«ИТ-Диалог ΄2024». Почему безопасность данных — это не только вызов, но и шанс для России
Фото: Ольга Попова
Первый вопрос касался созданного в мае 2024 года консорциума для исследований безопасности технологий искусственного интеллекта. «Почему понадобилось создавать консорциум по безопасности ИИ? Разве частные компании не могли справиться сами?» — обратился модератор дискуссии Рустэм Хайретдинов к замминистра цифрового развития Александру Шойтову.
«Раньше ИИ был просто инструментом аналитики — человек мог следовать подсказке или нет. Но теперь мы говорим о масштабном внедрении технологий в критически важные сферы, и это требует новых мер защиты», — ответил заместитель министра. Уязвимости ИИ — это не те же риски, что у традиционного ПО. В системах с искусственным интеллектом программное обеспечение и данные объединены, и система ИИ постоянно меняется. Уже появляются вирусы, нацеленные на ИИ и «Интернет вещей». «Более того, ИИ начинает сам писать вредоносные программы. Пока это не массовое явление, но прецеденты уже есть», — предупредил он. Поэтому создание консорциума должно стать шагом на опережение. «Мы не можем ждать, пока хакеры накопят опыт, а технологии будут повсеместно внедрены. К тому моменту будет уже поздно, — подчеркнул Шойтов и продолжил: Когда появлялись первые компьютерные вирусы, были созданы Национальный координационный центр по компьютерным инцидентам (НКЦКИ) и система ГосСОПКА. Искусственный интеллект требует аналогичного подхода. Консорциум стал единой площадкой, где бизнес, государство и наука могут совместно вырабатывать решения для защиты национальной экономики данных». Кроме того, Александр Шойтов рассказал аудитории о новой государственной инициативе — единой платформе противодействия мошенничеству. «Мошенники консолидируются, используют сложные технологии, включая искусственный интеллект и дипфейки, и нам необходимо ответить на это объединением собственных ресурсов», — заявил он. Новая платформа создается, чтобы пресекать мошенничество еще на стадии первых попыток. Как только начинаются подозрительные звонки, рассылка ложной информации через сайты или мессенджеры, система должна вмешаться и разрушить всю манипулятивную схему, не оставляя мошенникам шансов довести дело до конца.
Первые испытания платформы стартуют уже в 2025 году в рамках пилотного проекта. А к 2026 году ее планируют масштабировать по всей стране и закрепить работу на уровне федерального законодательства.
Челябинская область. От обучения граждан до защиты инфраструктуры
Мошеннические схемы становятся всё сложнее за счет применения генеративного искусственного интеллекта. «Когда используются фейковые видео или поддельные голоса, это обманывает органы чувств, которым человек привык доверять. Простые граждане к этому абсолютно не готовы», — отметил заместитель губернатора Челябинской области Александр Козлов. К сожалению, попытки взлома паролей и сканирование инфраструктуры, несмотря на усилия по защите, иногда приводят к успеху. Не менее опасны и атаки с помощью шифровальщиков, цель которых — захват данных и инфраструктуры.
В качестве основного инструмента защиты заместитель губернатора назвал обучение. По его словам, важно постоянно повышать уровень подготовки специалистов, пользователей систем и простых граждан.
Он также считает эффективным взаимодействие с федеральными ведомствами, такими как ФСБ и ФСТЭК, которые предоставляют практичные рекомендации: «Их инструкции конкретны: появились новые риски — сделайте шаги: один, два, три. Наша задача — оперативно их выполнять».
Особое внимание уделено подготовке профессионалов по информационной безопасности. «Наши команды работают в формате Red Team и Blue Team: одни атакуют, другие защищаются. Это позволяет не только реагировать на реальные угрозы, но и заранее тестировать уязвимости систем», — пояснил он.
Еще в области внедрили информационную систему для обработки рекомендаций от федеральных структур. «Система раскладывает задачи по пунктам и позволяет в реальном времени отслеживать, что сделано. Она получила высокую оценку от ФСТЭК, и мы готовы делиться ею с другими регионами», — рассказал замгубернатора.
Эффективность показали и оперативные штабы, которые помогают быстро реагировать на угрозы.
