Это решение обеспечивает работу в привычной рабочей среде, с корпоративным набором приложений и документов, удалённую работу с конфиденциальными документами, системами ЭДО и использование УКЭП. Выход в Интернет разрешён только со служебного компьютера через корпоративный шлюз. При его использовании личный компьютер становится доверенным за счёт применения комплекса мер защиты.
Прогноз
Мы видим, что тренд на удалённую работу не только сохранится, но и будет усиливаться, и в плане обеспечения безопасности здесь предстоит большая работа. Очевидно, что экстренный переход на дистанционную работу далеко не всегда сопровождался тщательной проработкой всех рисков, глобальной перестройкой ИТ/ИБ инфраструктуры и построением действительно безопасной инфраструктуры для удаленного доступа. Сейчас самое время этим заняться, так как кейсы уже отработаны, сценарии понятны, и появились соответствующие отечественные сертифицированные комплексные решения для организации дистанционной работы.
---------------------------------------------------------
Тренды ‘2022
Директор по клиентской безопасности компании Selectel Денис ПОЛЯНСКИЙ рассказывает, что зачастую заказчики хотят получить доступ к экспертизе внешнего провайдера по управлению системами защиты и передать их на администрирование, решив тем самым задачу с отсутствием необходимых внутренних компетенций и потребностью в высоком уровне защищенности. При этом основными угрозами безопасности облаков стабильно остаются: неправильная конфигурация, излишние или неверно настроенные права доступа к ресурсам и данным, а также использование небезопасных интерфейсов (API) и протоколов, считает он.
Директор по стратегии компании T1 Cloud Антон ЗАХАРЧЕНКО говорит, что общей проблемой 2022 года для российских организаций стало прекращение зарубежными вендорами поддержки предоставленных ими решений, в том числе по ИБ. Поэтому, как и остальным компаниям, облачным провайдерам пришлось перестраивать свою работу с учетом новых факторов: корректировать линию поддержки, искать сервисных партнеров с нужной экспертизой. И если импортное «железо» могло продолжать работать, то в сфере ИБ потребовалась оперативная миграция на российские средства защиты информации.
По мнению г-на Захарченко, технологические ограничения со стороны зарубежных вендоров активизировали миграцию ИТ-инфраструктур российских организаций в облака, а также повысили востребованность такой модели обеспечения ИБ, как Security as a Service. Учитывая, что подавляющая часть компьютерных атак на российские компании в последние месяцы представляет собой распределенные атаки отказа в обслуживании (DDoS), высокими темпами растет спрос на такие облачные сервисы ИБ, как antiDDoS и Web Application Firewall.
Несмотря на то что большую часть выручки T1 Cloud всё еще формируют IaaS и ряд дополнительных сервисов (например, backup или резервная площадка, ИБ-сервисы), в компании наблюдают прорыв в области PaaS. Как считает г-н Захарченко, сказываются рост доверия к облакам и желание отказаться от затрат на непрофильную экспертизу, максимально перевести на внешнего сервис-провайдера непрофильные функции. «Например, у нас в облаке уже есть несколько частных инсталляций Kubernetes, в планах сделать это направление сервисом из публичного облака. Кроме того, дорабатываем под тот же формат типовой услуги платформу “Сфера”, которая включает в себя набор инструментов и методологий для команды разработчиков и нужна для того, чтобы быстро развернуть контейнер разработки в облаке с необходимым количеством ресурсов и различными средами – тестирования, разработки, интеграции и т. д.», – рассказывает он.
