Куда падает качество нормативки наших регуляторов и что с этим делать?

Вы обращали внимание на снижение качества нормативных документов от наших регуляторов? Когда смотришь в сторону только одного регулятора или одной сферы регулирования это не так заметно. Но когда пропускаешь через себя творчество всех органов исполнительной власти, то это очень сильно бросается в глаза. И дело не столько в синтаксических или орфографических ошибках, сколько в большом числе нестыковок, неточных и непонятных формулировок, которые требуют разъяснений от их автора, которые, конечно же, никаких пояснений не дают.

Давайте к примерам? Возьмем методику оценки угроз ФСТЭК, утвержденную 5-го февраля этого года. ЭТОГО! Но уже известно, что регулятор готовит в нее поправки. Документу от силы было полгода, когда регулятор решил вносить в него изменения, которые, согласно публичным высказываниям регулятора, планируют утвердить в первом квартале уже следующего года. У Банка России такая же проблема. 716-П по рискам вступило в силу 1-го октября прошлого года, но уже готов проект с поправками в него на 30+ (!) страниц. Не это ли свидетельство того, что документ получился сложным для восприятия? Ну а как может быть иначе, когда у вас нормативный акт занимает 130 страниц и к нему еще готовится ГОСТ на 180 страниц. 300 страниц (!), которые можно было бы изложить на одной странице формата А4! И это только один пример - у ЦБ таких косяков просто масса (отдельный пост им посвящу). РКН со своим 1046-м Постановление Правительства по надзору в области персональных данных тоже накосячил - и в расширительном толковании отдельных терминов, и синтаксических ошибках. И это только три примера, которые достаточно свежие и от разных регуляторов, но их ведь гораздо больше.   

Как с этим бороться? На мой взгляд вариантов решения проблемы всего несколько. Первый - сформировать пул лояльных специалистов, которые не будут зависеть от регулятора, и через которых можно было бы пропускать проекты нормативки с обещанием принять всю критику и постараться ее исправить. Причем делать это адресно в обе стороны, а не так обезличенно, как это сейчас работает на regulations.gov.ru. Хотя где найти таких специалистов в достаточном количестве? Все же реально ссут сказать что-то супротив регулятора, от которого зависит сертификация выпускаемых твоей компанией продуктов или обновление/расширение лицензии или еще какие-то ништяки. Надо сказать, что это не совсем проблема регулятора, что у нас исторически все боятся сказать что-то против политики партии, но и его тоже - он же поощряет ее.

Второй вариант - при выходе каждого нормативного акта давать переходный период в 6-12 месяцев на его апробацию и без введения его в контур обязательных требований. Тогда первые желающие смогут попробовать что-то сделать, наступить на все грабли и сообщить о них регулятору, который внесет поправки в свои документы и выпустит уже гораздо более проработанный с точки зрения практики документ. Но и тут есть подводные камни. Не все захотят по доброй воле апробировать необязательные пока еще нормативные требования. А потом нужно время на повторную регистрацию документов в МинЮсте, что занимает много времени (сейчас доходит до шести месяцев). Ну и проблема "бесстрашных" рецензентов из предыдущего пункта тоже никуда не девается.  

Можно попробовать пропустить документ через маленькие предприятия, в том числе поднадзорные, чтобы понять, насколько написанное реализуемо с малыми ресурсами. Такое замечание было очень частым после принятия ЦБшного ГОСТа 57580.1, который рассчитан на крупные финансовые организации, которые и принимали участие в его написании. Но и тут нас поджидают упомянутые ранее подводные камни.

Хорошей практикой является обучение. Есть высказывание, что когда начинаешь готовить материал для обучения и преподавать, то начинаешь лучше разбираться в вопросе (а почему я так активно преподаю, а?). А когда начинаешь рассказывать, что же ты имел ввиду в документе по 10 раз перед разными людьми, тогда лучше начинаешь понимать и область регулирования и свои корявые формулировки. Можно, конечно, сделать вариант-минимум - читать перед подчиненными, но они же правду в глаза не скажут все равно. Поэтому только публичная активность, но на это рассчитывать не приходится - не приучен у нас регулятор к публичной критике, а еще и отомстить может.  

Пятый вариант заключается в том, чтобы попробовать сферического коня в вакууме в своем загоне, то есть в самом регуляторе. Вот выпустил ДИБ положение 716-П по рискам - так ты сначала его пропусти через своих ИТшников и ИБшников и посмотри, что они тебе скажут (ничего хорошего, кстати, не скажут). Вот выпустил ты методику по оценке угроз - так ты ее сначала на себе опробуй и выложи в качестве примера разработанный по методике документ. Причем обязательно, чтобы реализовывал нормативные требования не их автор, а лицо, которое впервые эти требования увидит.

Вот тогда у нас начнет реализовываться хотя бы один из озвученных вариантов, а лучше все вместе, тогда у нас качество документов сильно поднимется и претензий к регуляторам станет гораздо меньше. Если их, конечно, это волнует.

Подробнее…

Как может s-curve'иться CISO?

Последний круглый стол на конференции “Кибербезопасность нового времени” в рамках казанской DigitalWeek оказался мне ближе всех, так как обсуждаемая на нем тема интересует меня давно и мой блог по сути и начинался скоро уже 15 лет как именно с нее, а именно с бизнес-ориентации в деятельности службы ИБ. Это постоянная тема дискуссий последних пару лет и без нее не обходится ни одно мероприятие. Должен ли CISO заниматься только ИБ в классическом его понимании (борьба с угрозами и выполнение требований регуляторов) или ИБ - это более широкая тема и CISO может и должен выходить за привычный, но достаточно узкий мир нарушителей и compliance. В этой дискуссии, так уж случилось, участвовали только представители финансовой отрасли:

• Яшкин Вячеслав - Управляющий директор Аппарата Правления ПАО «АК БАРС» БАНК
• Титков Константин, Исполнительный директор Департамента защиты информации Газпромбанк
• Демидов Сергей - Директор департамента операционных рисков, информационной безопасности и непрерывности бизнеса, Московская биржа
• Волков Олег, начальник Департамента кибербезопасности ПАО "Банк ЗЕНИТ".

Но несмотря на это озвученные ими примеры могут быть применены не только там, а гораздо шире. Одним из таких примеров стали кадровые риски, в снижении которых ИБ может принять самое непосредственное участие и дело тут не только в том, чтобы заниматься повышением осведомленности персонала или поиском инсайдеров внутри компании, помогая экономической безопасности (хотя это тоже вполне себе интересный кейс, выходящий за рамки классической ИБ). Уже набивший оскомину пример с обнаружением работников, готовящихся к увольнению. Да, этот сценарий требует определенных условий для срабатывания (сотрудник должен пользоваться корпоративными устройствами для доступа на сайты для поиска работы, рассылку резюме или получение предложений о работе), но он вполне себе укладывается в возможности ИБ, имеющей весь необходимый инструментарий для того, чтобы оперативно обнаруживать тех, кто готов пойти на сторону. Возможно менее этичный, но недавно активно обсуждаемый кейс, - это анализ активности работника и предоставление кадрам и начальству данных об активности сотрудника и том, работает он вообще или балду гоняет. И вот тут закономерно развернулась некоторая дискуссия. Одни высказывались в пользу того, что не дело ИБ следить за тем, как тратится рабочее время компании. Другие говорили, а почему бы и нет?

Как мне кажется, все будет зависеть от того, с какой позиции мы смотрим на эти примеры; с точки зрения функции или инструмента? Да, возможно слежение за рабочим времени - это не функция ИБ (что не мешает ИБ-вендорам активно допиливать свои решения именно для этой задачи). Но не стоит забывать, что ИБ - это не только функция, но и инструмент, который может быть использован и другими подразделениями для их задач. ИБ дает возможность, а уж применить ее или нет - дело другое. Поэтому в описанных выше двух случаях ИБ имеет инструмент, который может собрать данные, которые могут быть предоставлены кадрам. Если для компании удержание сотрудников и снижение ротации важны, то ИБ может помочь решить эту задачу (наряду с другими подразделениями). Если в компании руководство беспокоится о том, не бездельничают ли сотрудники за зарплату, то ИБ может помочь и тут (хотя контроль рабочего времени - это вообще отдельная тема, имеющая очень много граней и нюансов).

Другой пример бизнес-ориентированности CISO - снижение CapEx. Да, урезание бюджета - вещь неприятная, но встречающаяся достаточно часто. Можно жаловаться на жизнь, а можно попробовать извлечь из нее пользу и показать, что ИБ разделяет интересы компании, перейдя в части своих услуг с CapEx-ной модели на OpEx-ную, заменив “железные” решения на облачные, а внутренние сервисы передав на аутсорсинг. Да, это грозит потерей компетенций и снижением контроля, но на то мы и говорим с позиций бизнеса, что нужно взвешивать все за и против, всю плюсы и минусы, предлагая взвешенное решение и демонстрируя бизнес-ориентированность.

А может ли ИБ зарабатывать? Такой вопрос тоже прозвучал на круглом столе и Сергей Демидов ответил на него положительно, хотя и не скажу, что озвученный им вариант подойдет многим. Сергей возглавляет небольшого оператора связи, работающего в интересах биржи, который помимо услуг связи предоставляет также услуги удостоверяющего центра, зарабатывая на них (есть и другие варианты, о которых говорится в видео по ссылке ниже). Да, это уже не совсем in-house функция, но все равно служит интересным примером того, как руководитель ИБ может выйти за пределы своих привычных задач. Я знаю пример финансовой организации, которая предлагает своим привилегированным клиентам, имеющим на счетах сумму, выше определенного значения, услуги по ИБ, в том числе и защиту бренда. В другом случае служба ИБ оказывает услуги своим клиентам из сегмента малого бизнеса, по сути выполняя для них роль сервис-провайдера по ИБ. Ведь малый бизнес не имеет возможности строить у себя нормальную ИБ. Почему бы тогда не возложить эту задачу на службу ИБ своего банка?