Кибербезопасность на Севере. Подходы и вызовы ХМАО — Югры
«Александр поднял тему кибермошенничества, а мы буквально недавно, пару недель назад, с силовыми органами проводили у себя в регионе совещание, смотрели статистику, и меня удивило, что 90% обманутых людей были абсолютно в курсе вот этих мошеннических схем, — поддержал коллегу заместитель губернатора Ханты-Мансийского автономного округа — Югры Павел Ципорин. — Граждане слышали предупреждения, понимают, что им могут звонить якобы из банка или госучреждения, и всё равно переводят деньги. Несмотря на постоянное информирование, это явление только растет».
В Югре сделали ставку на развитие собственных компетенций и создали региональный центр кибербезопасности, работающий круглосуточно с 2020 года. «Мы не конкурируем с крупными федеральными игроками, но локальные задачи решаем самостоятельно. К Центру подключены все органы власти, больницы, муниципальные администрации и социальные объекты, где обычно не хватает ресурсов для организации такой защиты», — рассказал чиновник.
В рамках этой стратегии регион организовал образовательный проект, создав базовую кафедру по информационной безопасности в местном вузе. Выпускники, которые проходят обучение с использованием региональных ресурсов, смогут через два с половиной года сразу приступить к работе с внедренными в регионе решениями.
Заместитель губернатора также указал на распространенную модель атак — проникновение через подрядчиков. Один из таких инцидентов произошел на территории Югры в октябре. «Через компьютер подрядчика, сопровождавшего кадровую систему, попытались проникнуть в нашу инфраструктуру. Это произошло ночью, но благодаря круглосуточному мониторингу и работе сенсоров атака была остановлена. У подрядчика зашифровали компьютер, но мы избежали потерь», — рассказал он. Этот случай стал поводом для новых инициатив. «Мы внедряем решения для управления и контроля привилегированными пользователями (PАМ). Сейчас тестируем данный продукт и надеемся, что он повысит нашу защищенность», — добавил Ципорин.
На вопрос Рустэма Хайретдинова о том, как регион удерживает подготовленных специалистов от перехода в крупные компании, замгубернатора отреагировал с юмором: «Паспорта отбираем, колеса прокалываем — как обычно». Однако сразу пояснил, что главная мотивация для айтишников и специалистов по информационной безопасности — это интересные задачи.
«Мы понимаем, что не можем конкурировать с зарплатами, которые предлагают Сбер, «Яндекс» или крупные компании в Москве. Но у нас есть уникальные проекты и реальные вызовы, которые мотивируют людей работать. Например, каждую неделю я прихожу в центр кибербезопасности, чтобы узнать, что сделали наши специалисты. Им важно делиться своими результатами, а мне — видеть их прогресс», — поделился Павел.
Удмуртская Республика. Гибридная модель кибербезопасности
«Мы комбинируем внутренние ресурсы и аутсорсинг. Например, эксплуатацию средств защиты, таких как антивирусы, мы выполняем самостоятельно, но круглосуточный мониторинг отдали подрядчику. Это позволяет воспользоваться их опытом в анализе инцидентов по всей стране и оперативно реагировать на угрозы», — рассказал заместитель председателя Правительства Удмуртской Республики Тимур Меджитов.
По словам вице-губернатора, регион сталкивается с большим числом атак. Каждые 15 секунд фиксируются несущественные инциденты — сканирование портов, подбор паролей, а за год выявляется до 400 значимых атак. Чаще всего они связаны с элементарными нарушениями цифровой гигиены: незакрытые порты, устаревшие пароли, уязвимости в доменной структуре.
Один из ключевых выводов, к которому пришел регион, связан с ограничением доступа подрядчиков. «Мы допускаем подрядчиков только до тестовых баз. Вся работа на продуктивных средах выполняется нашими специалистами. Это решение уже доказало свою эффективность — оно помогло избежать серьезных последствий во время атак на системы МФЦ», — поделился опытом Меджитов.
Тимур также затронул важность баланса между подключением оборудования к сети и безопасностью. В обсуждении с ФСБ и ФСТЭК поднимался вопрос подключения аппаратов искусственной вентиляции легких к Интернету. Но эти устройства, критически важные для жизни, пока не обладают надежными средствами защиты. Поэтому в некоторых случаях может быть целесообразнее отказаться от автоматизированного сбора данных, чтобы минимизировать риск кибератак.