Директор по развитию бизнеса «КРОК Облачные сервисы» Сергей ЗИНКЕВИЧ считает, что основной тренд на нашем рынке сегодня – вынужденная проработка компаниями вариантов перехода на российские облака с целью избежать зависимости от зарубежных вендоров. Соответственно, им приходится решать сопряженные с этим задачи: провести инвентаризацию и аудит ИТ-инфраструктуры, выбрать подходящего провайдера, адаптировать портфель используемых систем и сервисов под новые платформы, обеспечить безопасную миграцию данных, провести тестирование и т. д. Из этого вытекает еще один тренд – в ближайшее время будет расти спрос на облачные сервисы тех провайдеров, которые предложат клиентам не только вычислительные мощности, но обладают и необходимой экспертизой, чтобы обеспечить более плавный переход с одного облака на другое, уберечь от ошибок на каждом из этапов и сделать миграцию более безопасной. «Одна из самых востребованных услуг сегодня – переезд ERP-систем. Это объясняется тем, что система подобного рода критична для бизнеса, ее простой чреват финансовыми и репутационными рисками. Помимо этого, мы получаем много запросов от компаний со штаб-квартирами за рубежом на отделение российской части инфраструктуры от глобальных офисов и параллельную с этим реализацию процесса импортозамещения. Часто обращаются за помощью и в переносе систем, обеспечивающих ежедневную работу персонала», – поясняет г-н Зинкевич.
Эксперт по комплексным ИБ-проектам компании STEP LOGIC Владимир АРЫШЕВ считает, что в текущей ситуации, когда многие западные компании прекратили свою деятельность в России, на рынке образовался вакуум: технологий больше нет, а спрос на них остался. И здесь отечественные производители получили большой стимул к развитию – чем быстрее они смогут удовлетворить спрос, тем больше будет их доля рынка.
Руководитель отдела продаж ActiveCloud (ГК Softline) Пётр МАЗЕПА выделяет две категории клиентов. Во-первых, это компании, которые ранее не интересовались отечественными сервисами или делали это «издалека», но сейчас им приходится оперативно принимать сложные решения по направлению движения ИТ. Среди входящих обращений в ActiveCloud за прошедшие три месяца таких компаний было чуть менее половины. Во-вторых, это компании, в стратегиях и бюджетах которых уже была заложена импортонезависимость. Как правило, они начали активную фазу обновлений своих сервисов с 2016–2018 годов, что позволило им быть заранее готовыми не только к курсовым скачкам, но и к ограничениям со стороны вендоров, и теперь их ИТ-команды могут намного больше времени и внимания уделять адаптации к новым условиям, планированию и в результате сохранить вектор развития и усилить свои позиции, подчеркивает г-н Мазепа.
Директор центра киберзащиты DataLine Василий СТЕПАНЕНКО отмечает, что уход многих зарубежных вендоров ИБ-решений привел к росту популярности отечественных средств защиты. Возникший на рынке дефицит оборудования подталкивает бизнес к выбору облачных решений вместо on-premise. Это касается как облачной инфраструктуры в целом, так и инструментов обеспечения ИБ. При этом важно, чтобы средства защиты можно было интегрировать в виртуальную инфраструктуру, а их поддержка обеспечивалась на одном уровне с облаком. С учетом этих факторов, считает он, оптимальным выбором для бизнеса будут провайдеры, предлагающие полный комплекс услуг: от виртуализации до безопасности. Кроме того, специалисты DataLine наблюдают растущий спрос на услуги по администрированию ИБ-решений, таких как антивирусы. Это говорит о том, что подход бизнеса к безопасности стал более осознанным: компании охотнее выделяют бюджеты на ИБ, а также уделяют внимание настройке и мониторингу работы решений. А при таком подходе передача администрирования на аутсорс выглядит наиболее оптимальным вариантом, заключает г-н Степаненко.
Технический директор компании iTPROTECT Максим ГОЛОВЛЕВ в числе облачных услуг, которые сейчас пользуются спросом, отмечает услуги защиты от DDoS-атак, сервисы фильтрации трафика на уровне веб-приложений (WAF) и антиспам. «Кроме того, у нас был запрос на облачный сервис фильтрации веб-трафика для удаленных пользователей, но такого решения сейчас нет на рынке», – сетует г-н Головлев.
Соблюдайте дистанцию
Сохранится ли в 2022-2023 гг. тренд на удаленную работу, зародившийся в период пика ковид-кризиса, особенно на фоне сужения выбора ПО для удаленного доступа?
Денис ПОЛЯНСКИЙ (Selectel) уточняет, что ряд компаний превратили удаленную работу из вынужденной экстренной меры в эффективный инструмент для расширения географии найма сотрудников, оптимизации затрат на аренду офисных помещений и др. Такие компании будут сохранять удаленный формат, пока видят в нем преимущества, и инструменты здесь играют второстепенную роль.