Если не заработок, то может ли ИБ влиять на прибыль компании? Надо отметить, что не слишком подкованные в финансах технари, часто путают прибыль и доход. Да, ИБ может не приносить дохода, но при этом влиять на снижение расходов, тем самым увеличивая прибыль предприятия. И дело не только и не столько в том, чтобы снижать стоимость инцидентов или предотвращать мошенничество, о чем мы тоже говорили. Например, можно существенно снизить затраты компании на отправку одноразовых кодов по SMS для входа в систему ДБО, если подумать о том, как обычно клиенты подключаются к своему онлайн-банкингу. Делается это обычно с одного и того же мобильного устройства, которое не меняется годами. Так зачем каждый раз спрашивать клиента “Это ты?”, если можно профилировать его устройство и в случае совпадения с профилем, считать устройство доверенным и не отвлекать пользователя смсками? Такой подход позволяет сократить 10-40% затрат на отправку SMS, что выливается при текущих расценках в кругленькую сумму. Заработок ли это? Нет. Влияет ли на прибыль? Безусловно. Интересно это бизнесу? Конечно. Об этом кейсе, кстати, можно послушать в "свежевыжатом подкасте", приуроченном к грядущему SOC Forum 2021, в котором моим гостем был Лев Шумский, глава кибербеза Яндекс.Банка (подкаст №2). 

Но такая ориентация на бизнес требует от CISO новых навыков. Как было правильно отмечено на круглом столе - CISO может быть “военным” или “предпринимателем”. В первом случае он может отлично выполнять традиционные для ИБ задачи, но не выходить за их рамки. Во втором случае он ищет как помочь бизнесу с позиций предпринимателя. И у него это получается. И тогда у него появляется шанс вырасти за пределы обычного руководителя ИБ, “подмяв” под себя управление операционными рисками, непрерывность бизнеса, операционную надежность. Сергей Демидов упомянул концепцию S-кривых, которая описывает эволюцию многих технологий, многих компаний и даже людей. Сначала вы растете в своей роли, но в какой-то момент достигаете пика в развитии и у вас начинается движение по длительному плато, которое может в любой момент прерваться, так как вас обойдут более агрессивные, опытные, квалифицированные коллеги. Чтобы расти дальше вам надо выйти за пределы своей роли и сделать шаг в неизвестность, который может вывести вас на новый уровень, на новую кривую. И так далее. Для ибешника это означает, что он может начать свою карьеру как обычный сотрудник отдела защиты информации, занимаясь своей узкой сферой, развиваясь в ней. Следующим кардинально новым шагом может стать желание быть руководителем, что требует новых навыков и знаний. Проработав в этой роли, CISO может захотеть пойти еще выше и тут варианты его карьеры могут разойтись. Он может пойти в корпоративную безопасность, подмяв под себя темы экономической, физической, антитеррористической безопасности. А может пойти в сторону рисков и непрерывности бизнеса. И это очередной вызов, требующий новых знаний и навыков. А потом это может быть собственный бизнес и т.д.

На круглом столе мы обсуждали еще многие темы, но я не хочу пересказывать абсолютно все и не буду раскрывать секрет, как связана деятельность CISO с движением Black Lives Matter или концепцией ответственного инвестирования ESG, о которой сегодня не говорит только ленивый и которая вроде как не имеет никакого отношения к ИБ, но оказывается, что имеет. А ESG - это повестка дня руководителей крупнейших мировых компаний. И если CISO может встроиться в эту повестку, то это отлично. Но об этом вы можете сами услышать, посмотрев эфир, любезно записанный компанией Innostage, которая и организовала этот и другие два круглых стола, которые я вел, ссылки на записи которых ниже, и о которых я писал последние заметки:

• Запись первого круглого стола, о котором я писал
• Запись второго круглого стола, о котором я писал
• Запись третьего круглого стола, о котором данная заметка.

Подробнее…

Подомнет ли большая пятерка ИБ-игроков российский рынок или когда выпи***т всех иностранцев с рынка?

Во вторник и среду довелось мне по приглашению моих друзей из компании Innostage посетить организованную ими конференцию по кибербезопасности в рамках более крупного ИТ-мероприятия DigitalWeek с участием Президента Татарстана, министра российской цифровизации и других не менее высоких чинов. Я не выступал, но зато вел три дискуссии, обзором которых и хочу поделиться в серии заметок. Первая из них называлась "Отстает ли российский рынок ИБ от западного?".

Фрагмент ИТ-выставки

Началось все с провокационной просьбой в зал поднять руки тем, кто считает, что российские решения лучше или хотя бы не уступают по своим функциональным характеристиками и качеству иностранным аналогам. И чтобы вы думали? Всего одна рука в зале на 200 человек. Это достаточно показательная картина, на которой можно было и завершить круглый стол, так и не начав его, но мы не ищем легких путей и поэтому я стал мучать участников дискуссии вопросами о том, когда “иностранцам” в России укажут на дверь и что делать потребителю, которого заставляют мучаться, но есть кактус?

Фото с предшествующей сессии про то, что ждет отрасль ИБ и ИТ через 3-5 лет 

Василий Дягилев (CheckPoint) высказал мысль, что российские игроки за последнее время сделали гигантский скачок и если еще три года назад никто всерьез их и не рассматривал, то уже в прошлом, пандемийном году они очень быстро перестроились под нужды рынка, а сейчас достаточно активно наступают на пятки иностранным игрокам. Тут я могу частично согласиться с этой позиций - с момента подготовки моей презентации о домотканных средствах защиты (вот тут я тоже про это писал) на российском рынке появились не только новые имена среди игроков, но и среди номенклатуры средств защиты. IRP, SOAR, DDP (обманки), THP (Threat Hunting), TIP (Threat Intelligence) и т.п. Да, пока многие из этих решений делают только свои первые шаги и аналогами их называть еще рано, но по крайней мере с точки зрения категорий решений они уже явно не пустуют, как это было еще несколько лет назад. Олег Шальнов из Концерна “Энергоатом” своей репликой подтвердил слова Василия и сказал даже больше - у них в Концерне произошло практически полное импортозамещение и в области информационной безопасности они используют практически 100% отечественных решений. Лично для меня это было удивительно слышать, так как буквально в этот же день на площадке ТНФ-2021 прошла сессия "Импортозамещение в ИТ: отечественные решения для нефтегазовой отрасли", на которой выступила с докладом Лилия Загородных, директор программ по рискам, импортозамещению и непрерывности деятельности Департамента информационных технологий, автоматизации и телекоммуникаций "Газпромнефти”. Она сообщила, что заявленный план перехода объектов КИИ на российское ПО и оборудование к 2023-2024 г. выглядит красиво, но нереалистично. "Как мне, как директору по импортозамещению перевести нефтянку на все российское ПО и оборудование? Это сложно. Для нефтяников в первую очередь приоритетом является безопасность. Я за импортозамещение и могла бы сказать, что мы это сделаем. Но я опасаюсь, что нет". Возможно в Газпромнефти и Энергоатоме разные ПО и железо, но я из практики тоже больше склоняюсь к позиции Лилии Загородных. Но вернемся к секции.

Владимир Бенгин (Минцифры), который отдувался за всех регуляторов, высказал очень здравую мысль о том, что импортозамещение должно быть умным, то есть не всех и не сразу, а только значимых объектов (уже немалое подспорье) и только по окончании срока амортизации (это из проекта Указа Президента по импортозамещению в КИИ). При этом субъект КИИ может и дальше использовать иностранные решения, если сможет обосновать соответствующей комиссии свое решение. При этом Владимир высказал мысль, что Минцифры против ухода иностранных игроков с российского рынка, так как у отечественных вендоров тогда пропадет не только пример, к которому можно стремиться, но и конкуренция, что приведет только к застою. Я целиком и полностью поддерживаю позицию Владимира и его министерства, но вот шаги, которые я вижу все-таки говорят о том, что государство в целом планомерно выдавливает “иностранцев” из страны, не предложим ничего взамен. Если государство думает, что иностранные игроки всеми конечностями будут жержаться за российский рынок и довольствооваться подачками, то это не так. И в тучные времена доля России в объеме бизнеса иностранных ИТ и ИБ-компаний составляла около 1%. По мере импортозамещения эта цифра будет снижаться и экономического смысла продолжать держать в стране мощные офисы, вкладываться в сертификацию (которая не дает никаких преференций и не позволяет попасть в нужные реестры), разработку и поддержку нет. Поэтому в какой-то момент времени крупные ИТ и ИБ компании могут просто развернуться и уйти из страны вслед за уже ушедшими небольшими игроками рынка.

Семирханов Мидхат (Forcepoint) добавил, что хороший (продаваемый) продукт, интересный не только в России, но и на Западе/Востоке, зависит не только и не столько от программистов, которые в России и правда хороши. Очень важную роль играет маркетинг и продажи, с чем у наших игроков наблюдается провал. Без них не то, что выходить к иностранным заказчикам бессмысленно (о том, что у вас классный продукт просто никто не узнает), но и в России и ее сателлитах о серьезном прорыве говорить не приходится. Ему вторил и Андрей Брызгин (Group-IB), упомянув клиентоориентированность как фундамент для развития бизнеса в ИБ-сфере. Тут, правда, и Владимир Бенгин. и Василий Дягилев отметили, что у российских игроков есть преимущество, так как они находятся ближе к клиентам и готовы быстрее реагировать на потребности рынка и заказчиков, реализуя фичи, которые у иностранцев нет и в ближайших релизах может и не появиться. Хватило бы денег на реализацию всех хотелок. Все-таки многие иностранные ИТ-монстры развивались на заказах от государства, что позволило им потом завоевать весь мир. Владимир Бенгин отметил, что наше государство тоже готово поддерживать ИТ-компании, хотя со своей стороны отмечу, что не каждый ИБ-игрок (особенно если он сервисный провайдер) может рассчитывать на помощь государства. Кроме того, пока о госзаказах речи нет и не факт, что они появятся в области ИБ. 

Кстати, о сервисных провайдерах. Мидхат Семирханов несколько раз упоминал сервисную модель как некий тренд в мире и в России, но, как мне показалось, он так и не выразил до конца свою мысль, что если сервисный провайдер использует иностранные решения, то заказчик этого все равно не видит, получая готовый сервис от российской компании, что позволяет в целом обойти требование по импортозамещению. И насколько мне известно некоторое количество зарубежных ИБ-игроков прекрасно используют эту модель на практике (лайфхак для тех, кто ищет пути).