Шереметьево. Баланс эффективности и защиты
«Работа ИТ и ИБ похожа на управление двумя педалями — газом и тормозом. Обе нужны для того, чтобы двигаться безопасно, без серьезных аварий», — заявил Кирилл Алифанов, заместитель генерального директора по ИТ Шереметьево.
Он считает, что совмещение ответственности за информационные технологии и безопасность в одних руках позволяет учитывать факторы защиты при каждом ИТ-решении: «Уголовный и административный кодексы добавляют мотивации. Когда акционеры или генеральный директор осознают свою персональную ответственность, это помогает сбалансировать цели по максимизации прибыли и снижению рисков».
Как пример эксперт привел случай глобального сбоя в аэропортах, вызванного патчем одной крупной ИТ-корпорации. «Половина аэропортов в мире остановилась. Нам звонит руководство: что у нас? А у нас всё нормально, мы продолжаем работать. Импортозамещение и грамотная политика ИБ позволили избежать таких ситуаций», — пояснил Кирилл.
Важным элементом эффективного подхода он считает вовлечение службы безопасности в вопросы информационной защиты: «Коллеги из службы безопасности часто воспринимают ИБ как нечто техническое, далекое от их задач. Но когда им показываешь, как с помощью инструментов ИБ можно предотвращать кражи, атаки через социальную инженерию или защищать от DDoS, их отношение меняется».
Главное в достижении баланса — не терять здравый смысл. Всё строится на многослойной защите и ее гибкости: система выстраивается так, чтобы бизнес оставался прибыльным, пассажиры добирались до аэропорта с комфортом, а авиакомпании могли выполнять рейсы. Такой подход помогает гармонично развиваться, не жертвуя безопасностью.
Московская биржа. От догоняющих к проактивным
«То, что я услышал, звучит как спокойствие: выполняем предписанную гигиену, внедряем импортозамещение и чувствуем себя защищенными. Но мы снова и снова играем роль догоняющих. Нас ломают — мы начинаем действовать. Возникают новые угрозы — мы создаем консорциум или систему, которые появляются спустя годы», — неожиданно продолжил тему Сергей Демидов, заместитель председателя правления Московской биржи.
При этом он подчеркнул, что развитие искусственного интеллекта открывает новые угрозы: «Еще год назад были попытки скормить ИИ базу известных уязвимостей, чтобы он выдал неизвестные. На прошлой неделе это получилось. Теперь ИИ способен создавать уязвимости Zero Day, и это реальная угроза. А мы только догоняем, создавая консорциумы и разрабатывая долгосрочные программы».
По мнению Сергея, необходим не просто отклик на угрозы, а системное упреждение: «Мы должны быть не догоняющими, а проактивными. Это требует пересмотра традиционных подходов, усиления аналитики и использования современных технологий. Без этого стабильность и развитие биржи окажутся под угрозой».
Также на Московской бирже информационная безопасность больше не рассматривается как отдельная функция, способная «тормозить» ИТ-процессы. «Мы не разделяем айтишников и безопасников. Мы одна команда, которая создает продукты с определенными свойствами, включая автоматизацию, управление рисками и безопасность. Это неотъемлемая часть любого решения, которое мы предлагаем», — подчеркнул он.
Безопасность интегрирована в разработку новых продуктов. «Когда возникает запрос на новый режим торгов для эффективного размещения государственных средств, мы сразу оцениваем, какие риски и ограничения могут быть. Можно сделать решение быстро, но с определенными рисками, или абсолютно надежно, но через 20 лет. Этот диалог — не только внутри команды, но и с государством — помогает находить баланс между скоростью и безопасностью», — уверен эксперт. Переход на продуктовый подход рассматривается как промежуточный этап. Следующий шаг — это способность адаптироваться к меняющимся угрозам, пересматривая не только используемые технологии, но и подходы к управлению безопасностью.
«Вы здорово рассказали, как делать новые системы безопасными, но что делать со старыми, которые остаются дырявыми, не обновляются и мигрируют? Изолировать их, выбрасывать или модернизировать?» — обратился к зампреду Московской биржи модератор.