Руководитель направления «Управление корпоративными услугами» компании «ЛАНИТ-Интеграция» (ГК «ЛАНИТ») Александр БОРЩОВ называет две причины, благодаря которым тренд сохранится. Во-первых, отечественные продукты решают ключевые задачи удаленного рабочего места. Во-вторых, компании получили уникальный опыт организации дистанционной работы и объективную оценку его эффективности в своих бизнес-процессах. И те компании, которые достигли высоких результатов в условиях ковид-кризиса, сохраняют удаленную или гибридную схему работы, тогда как остальные уже вернули сотрудников в офисы. «Сейчас мы можем наблюдать скорее стабилизацию нового состояния, чем тренд на новые изменения», – резюмирует г-н Борщов.
Сергей ЗИНКЕВИЧ («КРОК Облачные сервисы») приводит данные из отчета Gartner, согласно которым почти половина респондентов (48%) намерены продолжить работать хотя бы частично удаленно и в постпандемийном мире. Такой значительный спрос невозможно проигнорировать, в связи с чем организации продолжат искать способы обеспечения безопасного удаленного доступа для сотрудников даже в условиях сокращения списка доступного в России ПО. По мнению г-на Зинкевича, это не будет большой проблемой, поскольку отечественный рынок ПО предлагает множество зрелых продуктов и сервисов для решения практически любой бизнес-задачи.
Владимир АРЫШЕВ (STEP LOGIC) согласен с тем, что выбор ПО сократился с точки зрения как клиентских решений для установки на рабочие станции, так и инфраструктуры VDI. В этой ситуации возможны различные варианты – как переход на доступные на рынке решения в части удаленного доступа, так и, например, использование open source с усилением двухфакторной аутентификацией от отечественных производителей, полагает он.
Пётр МАЗЕПА (ГК Softline) считает, что если смотреть на вопрос глобально, то растущая популярность удаленной работы – это абсолютно органичное явление. Пандемия COVID-19 показала степень готовности к перестройке рабочих процессов во всем мире. Прогрессивным компаниям (с упором на сервисную модель ИТ) потребовалась минимальная подготовка в виде стресс-тестов и незначительного увеличения облачных ресурсов. В то время как компании с более консервативной ИТ-стратегией неизбежно столкнулись со сложностями вынужденного масштабирования сервисов удаленной работы, например терминальных и VDI-ферм, которые ранее использовались лишь небольшим процентом сотрудников. Как следствие, части таких компаний не хватило запаса собственного оборудования и они вынуждены в сжатые сроки хоть и частично, но менять вектор развития ИТ в пользу гибридной схемы ИТ-ландшафта, убежден г-н Мазепа.
Василий СТЕПАНЕНКО (DataLine) считает, что исключением из общего тренда на удаленку могут стать государственные организации, которые неохотно применяют такой формат, а многие из них не делают этого из соображений безопасности. Что же касается ограниченного выбора ПО, то многие компании, ранее купившие лицензии зарубежных вендоров, продолжают на них работать без техподдержки, констатирует он. «Сложности возникают на этапе расширения количества удаленных пользователей, при росте нагрузки или закупке нового решения. Кроме того, существуют альтернативные варианты в виде российских криптошлюзов, а также решения на базе OpenSource», – резюмирует г-н Степаненко.
Максим ГОЛОВЛЕВ (iTPROTECT) подчеркивает: в том, что касается обеспечения кибербезопасности удаленной работы, действительно произошли изменения. Многие иностранные инструменты построения виртуальной частной сети (Virtual Private Network, VPN) и многофакторной аутентификации в корпоративных сервисах перестали обновляться или поддерживаться вендорами. Это приводит к тому, что продукты теряют часть своей функциональности либо становятся полностью недоступны из-за окончания подписки, а выявляемые по ходу эксплуатации уязвимости не устраняются. «Поэтому стоит протестировать российские аналоги как можно быстрее либо задуматься о возврате сотрудников в офис», – считает г-н Головлев.
(Продолжение читайте в следующем номере)
Опубликовано 24.08.2022