Пытаясь вовлечь зал в дискуссию, я задал еще один вопрос, - есть ли решения, которых им не хватает у российских игроков. Ответов не последовало, из чего я могу сделать вывод, что либо все участники просто стеснялись, либо они не используют российских решений и пока не рассматривают импортозамещение, поэтому и не знакомы с предложениями российских ИБ-вендоров (вариант, что их все устраивает я даже не рассматриваю). И только Андрей Иванов из компании Яндекс ответил на этот вопрос, сказав, что им не хватает высокопроизводительных МСЭ. средств шифрования для облачных сред. И это правда. Таких решений у нас действительно нет. И даже для необлачных их тоже нет. Я знаю, что даже регуляторы, навязывающие импортозамещение в России, по-прежнему используют иностранные решения у себя в ядре или в ЦОДах, не имея отечественных альтернатив или не рискуя их ставить у себя в инфраструктуре.

Продолжая тему поддержки государства хотел бы еще отметить негативный факт - если посмотреть на резидентов Сколково, которые являются реально стартапами, а не монстрами типа Инфовотча или Group-IB, то они либо умирают через год-другой, либо сразу ориентируются на западные рынки, просто не имея возможности найти в России свою аудиторию. Тут получается замкнутый круг, чтобы продать свои решения крупным заказчикам, надо быть в реестре Минцифры и Минпромторга и иметь сертификаты ФСТЭК или ФСБ. А чтобы получить эти сертификаты, надо потратить кучу денег на танцы с бубном и выполнение никому ненужных телодвижений или функций, которые еще и будут шоу-стоппером при выходе на зарубежные рынки. А чтобы потратить кучу денег - надо ее заработать. А чтобы заработать... В итоге у нас нет достаточного количества стартапов, как это происходит, например, в Китае, Корее, Израиле, Германии, Испании и, конечно, США. Я не успел задать этот вопрос, но есть мнение, что скоро в России останется только большая пятерка именно отечественных игроков по ИБ, а все остальные будут либо поглощены, либо вынуждены будут уйти с рынка.

Кстати, схожую мысль об укрупнении, но вокруг государственных компаний (Ростех, Ростелек, Сбер и т.п.) высказал и Мидхат Семирханов. Владимир Бенгин, как представитель государства, что интересно, высказался против такого огосударствления рынка ИБ, так как это приведет к его выхолащиванию. Посмотрим, кто будет прав на горизонте в 3-5 лет, а именно такой временной отрезок рассматривался на секции до “моей”, где представители Positive Technologies и Касперского высказали мысль, что у российских игроков все прекрасно, много перспектив, на Западе много денег и скоро отечественные ИБ-компании (которые еще останутся не под санкциями) завоюют весь мир. Мне понравился такой оптимизм, хотя, как мне кажется, коллеги, высказавшие эти мысли, не учитывают один простой факт. Китаю мы нафиг не сдались - у них игроков гораздо больше и иностранцев они не жалуют. А вот западный мир, живущий по христианскому принципу “око за око”, будут ставить такие же заградительные препоны (уже ставят), как это делается и в России. Причем, я не буду спорить о том, кто “первый начал”, но факт есть факт. Нас там никто не ждет и примеров действительно успешной экспансии на иностранные рынки, особенно в последние 4-6 лет (после реализации непреодолимого желания Крыма влиться в состав нашей необъятной Родины) я сейчас и не вспомню. Есть отдельные попытки выйти на рынки Средней Азии и Ближнего Востока, есть примеры поставок в страны Южной Америки и даже Африки, но победоносным шествием это пока назвать нельзя; так, скорее пробираемся огородами. Приводить в пример Касперского не стоит - он это делал задолго до геополитических баталий и объявления России врагом №2 (после Китая) почти во всех прогрессивных странах. После этого, успехом пока хвастаться некому. Разве что Group-IB, которая сменила прописку и штаб-квартиру с России на Сингапур. Но пока оценивать ее успехи и насколько она будет продолжать называть себя российской рановато.

В целом, если подводить итог часовой дискуссии, я бы отметил, что перспективы есть у всех сторон - у государства не накосячить, у иностранцев - не уйти с рынка, у российских вендоров - сделать действительно востребованные потребителями продукты, а не только закрывающие регулятивные требования. А пока мы находимся в позе Ван Дамма, раскорячившегося между двумя грузовиками, - либо удержимся, либо е*немся и тогда будет больно.

ЗЫ. Кстати, в заголовке использовалось слово “выпихнут”, а не то, что вы подумали.

Подробнее…

Разбитая чашка кинцуги, как символ современной ИБ, или о чем говорили на RSA Conference 2021

Кинцуги - это японское искусство реставрации керамических изделий, которое, как и многое, что есть в Японии, имеет свой философский смысл. Согласно нему трещины и поломки являются неотъемлемой частью, неотделимой от самого объекта и его истории, и скрывать их и "замазывать" не имеет никакого смысла. Так и с инцидентами ИБ. Да, они происходят. Да, они наносят урон бизнесу, который, однако, может восстановиться после них и продолжить свое развитие. Не надо скрывать инциденты или считать их концом всего. Жизнь продолжается!

Еще один слайд с аналогиями ИБ

Именно с такой аналогии началась конференция  RSA 2021, завершившаяся почти месяц назад, а у меня все не доходили руки, чтобы о ней написать. В этом году тема устойчивости (resilience) пронизывала красной нитью все мероприятие, которое проходило целиком в онлайн-формате. Могу сказать, что получилось очень неплохо. Да, нехватало нетворкинга и очных дискуссий, который все-таки имеют свою атмосферу, отличную от виртуальных выступлений. Но организаторы смогли все-таки показать, что и онлайн может быть интересным. Рекламы почти нет (как и всегда), куча практики, множество дискуссий и интерактивных сессий, возможность задавать вопросы спикерам (на очной RSAC это всегда было непросто). И все это за почти пять сотен долларов, что гораздо дешевле прошлогодних RSAC, цена участия в которых начиналась с 2-х тысяч; плюс стоимость перелета и проживания. И хотя отсутствие очных встреч оттолкнуло ряд участников, более 16000 человек на RSAC все-таки пришли.

Я не буду подробно погружаться в каждый из нескольких сотен докладов (а как и на обычной RSAC и в этот раз параллельно проходило около 10 сессий), но ключевые направления и наиболее популярные темы подсвечу. Тем более, что они характеризуют определенные тенденции на рынке ИБ. Итак, мои наблюдения (тезисно):

1. Очень активно обсуждалась тема кибербезопасности в авиации и медицине. И если последнее понятно (атаки шифровальщиков на медицинские организации и проникновения в фармацевтические компании, занимающиеся исследованиями COVID-19), то внимание к авиационной ИБ для меня стало некоторым открытием. Вроде как инцидентов серьезных в этом сегменте не было; как и новых регулятивных требований. В любом случае именно эти две отрасли стали наиболее популярными на RSAC. Финансы, госы, транспорт, нефтянка, энергетика и т.п. не удостоились чести быть активно представленными на мероприятии.
2. Машинное обучение (не поворачивается у меня язык называть это искусственным интеллектом) стало еще одной горячей темой RSAC, но дифирамбов этой технологии уже никто не поет. Надо признать, что на пути активного внедрения ML в ИБ встало несколько сложностей, а именно отсутствие актуальных и публичных датасетов, а также отсутствие тех, кого на английском языке модно называть data scientist. Без первого сложно обучать модели ML; без второго - разрабатывать сами модели. И хотя аналитиков данных сегодня выпускают все кому не лень, прикладных аналитиков среди них почти нет. Ну не будем же мы всерьез называть аналитиком данных того, кто прошел двухнедельные курсы по Python и умеет извлекать ключевые слова из массива данных или суммировать значения в таблице. Но даже при наличии аналитиков возникает вопрос с тем, на чем они будут обкатывать свои данные - несмотря на прогнозы Рустема Хайретдинова, что скоро датасеты по ИБ будут выкладывать в открытый доступ и они перестанут быть конкурентным преимуществом, до этого еще очень далеко. Такие датасеты, еще и регулярно обновляемые и размеченные, находятся в собственности крупных игроков рынка и они делиться ими не спешат. Остальным же остается довольствоваться датасетом KDD 99 :-)
3. На удивление популярной стала тема моделирования угроз, о которой говорили многие, приводя различные примеры моделей и подходов к моделированию для различных систем - от облаков до АСУ ТП. Отдельно хотелось бы отметить интересный мастер-класс по форкастированию угроз, то есть, по-русски, по научному предсказанию того, что будет в долгосрочной перспективе и на горизонте в 7-10 лет. Интересное было упражнение - надо будет его как-нибудь повторить на других данных. Кстати, практики на RSAC было немало, что необычно для онлайн-мероприятий. Но предварительная подготовка и хорошее модерирование показали, что даже не собирая людей в одной комнате, можно отлично проводить лабораторные работы, давать задания, принимать ответы и т.п. 
4. Предсказуемо много говорили про матрицу MITRE ATT&CK и ее применение в различных сценариях ИБ - от редтиминга до моделирования угроз, от оценки средств защиты до формирования стратегии ИБ. У меня в последнее время в блоге тоже немало заметок по этому фреймворку и я планирую продолжить писать про него.
5. После истории с SUNBURST немало докладов было посвящено атакам на цепочки поставок и тому, как с ними бороться. Примерно такая же история была в свое время с WannaCry - после него многие ИБ-компании рассказывали, как надо обнаруживать и предотвращать эту угрозу. Правда, почему их решения не обнаруживали WannaCry ДО его начала (хотя прошел месяц с момента публикации данных об уязвимости до начала эпидемии), никто не отвечал :-) Так и с проникновением в сеть компании SolarWinds. Но идеи были озвучены интересные и эта тема осстанется популярной на ближайшее время.
6. Удивительно, но, в отличие от прошлых лет почти никто не обвинял русских хакеров (исключая Альперовича). Вообще тему атрибуции обходили стороной, видимо, понимая, что делать выводы о принадлежности хакеров тому или иному государству, не пристало на серьезной конференции специалистов по ИБ. 
7. Новых технологий по ИБ представлено почти не было, исключая, пожалуй, Attack Surface Management, о которых я писал несколько дней назад. Но зато из всех щелей звучало три аббревиатуры - ZT (Zero Trust), XDR (eXtended Detection & Response) и SASE (Secure Access Service Edge). Я про них уже тоже писал - про ZT аж в 2014-м году еще, про SASE пару лет назад. Но это, по сути, и не новые технологии, а скорее новый взгляд на комбинирование этих технологий для достижения новых результатов. ZT - это ответ на размывание периметра и необходимость обеспечивать непрерывный контроль доступа по динамическим правилам. XDR - это новый взгляд на обнаружение угроз, когда разные системы (хостовые, сетевые, облачные и т.п.) объединяются в единый комплекс для обнаружения того, что ранее было скрыто от отдельных решений по мониторингу. Не удивлюсь, если скоро кто-то скажет, что SIEM мертвы и нужно переходить на XDR. Ну а SASE  - это очевидный ответ на переход всех в облака и нехватку кадров для решения всех вопросов ИБ своими силами.
8. С технологической точки зрения также немало докладов было посвящено безопасности АСУ ТП и приложениям. Но это тренд последних лет, который просто усиливается.
9. А SOCи? Как же SOCи? Эта аббревиатура тоже слышалась из всех динамиков, но не как самостоятельное направление, а как необходимый элемент любой системы ИБ любой организации, в котором аккумулируются все усилия по мониторингу (с помощью XDR и SASE в том числе) и реагированию на инциденты на широкий спектр атак - от шифровальщиков (про них, кстати, много не говорили, видимо все сказав на прошедшем в рамках RSAC Ransomware Summit пару лет назад).

