Безопасность как приоритет: Что изменится в ИТ-сфере в новых условиях
На сегодняшний день большинство технологий как для частного, так и для корпоративного или промышленного применения создаются на базе операционных систем общего назначения. Это подразумевает ряд ограничений. В частности, из-за постоянно появляющихся уязвимостей, которые в настоящее время фиксируются и "лечатся" наложенными средствами защиты, такими как антивирусы, инструменты управления устройствами, различные политики, анти-фишинг и рядом других. При этом разработчик, а зачастую и заказчик, заинтересован в скорейшем создании информационной системы или технологического процесса с минимальными трудозатратами, что в свою очередь вызывает проблемы на этапе эксплуатации.
"К примеру, на большинство умных камер на данный момент можно установить любое приложение, допустим, калькулятор, или браузер, или даже систему, похожую на почтовый сервер. Это связано с тем, что мы имеем дело с операционной системой общего назначения, которая позволяет эти действия", - поясняет Андрей Суворов, руководитель направления развития бизнеса KasperskyOS "Лаборатории Касперского".
В результате наложенные средства устраняют только определенные уже выявленные уязвимости, так как при появлении новых необходимо искать новое решение. Какие-то политики создаются на уровне приложений, какие-то - на уровне сетевых устройств. Это создает сложности для специалистов по информационной безопасности. Сами же процедуры разработки/создания объекта защиты в целом не анализируются, проверяется лишь выполнение заданных требований.
Как следствие - информационная система или технологический процесс функционируют сами по себе, а система защиты информации выстраивается в виде "забора" вокруг объекта защиты с минимальным вмешательством в его работу. Такой подход, с одной стороны, прост в той части, что не надо глубоко погружаться в объект защиты и взаимодействовать с его разработчиком. С другой стороны - с развитием технологий, все большей автоматизацией и цифровизацией, интеграцией информационных систем и технологических процессов между собой путей воздействия на объект защиты становится все больше, а "забор" вокруг него все сложнее и дороже. При этом защищаться приходится не только от внешних злоумышленников, но и анализировать работы легальных пользователей.
Решением может стать принцип Secure by design, в рамках которого процесс защиты начинается с проектирования самого устройства и описания его модели поведения. Но это потребует фактического переизобретения целого ряда продуктов.
"Те продукты, которые есть сейчас, с учетом новых требований к безопасности уже не будут востребованы. И в этом наш шанс. Придется заново создавать всю технологию. Доверенную, безопасную. У нас здесь есть конкурентное преимущество - в системах цифровой безопасности мы одни из лучших: Касперский, Positive Technologies и т.д. Так что будет формироваться новый рынок, и этому рынку будет нужен новый продукт, которого сегодня ни у кого нет. Принцип Secure by design как раз здесь и должен сыграть. Основными средствами противодействия новым угрозам станут именно сквозные технологии доверия и безопасности, интегрированные средства защиты информации во всех элементах комплекса", - уверен замглавы Минпромторга Василий Шпак.
Реализация этого принципа будет означать переход к следующей стадии зрелости, когда обеспечение информационной безопасности осуществаляется на всех этапах жизненного цикла создания объекта защиты: от формирования концепции до вывода из эксплуатации.
"Специалисты по информационной безопасности непрерывно участвуют в процессах планирования, разработки и создания объекта защиты, не только определяя требования к архитектуре и встроенным механизмам защиты информации, но и используемым компонентам и технологиям. Привлекаются на этапах тестирования и осуществляют анализ защищенности и поиск известных угроз, сопровождают объект защиты на этапе его эксплуатации в части выявления новых угроз и уязвимостей, а также своевременного реагирования на них", - говорит Данияр Исхаков, заместитель директора департамента консалтинга ГК Innostage.
Такой подход позволяет избежать тех уязвимостей, которые содержат большинство ИТ-продуктов - они содержат ошибки, недоработки или преднамеренно внедренные закладки, которые потом используются киберпреступниками для атаки.
"Даже средства защиты информации, которые, казалось бы, должны защищать, могут содержать уязвимости и могут быть использованы киберпреступниками, как это было с решениями компании Solarwinds, когда через них были взломаны организации госсектора США", - рассказывает Андрей Тимошенко, руководитель ИБ-практики ООО "АксТим".
Принципиально важным техническим решением в рамках Secure by design является то, что внутри системы, реализованной по этому принципу, находится компонента, содержащая в одном месте все политики безопасности. Если речь о малом или среднем предприятии, с нежесткими политиками безопасности для систем и устройств, то возможный простой в работе не будет означать больших потенциальных рисков. Но когда речь идет об энергетике или других критически важных отраслях, то такое же устройство, использованное в этой сфере, например шлюз промышленного интернета, должен содержать более жесткие политики безопасности, отмечает Андрей Суворов.
"Таким образом, на уровне политик можно серьезно либо усилить, либо ослабить режим работы устройства, которое спроектировано по принципу secure-by-design. Принципиальная польза для тех, кто такими устройствами будет пользоваться, в том, что какая бы уязвимость не появилась завтра или послезавтра, она не будет влиять на работоспособность и киберустойчивость кибериммунной системы. Система продолжит работать, следую принципам, заложенным в нее ранее, а значит не будет ощущать воздействий от появления каких-то новых компонентов", - говорит эксперт.