«Мы начали выделять критичные вычисления, которые переводим в отдельные контуры на отечественные технологии. Некритичные функции остаются на недоверенных системах, изолированных накладными средствами», — ответил Сергей Демидов и добавил, что Россия располагает большинством технологий для успешного импортозамещения, хотя есть проблемные области, такие как межсетевые экраны (NGFW) и высокопроизводительные СУБД.
По словам эксперта, подходы к разделению ответственности между ИТ и ИБ устарели: «Раньше инфобезники говорили: «Firewall — это мое, система — это твое, ты айтишник, вот и занимайся». Сегодня этот подход не работает. Атаки переместились на уровень приложений (L7), и вся команда должна участвовать в вопросах безопасности».
Работа с унаследованными системами требует не только технической модернизации, но и изменения подходов. «Мы должны уйти от роли инфобезника, который просто ставит периметр, к роли команды, которая работает над безопасностью архитектуры в целом. Атаки становятся всё сложнее, и работа над безопасностью должна эволюционировать вместе с ними», — заключил Сергей Демидов.
Технологический пазл
Провокационные слова Сергея Демидова вызвали критику участников пленарной дискуссии. «Сергей как представитель финансовой сферы явно не сталкивался с тем, что такое защищать бюджет на ИТ и ИБ перед акционером, который лично контролирует свои деньги. Ваша ситуация совершенно другая: у вас есть регуляторы, такие как Центробанк, которые десятилетиями вырабатывали требования, и вы стартуете с высокого базового уровня. Вам проще мыслить стратегически и внедрять ИБ в процессы», — заявил Кирилл Алифанов.
А в промышленности и среднем бизнесе ситуация гораздо сложнее. «Когда ты приходишь к акционеру с просьбой выделить средства на межсетевые экраны или системы контейнеризации, тебя просят объяснить на пальцах, что это такое. И попробуй объясни, почему это экономически целесообразно. Здесь не работают аргументы о стратегической важности или абстрактной пользе», — добавил он. При этом отсутствие жестких регуляторных требований в промышленности оставляет компании без четкого базового уровня защиты, что затрудняет развитие информационной безопасности. Регуляторы начинают формировать базовый уровень безопасности, однако пока эти меры больше направлены на снижение рисков, чем на создание полноценной стратегической основы.
Сергей Демидов, продолжая дискуссию, признал, что его провокация была намеренной, чтобы вывести разговор из формата «политотчета» к обсуждению реальных проблем и решений. Он подчеркнул, что не считает себя обладателем универсальной истины, а воспринимает обсуждение как обмен опытом. «Каждый сталкивается со своими вызовами. Но вопрос донесения информации до стейкхолдеров — это всегда вопрос убедительности. Если я не смог объяснить риски или выгоды, то виню в этом себя, а не аудиторию», — отметил он.
Что касается импортозамещения, подход к нему не должен быть догматичным. «Нет черного и белого, есть множество оттенков. Где-то это болезненный процесс, где-то мы находим решения, которые лучше и дешевле зарубежных аналогов. Например, у нас есть случаи, где импортозамещение привело к экономии сотен миллионов рублей», — заявил спикер. Он поделился своей стратегией, сравнив ее с пересборкой пазла: «Да, иногда приходится просто заменить компонент без улучшения. Но в результате через три-четыре года мы получим новую современную инфраструктуру, которая даст нам эффект низкого старта для следующего этапа цифровизации. Этого не могут позволить себе многие компании в США и Европе, которые застряли на устаревших системах вроде AS/400 из-за отсутствия бизнес-драйверов для их замены». По мнению Сергея, текущий период — это возможность подготовиться к технологическому скачку.
Аутсорсинг в кибербезопасности
Малые компании, занимающиеся разработкой и сопровождением программных продуктов, часто становятся слабым звеном в цепочке безопасности. «Изначально такие компании сосредоточены на создании продукта и его продвижении. Информационная безопасность для них — это затратная статья, которая отодвигается на второй план», — пояснил Алексей Кравченко, директор по работе с региональными государственными структурами ГК «Солар».
По его словам, злоумышленники пользуются этим. «Атаки часто проводятся через подрядчиков, которые оказывают услуги для госсегмента. Используя слабые места в системах подрядчиков, хакеры получают доступ в инфраструктуру госорганов, госкомпаний посредством легитимного VPN-канала.