Вот такая картинка вырисовывается. Каких-то прорывов и откровений не звучало - скорее все обсуждали, как обеспечить киберустойчивость предприятий в условиях постоянных атак. В целом мне мероприятие понравилось. Хотя и не хватило живого общения, брожения по стендам вендоров, споров в близлежащих барах и вечерних посиделок. Интересно, что на выставке раньше было раза в 3-4 больше экспонентов, чем в онлайне, что странно. По идее порог входа в онлайн гораздо ниже - просто выложи свои материалы на страницу и собирай лиды. Но, видимо, этот пассивный маркетинг уже не работает и компании не хотят тратить на него усилия, желая очного общения, демонстраций на стендах, рассказа о преимуществах глядя в глаза посетителям. Этого не хватало, да.

Но я лишний раз убедился, что сделать онлайн-мероприятие, которое не будет жалким подобием своей оффлайн-версии вполне возможно. И у него будут свои фишки и отличительные особенности. И ты не будешь думать "посмотрю доклад в записи на ускоренной перемотке", так как немалое количество сессий просто не записывалось, предполагая живое общение, а часть требовало непосредственного вовлечения в лабораторные работы, которые тоже никто не записывал и по окончании RSAC уже не предоставлял доступ к удаленным стендам и лабам.

ЗЫ. Пойду разгребать свои записи с RSAC - было немало того, что достойно того, чтобы про него написать.

Подробнее…

Дистанционное рабочее место - новое направление регулирования ФСТЭК

Кто активно мониторит то, что происходит на конференции "Актуальные вопросы защиты информации", которые ФСТЭК проводит в рамках ТБ-Форума, тот образал внимание на то, что последние несколько лет эти конференции стали тематическими, посвященными каким-либо ключевым темам, которыми ФСТЭК занималась годом ранее. КИИ, безопасная разработка и т.п. В этом году регулятор посвятил большую часть своих выступлений теме безопасной дистанционной работы, полностью "забыв" обо всех других направления своей деятельности. Разве, что тема КИИ была рассмотрена днем ранее на конференции по защите АСУ ТП в рамках того же форума, а также несколькими днями позже, в рамках форума "Кибербезопасность. Наши дни. Промышленные технологии". Оно и понятно - прошлый год у всех прошел под знаком удаленной работы и было бы странно, чтобы регулятор не осветил этот вопрос, тем более, что за прошедший год эта тема поднималась неоднократно и всегда звучал вопрос, что же думает ФСТЭК (а также другие регуляторы по ИБ) по этому вопросу. Выслушав два доклада - от ФСТЭК и Минцифры - я могу тезисно зафиксировать направление мысли и предполагаемые шаги, с которыми столкнутся, как минимум, государственные и муниципальные структуры, а как максимум, и многие другие организации, например, субъекты КИИ или операторы ИСПДн.

1. ФСТЭК признает и я склонен с ней согласиться, что существующие нормы 17-го приказа (а также иных приказов) ФСТЭК вполне себе допускают удаленную работу и позволяют защитить ее в рамках действующей нормативной базы. Но зачем-то, вдруг, появляется требование о том, что удаленный доступ должен быть организован только со специальных технических решений, к которым надо установить требования.
2. ФСТЭК, трезво оценивая нехватку бюджета у госорганов и понимая, что каждому чиновнику выдать по служебному компьютеру для работы из дома невозможно, предлагает использовать концепцию LiveUSB, то есть специальной защищенной флешки, с которой можно загружаться и подключаться к ГИС или работать со слежубными документами вне рамок аттестованного помещения и контролируемой зоны.
3. При этом ФСТЭК считает, что это не может быть любая флешка, на которую установлены сертифицированные средства защиты, а только специальная флешка, сделанная под заказ в соответствие с треваниями по ИБ и стоящая как космический корабль.
4. На этой LiveUSB, которая должна быть сертифицирована, должны быть реализованы/установлены соответствующие средства и механизмы защиты - доверенная загрузка, ОС, двухфакторная аутентификация, СКЗИ, удаленное управление. 
5. ФСТЭК разрабатывает сейчас (на финишной прямой) руководящий документ к таким средствам, который будет ориентирован только на разработчиков и испытательные лаборатории. Вот тут у меня, конечно, в очередной раз всплывает вопрос. Понятно, что сделать документ, ориентированный на ограниченное количество участников, проще, чем документ для широкого круга лиц. Но если целью всего этого является именно усиление защиты информации и повышение ее уровня (а вроде именно это декларируется и является целью регулятора), то разрабатывать надо не только требования к средствам, но и требования к процессу безопасной удаленной работы. То есть речь может идти о методическе по безопасной удаленке, которой могли бы руководствоваться все госорганы, уровень квалификации которых не очень высок. И никакое, даже обвешанное сертификатами, средство не способно решить проблему безопасной удаленной работы, если не работать с конечными потребителями, чего ФСТЭК упорно не хочет делать, перекладывая эту головную боль на разработчиков средств защиты.
6. ФСТЭК планирует внести изменения в 17-й приказ (ЗИС.31) и методичку "меры защиты" в связи с появлением этого РД, но когда это будет сделано, пока непонятно. В выступлении Шевцова Д.Н. прозвучало, что "мы по полгода все регистрируем в Минюсте", а значит ждать нам этих изменений не раньше конца года :-( так как цепочка тут простая. Сначала надо принять РД, потом поправки в 17-й приказ, а потом уже и в методичку внести изменения.
7. Правда, в методичку внесут изменения явно не скоро. Днем ранее, на секции по безопасности АСУ ТП, Кубарев А.В. сказал, что ФСТЭК планирует (отмечу - давно планирует) разработать универсальную методичку по мерам защиты, которая бы объединяла разъяснение защитных мер не только к 17-му приказу ФСТЭК для ГИС, но и к 21-му (ИСПДн), 31-му (АСУ ТП), 31-му (оборонка), 239-му (ЗОКИИ). И будет это сделано, как было сказано, либо в этом, либо, что реальнее, в следующем году, Очевидно, что работа эта невозможна без синхронизации нумерации и наименования всех защитных мер в приказах ФСТЭК, чего пока не наблюдается. А это за собой тянет внесение изменений во все приказы регулятора, что, как мы помним из выступления Лютикова В.С., в 2021-м году делать не планируется.
8. В отличии от всех ранее выпущенных РД ФСТЭК, никакого деления на классы защиты/защищенности у средств безопасной удаленной работы не будет. Все требования будут едины и применяться, что к ГИС 3-го класса, что к ГИС 1-го, что к ЗОКИИ 3-го уровня, что 1-го. С одной стороны унификация, а с другой - явное завышение защитных требований и отсутствие дифференциации, которое приведет к росту затрат и невозможности реализации требований ФСТЭК у многих субъектов регулирования. Ровно такая же ситуация была с требованиями по лицензированию мониторинга ИБ, когда ФСТЭК сразу установила требования по аттестации SOC по ГИС1 (и как ряд лицензиатов оказывает услуги мониторинга ИБ с облачного сервиса Microsoft Azure Sentinel мне до сих пор непонятно), мотивируя это тем, что к лицензиату может обратиться организация с ГИС1. Почему нельзя было прописать просто требование, что при мониторинге ГИС у лицензиата должен быть аттестат соответствия SOC уровня ни ниже того, который выдан на систему, отдаваемую на аутсорсинговый мониторинг? Так бы ФСТЭК дала развиваться рынку мониторинга ИБ, не снижая при этом уровня защиты госов. Сейчас ФСТЭК наступает на те же грабли, приравнивая какой-либо региональный банк (как СуКИИ) или районную больницу и корпорации типа Газпрома, РЖД или министерства типа Минцифры или Минфина. Всех под одну гребенку и всем выполнять максимально возможные требования - средства защиты не ниже 4 класса защиты (максимально возможный для "негостайны"). И если выполнение требований этого документа будет обязательным только для госов, то и ладно. Но если такие тревания будут обязательны, например, для субъектов КИИ, то реализовать их будет зачастую невозможно, так как не все приложения можно запустить с LiveUSB, особенно если речь идет об АСУ ТП.
9. Вообще вопрос установки прикладного ПО на LiveUSB, как мне кажется, регулятором проработан не до конца. С web-приложениями вроде все понятно, но как работать с обычными standalone-приложениями? Ставить их на флешку? А места хватит? А сертифицированная ОС это позволит? А скорости работы с USB 2.0 (пока с этой версией) хватит? Одни вопросы.
10. Кстати, и еще один вопрос. А как быть с требованиями ФСБ к СКЗИ? Насколько допустима такая схема не совсем понятно. Из проекта приказа ФСБ "Об утверждении требований о защите информации, содержащейся в ГИС, с использованием СКЗИ" у меня сложилось впечатление, что там вообще не учтена дистанционная работа. Еще LiveUSB будет хранилищем для ключей и сертификатов электронной подписи - поэтому надо смотреть, насколько эти флешки выполняют еще и требования ФСБ к средствам ЭП. Ну и скорость работы СКЗИ на слабой аппаратной начинке флешки тоже может стать очередным раздражителем.
11. Требования будут ДСП. Если кто-то захочет получить к ним доступ после их регистрации, то необходимо сделать официальный запрос в ФСТЭК, но для этого надо иметь лицензию, о чем я уже писал, рассказывая про телемост с Лютиковым В.С. Правда, тут опять возникает вопрос. Если требования только для разработчиков, то как потребителю понять, какие он требования должен выставить к данным средствам? И как он может понять, что было сделано разработчиком в соответствие с закрытыми документами регулятора? 
12. Интересно, что действующие нормативные документы ФСТЭК запрещают осуществлять удаленный доступ администраторов к ГИС, требуя, чтобы администрирование было только локальным. Останется ли данное требование или его поменяют? Пока непонятно. Вроде как Шевцов Д.Н. упомянул, что изменения внесут, но по срокам см.выше.
13. Также не до конца понятна ситуация с уже аттестованными системами. Как быть с ними? Требуется ли переаттестация или достаточно проведения дополнительных мероприятий по проверке безопасности дистанционного доступа? Вроде как ФСТЭК говорит о последнем, но судя по вопросам на конференции, и пользователям и самим аттестационным лабораториям не хватает официальных и публичных разъяснений регулятора. 
14. Интересно, что в рамках выступлений и вопросов неоднократно упоминалась информация "ДСП", то есть служебная тайна. Но на прямой вопрос, когда же хоть кто-то сможет назвать сроки принятия закона о ней, так никто и не ответил. На вопрос Шевцову Д.Н. из зала, как защищать "информацию ДСП" и в соответствие с чем, от представителя ФСТЭК последовал очевидный ответ - "в соответствие с 17-м приказом". Хотя с юридической точки зрения это нонсенс. 17-й приказ никакого отношения к информации ограниченного распространения не имеет - он регулирует защиту ГИС и только. Все всё понимают, но делают вид, что все хорошо :-(
15. С практической точки зрения у данного подхода есть и еще один нюанс (помимо прикладного ПО) - чтобы загрузиться с LiveUSB необходимо в BIOS указать, что загрузка осуществляется с флешки, а не с жесткого диска домашнего компьютера. Как это объяснить низкоквалифицированным пользователям, не совсем понятно. Особенно при том многообразии домашних компьютеров, которые имеют BIOS/UEFI разных версий разных производителей. А ведь некоторые ПК вообще не имеют такой возможности. С техникой Apple вообще засада. И хотя у многих рядовых служащих нет макбуков, но у чиновников высокого ранга это не редкость. И как быть с ними непонятно. Как и с теми, кто вместо ПК использует планшеты, в которые нельзя воткнуть LiveUSB. Вопрос печати на локальных принтерах тоже остается открытым...
16. Как мы помним, Минцифра с Минпромторгом, пытаются импортозаместить все госорганы, а к средствам защиты так и вовсе предъявляют требования об использовании отечественной микроэлектроники к определенному сроку. Сейчас, имеющиеся на рынке решения LiveUSB такие требования не выполняют, хотя и заявляют о движении в эту сторону. Это означает, что после переходя на отечественные микроконтроллеры и модули флеш-памяти придется заново проводить сертификацию готового изделия, а заказчикам тратиться на повторную закупку.     

