Повышение культуры ИБ – основа благополучия
Тема импортозамещения в российских компаниях и органах власти стоит на повестке не первый год, но лишь в 2022-м эта идея перестала быть какой-то необъяснимой блажью правительства, как считали некоторые. Теперь – это необходимость реальности. О том, с какими проблемами в импортозамещении в области информационной безопасности сталкиваются отечественные организации, рассказывает руководитель отдела продвижения продуктов «Кода Безопасности» Павел Коростелев.
Уход иностранных вендоров, конечно, стал шокирующим событием для большинства компаний. Многие из них годами выстраивали свои ИТ-инфраструктуры с помощью заграничных решений, и лишь в последние несколько лет начали неспешный, ленивый переход на отечественные средства.
И тут вопрос не только и не столько в том, что конкретно на рынке информационной безопасности нет тех или иных решений, которые должны обеспечивать надежную и безаварийную эксплуатацию. Напротив, по всем ключевым иностранным системам у нас имеются свои аналоги, которые практически ни в чем им не уступают. В условиях определенной государственной протекции за долгие годы российские ИБ-вендоры накопили серьезную экспертизу в самых разных сегментах, в том числе сетевой безопасности, защите серверов, сред виртуализации и так далее. Да, есть определенные нишевые вещи, которые крайне трудно импортозаместить, но они рано или поздно появятся, так что в целом отечественный рынок ИБ-решений чувствует себя хорошо.
Ключевая же проблема как и рынка ИБ, так и ИТ заключается в том, что сейчас российские компании находятся в моменте сложных решений по перестройке архитектуры всего ИТ-ландшафта, им необходимо не просто убрать пару решений и взять на их место два других, но отечественных – им необходимо перелопатить всю инфраструктуру. Особенно страдают те компании, которые относятся к госсектору, ведь там высока доля важнейшей для государства инфраструктуры.
С одной стороны, на них давят регуляторы, потому что объекты критической информационной инфраструктуры (КИИ) должны использовать и быть защищены отечественными решениями, с другой, в одночасье перестроить такие глобальные системы невозможно.
Впрочем, постепенно эта проблема решается, и идея построить всю ИТ-инфраструктуру на основе только лишь российских разработок это не фантастика, а реальность – в России на самом деле немало таких организаций. Конечно, есть простор для совершенствования, но процесс идет и это главное.
Одна из важных точек роста российских ИБ-вендоров – это, конечно, уровень технической поддержки и сервиса в целом. Сейчас в этом направлении есть определенные трудности, особенно у тех компаний, которые привыкли к заграничным стандартам. В том числе из-за этого импортозамещение проходит не так быстро, как могло бы. Снижается скорость импортозамещения из-за общей незрелости компаний в сфере информационной безопасности. До сих пор немногие понимают, насколько важно обеспечить защиту ИТ-инфраструктуры, и это непонимание заключается в первую очередь в том, что материально оценить необходимость высокого уровня ИБ достаточно сложно. То есть, когда безопасники приходят к условному генеральному директору и выкатывают стоимость средств защиты, но при этом говорят, что атаки хакеров могут вообще не случиться, то генеральному проще надеяться на авось, а в случае инцидента просто оплатить некий штраф регулятору. Это и есть та самая незрелость, которая пагубным образом отражается на многих других процессах.
Скажем, поправки в ФЗ-152 об обязательном уведомлении об утечках персональных данных подразумевает, что шесть миллионов организаций и индивидуальных предпринимателей должны будут уведомлять об инцидентах ГосСОПКУ. Но при низком уровне зрелости в ИБ эта задача для львиной доли компаний самого разного уровня сродни подвигам Геракла. Потому что зрелость предполагает, что у тебя развита культура ИБ, что у тебя есть некие выстроенные процессы, которые позволяют не только быстро реагировать на инциденты, но и анализировать их.
Чтобы уровень общей безопасности КИИ и любых других ИТ-систем повышался, необходим скачкообразный рост зрелости. Самый интересный вопрос, как довести шесть миллионов организаций до такого уровня? На него пока нет четкого ответа, но скорее всего в этом поможет некий гибрид воли государства в лице регуляторов и ужесточения наказаний за те же утечки ПДн, а также обновление самосознания самих организаций.