Также особого внимания требует безопасность разработки приложений, в частности использование сторонних библиотек из открытых репозитариев. «90% веб-приложений содержат уязвимости, позволяющие проводить атаки», — отметил он.
Алексей считает, что подход, который может снизить риски — использование модели безопасности как сервиса (Security-as-a-Service): «Для малых и средних компаний важно предлагать решения в формате подписки, которые включают антивирусную защиту, периметральные системы и другие базовые инструменты. Это доступный и эффективный способ защитить не только самих себя, но и крупные организации, с которыми они взаимодействуют».
Важно четко разграничивать зоны ответственности между заказчиком и подрядчиком. Крупные компании должны устанавливать строгие требования к подрядчикам, включая защиту подключений и обеспечение безопасности кода. Такой подход позволяет минимизировать риски, связанные с малыми компаниями, которые могут неосознанно или из-за ограниченных ресурсов стать источниками кибератак.
Импортозамещение и новые сервисы: как совместить несовместимое
Проект импортозамещения — один из самых сложных в ИТ, сравнимый только с процессом централизации. «Когда ты централизуешь ресурсы, забираешь их у кого-то, а потом должен использовать их более эффективно, это огромный вызов. Импортозамещение имеет свои сложности. Оно начинается с ограничения: ты отказываешься от лучшего, что есть, просто потому что это недоступно. Это вызывает отторжение у профессионалов», — сказал Александр Козлов.
Он вспомнил, как в 2016 году начиналась работа над импортозамещением в госорганах Челябинской области: «Разговоры с системными администраторами были очень тяжелыми. Люди привыкли работать с Cisco и EMC, лучшими в мире решениями. И когда ты приходишь и говоришь: «Теперь будем использовать это», — у тебя спрашивают: «Зачем? Это хуже». Это первый мощный разрыв, с которым сложно работать».
Еще одна сложность, по словам чиновника, связана с восприятием пользователей. «Раньше мы говорили: вот, начни с этой машины, а дальше будет лучше. Теперь же ты пересаживаешь человека с Mercedes на «Волгу». Даже если «Волга» стала надежнее, это тяжело объяснить тому, кто уже привык к лучшему», — рассказал он.
Козлов напомнил, что уход зарубежных поставщиков стал своего рода «черным лебедем», который подтвердил важность ранее принятых решений: «Сегодня не нужно доказывать, что этим надо заниматься. Те, кто раньше вкладывался в импортозамещение, сейчас оказались на коне. Я своим системным администраторам говорю: «Помнишь, ты хвалил такую-то американскую компанию? А я говорил: давай попробуем нашу». Теперь они больше уважают руководителя, который смотрел вперед».
Замгубернатора подчеркнул, что ситуация остается сложной, и необходимость вкладываться в безопасность очевидна. «Это не просто задача, это стиль мышления. Безопасник думает о плохом, айтишник — о хорошем. Сочетать эти два подхода в одном человеке — редкость», — добавил он.
Отвечая на вопросы модератора, Александр Козлов выделил несколько ключевых проблем, связанных с организацией кибербезопасности и импортозамещением. Так наиболее острым вызовом остается кадровый дефицит. «Сейчас есть нормативные акты, которые требуют наличия специалиста по информационной безопасности в штате конкретного учреждения. Это мешает более эффективно организовать работу через аутсорсинг или централизацию», — пояснил он.
В некоторых случаях, чтобы формально соответствовать требованиям, приходится устраивать одного специалиста на несколько учреждений. Козлов предложил пересмотреть этот подход: «Важно обсудить, нужен ли штатный специалист в каждом органе власти или можно пересмотреть нормативы, чтобы дать больше гибкости».
Проблема в том, что для кибератак до сих пор нет механизма быстрого заключения контрактов, как это работает в случае чрезвычайных ситуаций. Если атака уже началась, а заранее ничего не предусмотрено, возникают серьезные сложности. Нельзя же предусмотреть всё на свете и заранее законтрактовать.
Идея в том, чтобы создать систему «экстренных» контрактов, которые можно быстро активировать в таких ситуациях. Это позволило бы оперативно подключать нужные ресурсы, не замораживая деньги на случай, если атака так и не произойдет.