Выступление директора департамента проектов по информатизации Минцифры Гурзова К.А. было менее практичным, но зато в нем рассказывалось о перспективах, а точнее о ТАРМ, типовом АРМ госслужащего, которое представляет собой облачное решение по модели SaaS, с помощью которого все чиновники бесплатно получать возможность пользоваться всеми нужными приложениями безопасным образом. ТАРМ размещается в ГЕОПе (гособлако) и доступ к нему как раз обеспечивается с помощью сертифицированного в ФСТЭК средства безопасной удаленной работы. По мнению Минцифры это будет на 100% доверенная среда, использующая на 100% доверенное ПО. К сожалению, во время высказывания этого тезиса не было видно лица представителей ФСТЭК, а мне бы хотелось это увидеть. Мечта любого безопасника - на 100% защищенная система :-) Правда, все это планы на будущее. Пока этого ничего нет.

Из доклада представителя Минцифры я с удивлением узнал о какой-то новой классификации информационных систем. Были упомянуты медицинские информационные системы и информационных банковские системы 1-го класса защищенности. Что это такое? Тоже самое было и в докладе генерального директора Аладдина Р.Д. Груздева С.Л. Кто у его копипастил (а там не только классификация совпадала, но и некоторые слайды)?

Вот такой краткий пересказ того, что говорили регуляторы на тему удаленной работы в безопасном режиме. По мне, так половины нужного сказано не было :-( Я выше уже написал, что защищенная дистанционная работа - это не только сертифицированная LiveUSB. В своем выступлении на GIS Day я приводил краткий чеклист того, что надо делать и в нем я писал не только про защиту оконечных устройств, с которых осуществляется удаленный доступ (а именно про это и говорит ФСТЭК), но и про защиту периметра предприятия или облачной инфраструктуры, а также про мониторинг активности на сетевом уровне, различные требования к защите соединения, изменение культуры работы, управление инцидентами и т.п. Вопросов много и место им в отдельной методичке по безопасной удаленной работе, которая должна учитывать как вопросы ИТ и ИБ при внедрении удаленки (например, вот так это выглядело у нас - в целом, для работы с облаком Azure и с облаком AWS), так и вопросы ее использования. 

А вот на мои "вопросы к регуляторам", которые я задал еще в прошлом марте, так ответов и не прозвучало и никаких изменений в НПА не сделано. А жаль... Без этого говорить о безопасной удаленной работе не приходится.

ЗЫ. Презентацию Шевцова Д.Н. можно посмотреть здесь, а Гурзова К.А. - здесь.

Подробнее…

21 тезис с телемоста с руководством ФСТЭК или ответы регулятора на вопросы отрасли. Часть 1-я

17 февраля, в рамках конференции "Кибербезопасность. Наши дни. Промышленные технологии" прошел телемост "Москва-Урал" с участием Виталия Сергеевича Лютикова, заместителя директора ФСТЭК, который отвечал на вопросы, полученные от отрасли. Я вел этот телемост на стороне Урала и позволил себе составить краткое резюме по прозвучавшим ответам. Сразу отмечу, что из почти 70 пришедших вопросов, было отобрано 26, который на мой взгляд были достаточно стратегическими, чтобы задавать их именно Виталию Сергеевичу. На часть тактических и практических вопросов по КИИ позже ответила Елена Борисовна Торбенко, заместитель начальника 8-го Управления ФСТЭК, о чем я еще напишу отдельно. Диалог получился конструктивным, хотя и не на все вопросы были получены четкие ответы, что объяснимо и ниже я попробую про это написать.