Обсуждая реализацию президентского указа о полном импортозамещении критической информационной инфраструктуры, Козлов отметил, что в ряде случаев переход на новые решения сталкивается с объективными сложностями: «Например, в здравоохранении вендоры просто не готовы к выполнению требований. Переход на других поставщиков становится масштабным проектом».
В качестве возможного решения он предложил использовать форвардные контракты с четкими сроками исполнения. «Это позволило бы закрывать обязательства по указу с учетом реальных возможностей и сроков исполнения», — пояснил он.
Трудности перехода
Павел Ципорин согласился с Александром Козловым, что импортозамещение — это сложный процесс, требующий жестких мер: «Нас пересадили с Мерседеса на «Волгу», хотя, если честно, сначала это была даже не «Волга», а «копейка». Но сейчас операционные системы и офисные пакеты развиваются, за что спасибо нашим вендорам». Эксперт подчеркнул, что без активного перехода на отечественные решения несколько лет назад развитие таких продуктов было бы намного медленнее. Однако пользователи часто сопротивляются таким изменениям. «Я выдавал новые компьютеры с отечественной операционной системой, и люди отказывались от них, предпочитая работать на старом оборудовании, где всё понятно. После ухода зарубежных компаний объяснять необходимость перехода стало проще: мы просто физически не можем купить что-то другое», — рассказал он.
Тем не менее Павел привел успешный пример импортозамещения: «Мы перевели платформу официального сайта с Lotus на 1C-Bitrix еще в 2017 или 2018 году. Это принесло значительную экономию и упростило работу. Это был действительно удачный проект». Переход на отечественные технологии идет тяжело. Внедрение видео-конференц-связи, операционных систем и офисных пакетов сталкивается с множеством трудностей, но движение вперед продолжается. Такие изменения неизбежно вызывают сопротивление, но именно через этот процесс ограничения и сложностей отечественные разработки получают импульс для роста.
Тимур Меджитов отметил, что импортозамещение в ИТ, несмотря на все сложности, выглядит несколько проще, чем в других отраслях, таких как строительство. Он выделил три ключевых направления в процессе перехода на отечественные решения: офисный софт, квазизамещение оборудования и полное импортозамещение «железа». Говоря об офисном софте, чиновник подчеркнул, что эта тема уже хорошо изучена и активно обсуждается на всех уровнях: «Здесь ключевыми являются терпимость и эмпатия. Разработчики работают, софт и операционные системы улучшаются. Со временем они дойдут до уровня мировых аналогов».
Квазизамещение оборудования, когда устройства собираются за границей, но продаются под российскими брендами, Тимур назвал больше этическим вопросом. «Здесь важно доводить ситуацию до полного соответствия заявленным стандартам, чтобы мы использовали действительно отечественные продукты», — отметил он. При этом импортозамещение в других отраслях, таких как строительство и инженерные системы, сталкивается с еще большими трудностями, чем в ИТ. Замгубернатора привел пример работы предприятий оборонно-промышленного комплекса в своем регионе, которые привыкли использовать решения вроде AutoCAD и Siemens: «Наши аналоги, такие как «Компас», пока не обладают необходимой функциональностью. Например, на Linux его просто нет и не будет до 2027 года. Это ставит предприятия в сложное положение: с одной стороны, они хотят перейти, с другой стороны, сталкиваются с внешними ограничениями и нехваткой инструментов».
Тимур также прокомментировал предыдущие выступления, указав на различие в уровнях цифровой зрелости между бизнесом и госуправлением. «Работая в финансовой сфере, можно привлекать высокооплачиваемых специалистов и системно подходить к цифровой гигиене. Но в госуправлении и на муниципальном уровне ситуация совсем другая. Уровень цифровой грамотности часто далек от идеала, и работать приходится с людьми, которые только начинают осваивать базовые навыки», — отметил он.
***
Итог дискуссии можно сформулировать так: информационная безопасность — это уже не игрушка для больших корпораций, а необходимость для всех, от малого бизнеса до госструктур. Да, наши решения еще требуют времени, чтобы выйти на мировой уровень, но прогресс очевиден. Новые продукты не создаются за ночь — тут нужно тестировать, проверять, дорабатывать. Но важно, что сейчас отечественные разработки уже функционируют и показывают себя с хорошей стороны.
Опубликовано 28.11.2024