1. ФСТЭК планирует продолжить практику участия в онлайн мероприятиях для донесения своей позиции (в последнее время активно участвовали от ФСТЭК не только Лютиков В.С., но и Кубарев А.В.). Проведение своих собственных мероприятий тоже возможно, но когда, непонятно, - ресурсов не хватает. Хотя мне кажется, что это позволило бы снять остроту многих проблем и наладить диалог регулятора не с узким кругом лицензиатов и экспертов, а с отраслью. Тем более, что это не так уж и сложно. Либо купить недорогой тариф у того же Webinar.ru, либо делать трансляции в Youtube, либо попросить помощи у той же группы Авангард-Медиа, которая и проводила телемост и имеет опыт онлайн-мероприятий (один SOC Live чего стоит).
2. ФСТЭК думает о возможности выкладывания на своем сайте обучающих курсов по различным вопросам защиты информации для повышения квалификации кадров, которая у нас не очень высокая по словам той же ФСТЭК на многих мероприятиях. Первую попытку попробуют сделать в марте - в рамках курса по динамическому и фаззинг-тестированию ПО, который проводит ФСТЭК. Этот курс планируют записать и выложить либо на сайт самой ФСТЭК, либо на сайт Банка данных угроз (БДУ).
3. Привлечение экспертов для экспертизы документов никто не отменял и ФСТЭК планирует и дальше привлекать специалистов для такой работы. Однако "массового" привлечения, как это было раньше, или "встреч с блогерами", видимо, не будет. Небольшие группы по несколько человек ФСТЭК считает более эффективным способом, чем собирать по 20-30 экспертов. Основным каналом коммуникаций ФСТЭК видит одностороннее взаимодействие через regulations или через обратную связь на выкладываемые на сайте документы, не требующие оценки регулятивного воздействия. Ну хоть так, хотя именно этот формат, похоже, многих и не устраивает.
4. Проверки субъектов КИИ начинают со второго полугодия 2021-го года. В плане 5 объектов КИИ. Что за объекты неизвестно и в публичной плоскости эти данные не появятся.
5. У ФСТЭК уже есть внутренние методики проведения проверок субъектов КИИ. Будут выкладывать их или нет - неизвестно. Но проверяют публичные требования 235/239-го приказов. Сами методики направлены на то, чтобы унифицировать подход и убрать отсебятину на местах, когда сотрудники терорганов ФСТЭК по своему трактуют то или иное требование нормативных актов.
6. В случае выявления нарушений в рамках проверок передавать данные в правоохранительные и следственные органы ФСТЭК не планирует. Но если от них будут запросы, то никто скрывать результаты проверок не будет. В случае выявления в рамках проверок предпосылок к нанесению ущерба, то данные будут передаваться в НКЦКИ.
7. Контролем использования отечественного ПО и отечественных средств защиты на объектах КИИ, как и вообще импортозамещением, ФСТЭК заниматься не будет. Они не уполномочены на это. Вообще, сложилось впечатление, что ФСТЭК сама не рада, что их используют для этой задачи. С этим же связано, как мне кажется, и то количество отказов от изменений в 239-й приказ, а также в проекты Указа Президента и Постановления Правительства по импортозамещению. ФСТЭК просто вынуждена делать то, что прилетело сверху.
8. По истории с РЖД ответ был витиеватый :-) Мол проверка факта проведена - сделаны выводы. Но вообще тема реагирования на такого рода публичные истории она остается открытой. ФСТЭК говорит, что все отслеживается и реагируется, но непублично.
9. Несмотря на ранее высказанные позиции о том, что объектом КИИ является не любая ИС, АСУ ТП или ИТКС, а только те, которые завязаны на критичные процессы (именно эту позицию ФСТЭК фиксировала в ПП-127), сейчас подход регулятора вернулся к тому, что написано в ФЗ-187, а именно - любая ИС, АСУ или ИТКС является объектом КИИ и подлежит категорированию. Даже если она по итогам категорирования и не будет признана значимым объектом, то все равно процедуры, предусмотренные ПП-127, должны быть проведены в отношении каждой ИС, АСУ или ИТКС. С моей точки зрения, именно этот, один из двух тезисов телемоста, пожалуй, имеет самые серьезные последствия для субъектов КИИ, которым придется пересмотреть результаты уже проведенного категорирования.
10. Второй имеющий серьезные последствия для отрасли тезис прозвучал при ответе на вопрос о том, где проходит водораздел между средствами защиты информации по 239-му приказу ФСТЭК и средствами ГосСОПКИ по 196-му и 282-му приказам ФСБ. Это еще одна тема, в которой ФСТЭК, похоже, пытаются склонить к позиции, которая им не близка. По крайней мере, сейчас прозвучало, что SIEM, СОВ/СОА, МСЭ, антивирусы, IRP и т.п. вполне могут считаться средствами ГосСОПКИ, а не только средствами защиты, и к ним будут предъявляться не только требования ФСТЭК, но и ФСБ. А требования последние - это полный пушной зверек (это уже моя оценка, не ФСТЭК). Согласно требованиям ФСБ вам придется согласовывать с ФСБ места установки средств ГосСОПКИ, использовать сертифицированные в ФСБ средства защиты, а также вам фактически будет запрещено применять иностранные средства защиты информации.
11. Изменений ФЗ-187 и ПП-127 в этом году не планируется. Надо дождаться правоприменительной практики и тогда уже оценивать все статьи закона вместе - что работает, а что нет. Как минимум, ФСТЭК видит необходимость поправить терминологию в части того, кого считать субъектом КИИ и что такое объект КИИ (хотят сузить).
12. Также в этом году нет планов по внесению изменений в 235/239-й приказы, если сверху не прилетит новых указаний, как это было в части импортозамещения.
13. Оценка соответствия прикладного ПО и средств защиты в форме испытаний или ввода в эксплуатацию может быть проведена самостоятельно субъектов КИИ или привлеченной им компанией, если кто-то из них имеет соответствующую экспертизу. А вот ФСТЭК, в соответствие с своими приказами, проверит протоколы испытаний и были ли установлены соответствующие требования при выборе прикладного ПО или средств защиты и их внедрении. Для меня это осталось достаточно спорным вопросом - как регулятор будет проверять выполнение этого требования и насколько его устроит это выполнение. Думаю и сам регулятор пока не знает этого с практической точки зрения.
14. Разъяснений от ФСТЭК по тому как проводить оценку соответствия в формах испытаний и ввода в эксплуатацию не будет.
15. Для проверки уровня доверия прикладного ПО у субъекта КИИ должны быть соответствующие документы, которые имеют отметку "для служебного пользования". ФСТЭК готова ими делиться при условии обоснованного запроса со стороны субъекта КИИ. Я безусловно верю словам замдиректора ФСТЭК, но если мы посмотрим на порядок доступа к документам ограниченного распространения, вывешенный на сайте ФСТЭК, то там четко написано, что для такого доступа нужна лицензия ФСБ на гостайну. Более того, для организаций, не имеющих ведомственной принадлежности (то есть обычные разработчики ПО попадают именно сюда), доступ к таким документам (помимо лицензии ФСБ на гостайну) осуществляется на платной основе и необходимо заключить договор с ГНИИ ПТЗИ ФСТЭК. Ровно такой же процесс (наличие лицензии) был упомянут начальником 2-го Управления ФСТЭК Д.Н.Шевцовым в рамках ТБ-Форума. Так что не все так просто, как говорится в телемосте. 
16. Вообще ФСТЭК не откажется от подхода к "засекречиванию" своих документов, объясняя это тем, что "у всех так".
17. Для прикладного ПО может быть выбрана оценка соответствия в форме обязательной сертификации по желанию самого субъекта КИИ и тогда он должен будет найти испытательную лабораторию, которая согласится провести такие работы. И вот тут еще один нюанс возник. Согласно всем последним приказам ФСТЭК (и уходящему 131-му и новому 76-му) проверка уровней доверия возможна только для средств технической защиты информации или средств по обеспечению безопасности информационных технологий. Поэтому формально обычное прикладное ПО оценивать по уровням доверия испытательные лаборатории не могут. Но если перефразировать слова ФСТЭК "если очень хочется, то можно". В общем, надо посмотреть, как все будут выкручиваться из этой ситуации.
18. Пересматривать уже разработанные модели угроз при условии принятия новой методики моделирования не требуется. Если только речь не идет о модернизации или развитии объекта КИИ.
19. Банк данных угроз будет переделан в течение ближайших месяцев для соответствия новой методики моделирования угроз. Может быть (сроки неясны) ФСТЭК выпустит и средство автоматизации этого процесса и сделает его бесплатным по аналогии с решением ScanOVAL, которое распространяется с сайта БДУ.
20. В ближайшее время будет выпущена новая редакция ГОСТа 56939 по безопасной разработке. Кардинальных изменений не будет и проводить повторную оценку его выполнения разработчикам не потребуется. 
21. И хотя Виталий Сергеевич на ТБ-Форуме "обещал не обещать" в рамках телемоста он осознанно нарушил свое обещание не обещать и озвучил планы по разработке нормативных и методических документов на ближайшее время:
• проект методички по расчету показателей критерия социальной значимости (в дополнение к выложенной на прошлой неделе методичке по расчету показателей критерия экономической значимости)
• порядок организации и проведения работ по аттестации объектов информатизации на соответстие требованиям о защите информации, не составляющей гостайну
• требования по безопасности информации к средствам обеспечения безопасной дистанционной работы в информационных (автоматизированных) системах
• изменения вв 31-й приказ ФСТЭК
• методика анализа и поиска уязвимостей и НДВ в аппаратных средствах
• новая методика анализа и поиска уязвимостей в ПО
• типовая модель угроз для аппаратных средств
• методичка по видам и методам испытаний при проведении аттестации
• метожичка по управлению обновлениями (патч-менеджменту).

Вот такой краткий пересказ полуторачасового эфира, запись которого вы можете увидеть ниже:

ЗЫ. На оставшие вопросы от отрасли ответила Елена Борисовна Торбенко в своем выступлении (про это завтра), а все, что осталось без ответа на форуме "Кибербезопасности. Наши дни. Промышленные технологии", будет отвечено представителями ФСТЭК в рамках последующих мероприятий с их участием.

Подробнее…

ИБ-новости первых 10 дней года быка

Уже по традиции в первые дни после новогодних праздников я собираю новости по ИБ, которые произошли за это время в мире. В этот раз их не так и много, но все они по своему значимы.

1. Год начался скандалом о передаче в Whatsapp данных о перемещениях первых лиц государства, их маршрутов и другой сопутствующей информации. Реакция последовала незамедлительно - начальник московского ГИБДД поплатился своей должностью. Но как мы все прекрасно понимаем это только верхушка айсберга. Передача конфиденциальной информации в мессенджерах, а Whatsapp являлся самым популярным из них, давно стала нормой - сканы паспортов, ДСПшные документы, ориентировки, графики, приказы и т.п. Все это является достоянием Whatsapp, а с недавних пор, еще и Facebook, который теперь получает все эти данные вполне официально (после последнего обновления пользовательского соглашения Whatsapp, произошедшего также на днях). Я не буду размышлять на тему национальной безопасности - для этого есть другие органы, которые этой Whatsapp-вакханалии и потакают, но вопрос мониторинга мессенджеров в рамках выстраиваемой стратегии кибербезопасности давно уже стоит ребром и его надо решать. Ну, как минимум, если мы всерьез говорим о борьбе с утечками и защите от вредоносного кода, который может попасть в компанию через бизнес-аккаунты мессенджеров. Вы, кстати, в курсе, в вашей организации используются бизнес-аккаунты Whatsapp? А как они контролируются?
2. 29 декабря ушедшего года было подписано распоряжение о назначении замминистра Минцифры генерал-лейтенанта Белановского В.Ю., до своего назначения руководившего Службой спецсвязи и информации ФСО России. Есть разные версии происходящего, но почти все сходятся во мнении, что в условиях усиления роли цифры в современно мире и нежелания государства оставлять ее айтишникам, далеким от безопасности, Белановский может начать формировать четкую политику усиления контроля использования современных коммуникационных технологий для нужд государства (особенно после скандала с передачей конфиденциальных сведениях о маршрутах первых лиц через Whatsapp). Есть версия, что либо Белановский подомнет под себя всю тему инфобеза в Минцифре (а там уже давно полный хаос в этом вопросе), либо подготовит выделение блока "цифрового спецназа" из Минцифры и воссоздание аналога ФАПСИ, упраздненного в 2003-м году. В него может войти и спецсвязь ФСО, и блок ИБ из Минцифры, и тема электронной подписи и удостоверяющих центров, и межведомственный электронный документооборот, и ликвидируемая Россвязь с ее проектами по идентификации абонентов, и, возможно, всякие проекты, которые сейчас курирует НИИ Восход.
3. Также 29-го декабря Президент подписал 479-ФЗ о внесении изменений в 149-ФЗ "Об информации, информационных технологиях и защите информации", который по сути можно было бы назвать законом "О Единой биометрической системе", так как почти все его содержимое касалось именно ЕБС. 44 (!) новых пункта было внесено в статью 14.1, в которой и до этого было 24 пункта про ЕБС. Итого, одна статья закона, посвященная ЕБС, теперь занимает около 20 страниц (одна статья!!!!). 
4. Вдруг выяснилось, что масштаб инцидента, получившего название SUNBURST, оказался гораздо серьезнее, чем считали раньше и пострадало намного больше американских компаний и организаций. Ну это вроде было и так понятно и думаю, что спустя несколько недель масштаб опять увеличат и скажут, что уже все США попали под раздачу, а затем уже и все прогрессивные европейские страны.
5. Новость про блокировку Трампа в различных соцсетях и на крупных Интернет-площадках не так сильно относится к инфобезу; особенно для России такие блокировки не являются чем-то совсем новым. Но если пойти чуть дальше и спрогнозировать развитие ситуации, то вполне возможно, что под такую раздачу могут попасть и различные российские чиновники, руководители госкомпаний, мобильные приложения и т.п. Особенно учитывая обещания Байдена ужесточить санкции против России. Поэтому стоит задуматься о том, что делать, если это все-таки произойдет? Есть ли альтернатива? И как у этих альтернатив обстоит дело с безопасностью? А если уж смотреть еще дальше, то вопрос о балканизации Интернет, о котором я пишу уже давно, становится все более актуальным.
6. Начало года ознаменовалось новостью о том, что более 100 тысяч межсетевых экранов и VPN-шлюзов компании Zyxel содержат бэкдор. Это к разговору о том, что игроков "домашнего ИТ", к коим я отнес бы и Zoom с его проблемами с ИБ весной прошлого года, допускать до корпоративного рынка можно с очень большой оглядкой. Выпускать продукт с жестко прошитой учеткой, дающей админские права... Ну такое... 
7. 10 лет назад я написал сравнение регуляторов с поясом верности. Кто бы мог подумать, что спустя 10 лет я вернусь к этой теме. В октябре уже проскакивала новость, что специалисты компании Pen Test Partners нашли уязвимости в поясах верности Cellmate Chastity Cage компании Quiu. И вот в новогодние праздники стало известно, что исходный код вымогателя ChastityLock, который атаковал пользователей, носящих пояса верности, подключенные к Интернет, блокируя их и лишая возможности пользователей снять с себя такие устройства, был выложен в Интернет. Очередной раз встает вопрос и о безопасности разработки, и о моделировании угроз, и о безопасности Интернета вещей.

Подробнее…

Итоги 2020-го года глазами безопасников

Подводить итоги года в конце ноября или даже в середине декабря - дело дурацкое, так как в последние дни может произойти всякое, что может запомниться и повлиять гораздо сильнее, чем все предыдущее. В ушедшем году я решил, что подводить итоги надо в последних числах декабря и что я не буду полагаться только на свое мнение, а привлеку коллективный разум, а именно читателей моего Телеграм-канала "Пост Лукацкого", который насчитывает более 3500 человек, что позволяет рассчитывать на определенную объективность в оценках. Уж точно бОльшую, чем если бы итоги подводил я один. В итоге я провел 7 мини-опросов, варианты ответов для которых подготовил я самостоятельно, а уже читатели канала делали выбор из этого шорт-листа.

Первый вопрос касался самого-самого взлома/атаки/инцидента уходящего года. Немного предсказуемо, но на первое место вышел инцидент SUNBURST, связанный с взломом многих американских компаний через внедренный вредоносный компонент в ПО управления сетями, разработанное компанией SolarWinds. Последние 2 недели декабря об этом взломе говорили все и закономерно, что он попал на первое место пьедестала. Второе место занял взлом Garmin и выкуп вымогателям 10 миллионов долларов. Тоже нашумевшая во втором полугодии история, которая и позволила этому кейсу занять второе место. Третье место занял весенний взлом Twitter-аккаунтов многих знаменитостей, в которых затем прошла реклама биткойна.

Достаточно много времени уделяя нормативке, я не мог не спросить, какой НПА 2020-го года считается читателями самым важным. Понимая, что отдать пальму первенства только одному документу нельзя (все-таки на организации действуют разные нормативные акты), я разрешил множественный выбор и... явного лидера в этот раз не нашлось. По сути, первые 4 места почти поровну поделили между собой новый приказ ФСТЭК по уровням доверия (хотя его и мало кто видел ввиду его ДСПшности), целый пакет новой нормативки Минцифры и ФСБ по электронной подписи и удостоверяющим центрам, а также обновленные приказы ФСТЭК №21 и №239. Интересно, что часть читателей обратили свое внимание на поправки в Трудовой кодекс, которые разрешают работникам на удаленке требовать от своих работодателей компенсации за использование купленных работником средств защиты информации (например, Windows или антивируса). Интересно было бы посмотреть на практику применения этих поправок...  

В ушедшем году было много так и непринятых проектов нормативных актов, которым я посвятил третий мини-опрос. Предсказуемо на первое место вышла многократно обещанная и также многократно невыпущенная методика моделирования угроз от ФСТЭК. Непринятый, к счастью, законопроект о запрете TLS 1.3, DoH/DoT, ESNI занял второе место. Удивительно, но полтора десятка законопроектов о внесении незначительных изменений в ФЗ-152 попали на третье место. Видимо, привычка :-) 

Как развитие предыдущего вопроса, я решил узнать о подписчиков канала, что, по их мнению, можно отнести к несбывшимся ожиданиям ушедшего года крысы? Методичка ФСТЭК по моделированию угроз логично опять заняла первое место. Ну ее столько раз обещали выпустить в прошлом году (на моей памяти раза три и все из уст больших чинов регулятора), что вполне закономерно, что для многих это оказалось самым несбывшимся ожиданием года и, думаю, многие попросили у Деда Мороза, чтобы ФСТЭК выполнила свои обещания в год быка. На дне открытых дверей РКН в начале года г-н Контемиров пообещал представить матрицу ПДн и наконец-то поставить точку в вопросах "Относится ли номер телефона или номер паспорта или e-mail к ПДн?". Но увы... РКН не выполнил своего обещания. И еще одно невыполненное обещание Лютикова В.С. из ФСТЭК - обещанная методика по расчету показателей критериев значимости объектов КИИ. Я не знаю, кому она нужна, при условии, что срок категорирования уже прошел, но, как видно, народ ее все-таки жаждет лицезреть. Особенно интересно видеть это замыкаюдее тройку несбывшееся ожидание на фоне последнего пункта, об отсрочке переноса сроков категорирования из-за пандемии.    

Как участнику большого количества различных мероприятий по ИБ мне было интересно узнать, какое из оффлайн- и онлайн-мероприятий по ИБ запомнилось безопасникам в 2020-м году. С точки зрения оффлайна результаты меня и удивили и подтвердили мои ожидания одновременно. Учитывая камерный формат "поИБешечки", проводимой в Москве, курируемой Львом Палеем, были удивительно ее увидеть в топе очных мероприятий. Но это говорит о том, что такого рода камерные форматы заходят сейчас лучше раскрученных мероприятий со свадебными генералами и спонсорскими докладами. Остальные мероприятия носили либо сугубо нишевый характер, либо привязку к городу, что не позволило им занять достойные места в рейтинге. А вот попадание на первое место категории "Другое" говорит о том, что были в 2020-м году мероприятия, которые запомнились безопасникам больше мной упомянутых (а я и на них-то не на всех был). 

С онлайн-мероприятиями ситуация проще. Они не имели границ по участию и их "посетить" могли специалисты из разных регионов (что и показывает почти двукратное увеличения числа голосов по сравнению с опросом по оффлайну). Первое и второе места заняли широко разрекламированные The Standoff и SOC Live. Тройку лидеров замыкает проект AM Live пот портала anti-malware.ru. Все это результаты года, который мы провели в изоляции, когда все оффлайн-мероприятия были либо запрещены, либо их проведение сопряжено с трудностями. Забавно, что 4-е место заняла категория "Другое". Интересно, что это за мероприятия? Может вендорские серии типа Cisco Club (а мы провели 16 вебинаров только с сентября по декабрь) или "Джетовские"?.. Жаль, что регуляторы у нас так и не освоили за год практику проведения вебинаров для своих "подопечных".

Я думал остановиться на этих шести опросах, но у меня остались ряд достаточно интересных наблюдений или событий, которые я посчитал достаточно значимыми, чтобы вынести их на голосование. Поэтому я провел седьмой мини-опрос, задав вопрос, на что еще обратили внимание безопасники в 2020-м году? Да, очередная порция обвинения русских хакеров заняла первое место. Это неудивительно. "Русские хакеры" - это уже прочно закрепившийся бренд, который, помимо своей прикольности, еще и жить начинает мешать, когда вы пытаетесь получить американскую визу или зайти на американский сайт (а он рубит все российские IP). На второе место безопасники поставили рост числа уголовных дел по статье 274.1, то есть за нарушение ФЗ-187 о КИИ. Полтора десятка дел только за ушедший год и демонстрация полной профнепригодности судей и следователей, которые вели и ведут эти дела. То ли еще будет в этом году? Когда я выносил вопрос о хантинге безопасников в Бизон и Солар, я не думал, что это так затронет многих. Видимо, действительно, это становится событием для тех, кого не взяли или у кого увели сотрудников :-)

Вот такие итоги ушедшего года крысы. С какими-то оценками я согласен, с какими-то нет. Но в этом и преимущество групповых опросов, которые показывают широту взглядов на происходящее, не фокусируясь только на том, что близко или хорошо знакомо мне. Небольшой процент ответов "Другое", исключая мероприятия, показывает, что мои шорт-листы в целом ухватили ключевые события отечественной отрасли ИБ.

Подробнее…

Что больше нужно предприятию - служба ИБ или функция ИБ?

В мире ИБ существует много мифов и заблуждений, часть которых появилось очень давно и тогда они еще были правдой, но со временем ситуация поменялась кардинальным образом, но миф или заблуждение продолжают жить и только укрепляются в умах специалистов, которым не преподавали в ВУЗах критическое мышление и поэтому они часто плывут по течению, скользят по накатанной плоскости вместо того, чтобы остановиться и подумать, туда ли они движутся. Одно из таких заблуждений связано с тем, кто должен обеспечивать информационную безопасность на предприятии.

Пару недель назад я участвовал в закрытой дискуссии по результатам одного опроса, посвященного вопросам ИБ в России после пандемии коронавируса. В нем, среди прочего, возникла тема смены роли ИБ после самоизоляции, и я смог наконец-то сформулировать, пропустив через себя, то, о чем Дима Мананников говорит уже давно на своих выступлениях. Речь идет о том, что ИБ в нормальной жизни давно уже вышла за пределы выделенного подразделения ИБ и рассматривать ее необходимо как самостоятельную функцию в рамках всего предприятия.

Попробую пояснить на простом визуальном примере. Если мы посмотрим на большинство стандартов, best practices, приказов регуляторов и т.п., то мы увидим, что все они исходят из простой парадигмы - кибербезопасностью должна заниматься отдельная служба кибербезопасности (или ИБ, или ЗИ). Это стало "аксиомой" и чем серьезнее защищаемая система, тем больше она, по мнению авторов лучших практик, нуждается в отдельном подразделении. И, как следствие, многие продолжают эту мысль и считают, что вся ИБ должна быть сосредоточена в службе ИБ. Поэтому и тема персональных данных у нас часто попадает в руки безопасников; хотя в Европе, согласно тому же GDPR, этой темой занимаются совсем другие люди, далекие от ИБ и вообще ИТ. Многие ИБшники свою деятельность видят вот так:  

Есть отдельные подразделения, которые занимаются бизнесом, и есть служба ИБ, которая, как шериф на диком Западе, защищает бизнес от плохих парней, покушающихся на него. Как только возникает такая картинка, сразу всплывают вопросы, на которых традиционный безопасник не может дать ответа. Кто должен заниматься борьбой с мошенничеством (часто антифрод находится в руках отдельных людей)? Кто должен мониторить даркнет (часто это вешают на PR-службу)? Кто должен заниматься мониторингом использования ваших доменов (часто это вешают на digital marketing)? Кто должен заниматься повышением осведомленности персонала (часто это вешают на HR)? Кто должен заниматься обеспечением бесперебойной работы сайта (часто это вешают на ИТ)? Кто должен заниматься повышением продуктивности пользователей, тратящих время на чтение спама (часто это вешают на operations)? Кто должен заниматься управлением уязвимостями (часто это вешают на ИТ)? И т.д. По сути, у безопасников в руках остаются только вещи, которые прописаны в нормативных документах, то есть они занимаются так публично нелюбимой ими же (но так желаемой по ночам) бумажной безопасностью. А все потому, что они мыслят в терминах подразделений, отделов, служб, у которых есть свои полномочия, свой бюджет, свои ресурсы...

Но ИБ давно вышла за рамки того, что придумают ФСТЭК, ФСБ или Роскомнадзор, жестко ограниченные рамках положений о них, и определяющих сферы их компетенций. ИБ на современном предприятии - это то, что пронизывает абсолютно все сферы деятельности компании. ИБ превратилась (хотя, наверное, она всегда была такой) из набора задач, выполняемых службой ИБ, в функцию, которая должна быть обеспечена... и не так важно кем обеспечена. Если координацию реализации этой функции не может взять на себя служба ИБ, ее передадут другим подразделениям, а точнее раздербанят между ними, что негативно скажется на общем состоянии ИБ предприятия, которая будет следовать поговорке "у семи нянек дитя без глаза".

В итоге служба ИБ будет прозябать, руководство будут рассматривать службу ИБ как центр затрат и вериги на ногах у бизнеса, безопасники будут все больше требовать от регуляторов усиления контроля, параллельно кляня их за излишний надзор и регуляторику... Вот так и живем :-(

Подробнее…

О проектах Указа Президента и Постановления Правительства по убийству всех СуКИИ

Вчера РБК опубликовала статью о том, что Минкомсвязь выступила с инициативой обязать оснастить все объекты КИИ отечественным ПО и железом. И я не смог пройти мимо двух проектов (Указа Президента и Постановления Правительства), которые были подготовлены в рамках этой инициативы. Отвлекусь и скажу, что когда за информационную безопасность в Минцифре отвечал г-н Соколов, это было терпимо. Он хоть и не понимал ничего в объекте регулирования, но и не лез туда особо со своими законодательными инициативами. А вот когда в Минцифру на роль замминистра пришла г-жа Бокова (прославившаяся участием в законе о суверенном Рунете), то ситуация, похоже, сдвинулась с мертвой точки и теперь будет ухудшаться, так как привычка сенатора выходить с законодательной инициативой теперь, видимо, найдет свое преломление в новой роли и нас еще ждет немало нормативных экзерсисов.

Но вернемся к теме. Я перечислю все инициативы, которые предложены в двух проектах:

• Правительство должно до 1-го сентября ЭТОГО, то есть 2020-го года, утвердить требования к ПО и железу и порядок перехода на его использование.
• Все субъекты КИИ (без исключений) должны перейти на отечественное ПО до 1-го января 2021 года, а на отечественное железо до 1-го января 2022 года. То есть на переход на ПО дается всего 4 месяца. Это я так, просто подсчитал временной интервал, а то замминистры у нас одаренные и привыкли считать, что переход на ПО осуществляется по команде "раз-два", то есть мгновенно.
• По мнению замминистра Соколова, изложенного в пояснительной записке, принятие Указа не потребует дополнительных расходов бюджета РФ. Логично же. На такое бюджет совсем не нужен, когда можно на плечи потребителя все переложить. На прошлом Уральском форуме, вице-президент по ИТ одного из госбанков упомянул, что импортозамещение по их оценкам обойдется только им в 400 миллиардов рублей. И, конечно, эти деньги будут взяты не из бюджета. Ну разве, что Игорь Иванович попросит помочь Владимира Владимировича деньгами на импортозамещение. Но он у нас такой один - бюджет не оскудеет от этого; и курс рубля не упадет, и нефть не рухнет от этого.
• Отвечать за реализацию Указа Президента по информационной безопасности будут... нет, не ФСТЭК с ФСБ, а Минцифра с Минпромторгом. Ведь именно они как нельзя лучше знают, как обеспечивать информационную безопасности объектов КИИ.
• Указ и Постановления Правительства распространяются на ВСЕ объекты, включая незначимые. И никого не волнует, что требования по ИБ у нас установлены только для значимых объектов. И никого не волнует, что ФСТЭК с Минпромторгом уже согласовали дифференцированные требования по доверию к средствам защиты и иным решениям, используемым на объектах КИИ. Плевать. Всех под одну гребенку! И Газпром и небольшую котельную, и РЖД и курьерскую службу, и Сбербанк и микрофинансовую организацию или ломбарж.
• Все используемое на ОКИИ ПО и железо должно быть включено в реестр отечественного или евразийского ПО или реестр радиоэлектронной продукции. Есть и исключения. Если аналоги иностранного ПО или железа не включены в РПО/РЕП/РРП, то можно и зарубежные ИТ-решения применять, но при этом его обновлять или поддерживать могут только компании, которые не находятся под прямым или КОСВЕННЫМ контролем иностранных физических или юридических лиц. Минцифра наступает на все те же грабли, что уже наступала ФСТЭК некоторое время назад. Но ФСТЭК тогда устранила все эти проблемы, но Минцифра, видимо, решила повторить этот путь заново. Вот, правда, в здравый смысл нового и старого замминистра я что-то, в отличие от ФСТЭК, не очень верю.
• Если ПО или железо является средством защиты, то дополнительно к требованиям Минцифры и Минпромторга добавляются требования ФСТЭК. А если ПО или железо еще и атаки ловит и инциденты передает, то оно должно соответствовать все еще отсутствующим требованиям ФСБ.
• Переходить на отечественное надо не только для новых объектов, но и на уже существующих. То есть выкинуть и заменить на новое и родное.
• При переходе, правила которого должны быть утверждены до 1-го сентября, надо провести аудит объекта КИИ. Чиновники не знают, что аудит проводят на соответствие чему-то и поэтому в проекте ПП написано, что надо просто провести аудит. Мне кажется, что авторы проектов нормативных актов имели ввиду инвентаризацию используемого и планируемого к использованию ПО и железа. Но могу и ошибаться - пытаться подняться до высот замминистра и уровня его компетенций я не могу. Потом надо провести анализ требований Правительства по переходу на отечественное ПО и железо, поискать аналоги и оценить сроки амортизации используемого оборудования и сроки действия прав на ПО. Правда, зачем оценивать сроки амортизации и права на софт непонятно - это никак не влияет на требование перехода (хотя и должно).
• После проведения анализа из пункта выше список используемого и планируемого ПО и железо должен быть согласован с Минцифрой и Минпромторгом (а могут ведь и не соглассовать). Напомню, что все это надо будет сделать в промежуток с 1-го сентября до 31 декабря и не забыть еще закупить и внедрить все купленное.

Одна радость. В предпоследнем пункте проекта Постановления Правительства о порядке перехода  говорится о том, что по итогам всех описанных выше мероприятий надо составить план перехода и отправить его копию в Минцифру и Минпромторг. Это как бы намекает на то, что до 1-го января 2021-го года надо всего лишь направить вновь появившимся в области КИИ регуляторам только планы перехода на отечественное ПО и железо, а реализовывать их по мере возможности, уже с учетом срока амортизации и сроков окончания прав на ПО, а также наличия финансовых возможностей. Но, правда, формулировки всех остальных пунктов говорят о том, что к этому сроку надо перейти на российское. Я только дочитав до последнего пункта документа задумался, что возможно речь идет не о самом переходе, а о плане перехода.

Так что будем посмотреть на то, как это вся эпопея будет разворачиваться. Если возобладает здравый смысл, то все останется как есть. Если г-н Соколов и г-жа Бокова будут настаивать, то своими действиями они убьют недобитый коронавирусом и обязательной добровольной самоизоляцией бизнес, которому "посчастливилось" быть отнесенным к критической информационной инфраструктуре.

ЗЫ. Уже вчера вечером стало известно, что замминистра Соколов, чьим именем и электронной подписью подписаны все описанные в заметке проекты, покидает Минкомсвязи. И как теперь будет развиваться эта история становится еще менее понятно. Либо упавшее знамя подхватит другая замминистра, г-жа Бокова, либо тему спустя на тормозах. Будем поглядеть... 

Подробнее…