Современные угрозы бизнесу

Валерий Конявский
научный руководитель ВНИИПВТИ,
научный консультант ОКБ САПР

Перешагнув через ЦОД, начинаем истово "надувать облака", иногда больше напоминающие мыльные пузыри. Конечно, при этом возникает потребность в новых средствах защиты, и - вот чудо - у многих вендоров, по их словам, прежние средства вполне годятся для новых систем!

Глядя на эти процессы "изнутри", я начинаю полагать, что самая большая компьютерная угроза бизнесу сегодня - это имитация защиты со стороны недобросовестных вендоров. Говоря словами известного персонажа: "Все врут". Может, конечно, и не врут, и не все, просто многие растерялись в бурном потоке изменений, но разве от этого легче бизнесу, который просто использует рекомендации таких "профессионалов", теряя деньги на незащищенном ДБО? Разве легче операторам персональных данных, которые так и не могут понять, каких мер достаточно для защиты своих баз, а покупка каких - это "спонсорская помощь" вендорам?

Опасные заблуждения

Примеров опасных заблуждений¹ можно привести немало. Вот некоторые из них.

• Применение токенов обеспечивает достаточный уровень защищенности ДБО.
• Квалифицированная ЭП может быть получена в недоверенной среде.
• Если стоит ЭП, то документу можно доверять.
• Главный приоритет - удобство клиента, а его безопасность - его проблема и т.д.

Рассматривая осознанные проблемы в нашей отрасли, будем придерживаться трех направлений развития - нормативной, организационно-технической и ментальной, культурологической.

Важнейшими проблемами в сфере нормативного регулирования является проблема расплывчатости многих требований, отсутствия показателей качества, а также негармонизированность требований, предъявляемых регуляторами. Так, например, требования к электронным замкам, которые выполняют как минимум контроль целостности, идентификацию и аутентификацию, у различных регуляторов различаются принципиально. Если в одном случае обеспечиваются достаточные условия для создания и поддержки СФК, то в некоторых реализациях вендор ограничивается довольно примитивной имитацией защитных функций, благо никаких конкретных требований в ряде случаев не предъявляется. В результате получается изделие, защитными функциями не обладающее, но вполне способное получить сертификат.

Казалось бы, ладно, рынок рассудит, но все не так просто. Упрощенные решения, в силу слабого понимания требований со стороны потребителей и определенной недобросовестности некоторых вендоров, начинают применяться там, где применяться не могут - например, для создания доверенной среды. И даже если сегодня в ряде "защищенных" открытых систем не используется криптография, завтра она будет использоваться, по крайней мере электронная подпись - наверняка. При этом ведомство, уже однажды потратившее много средств на создание такой псевдозащиты, будет вынуждено почувствовать себя "обманутым вкладчиком". Вряд ли такой подход можно назвать государственным.

Направления изменений

Рассматривая направления развития с организационно-технической точки зрения, можно сделать довольно очевидный прогноз. Думается, что в ближайшие несколько лет уже трудно будет разыскать персональный компьютер в формате "десктоп" и архитектуры х86. Скорее всего, на смену компьютерам с архитектурой фон Неймана придут компьютеры с Гарвардской архитектурой. Одно только это приведет к смене логики технической защиты информации, а если учесть, что превалирующими операционными системами будут ОС на базе Linux, то понятно, что от многих применяемых сегодня решений, особенно в области СЗИ НСД, не останется камня на камне.

Второе очевидное направление изменений - переход на использование ЦОД и облачных сервисов. Это выгодно. И правильно. Загвоздка в том, что виртуализация пока не может обеспечить выполнения требований по доверенности среды функционирования. Только сейчас появляются решения, обеспечивающие защиту виртуализации оборудования, разрабатываются решения по защите виртуализации приложений, и никто еще не приступил к защите сервисов. Это с одной стороны. С другой стороны, а именно со стороны клиента, тоже множество проблем. Зачем, например, использовать процессор с поддержкой команд виртуализации на тонком клиенте? Не давая никаких преимуществ, такой подход создает множество новых уязвимостей, что неизбежно приведет к вытеснению архитектуры х86 из зоны клиентов ЦОД.

Переход на Web-технологии неизбежен

Нам нужно готовиться к этим изменениям. Но стоит попросить о поддержке и регуляторов. Пока нет общепринятого понимания уязвимостей компьютеров с Гарвардской архитектурой, зато в них не найти привычных для нас уязвимостей. Защищаясь от несуществующих угроз - мы зря тратим деньги и силы, а не защищаясь от имеющихся - просто обманываем заказчика. Этот разрыв нужно осмыслить и устранить.

Переход на Web-технологии неизбежен, это очевидно. Инструментальные средства сегодня позволяют за считанные недели создавать крупные функциональные программные комплексы, но затем обычно начинается разработка подсистемы обеспечения информационной безопасности, которая, как и раньше, длится годами. Этот айсберг нужно разрушить, и сделать это можно только одним методом - переходом на использование типовых решений по ИБ.

Важный аспект

Ментальный аспект сегодня, видимо, наиболее важен. Даже в банках штатные расписания зачастую не предусматривают наличия групп специалистов по информационной безопасности. Например, в 45% банков работает всего один (!) специалист по защите информации. Известен знаменитый диалектический закон перехода количества в качество. А вот здесь намечается закономерность "обратного перехода". Действительно, каким бы высоким профессионалом ни был человек, если он один в структуре, работающей с миллиардными оборотами, через весьма небольшое время он неизбежно дисквалифицируется и не сможет выполнять необходимые функции. Он будет занят, но совершенно другими делами. Не может один человек настраивать межсетевые экраны, сопровождать системы обнаружения вторжений, контролировать события безопасности, генерируемые СЗИ НСД и т.д. Единственный выход при отсутствии ресурсов - аутсорсинг. А тут как тут - недобросовестные вендоры со средствами, защитными функциями не обладающими, но обладающими огромной коррупционной емкостью.

Дистанционное банковское обслуживание

Переход к ФЗ-161 - сильнейший стимулятор развития защищенного ДБО. На рынке предлагаются сотни решений, которые продолжают бороться со следствием, не обращая внимания на причину. Причина же очевидна - работать с документами можно только в доверенной среде. Волеизъявление человека гарантированно защищено от изменений только в доверенной среде.  Она обеспечивает достаточные условия для функционирования криптографии - и еще, еще, еще!

Сегодня ни одна система ДБО не обеспечивает создания доверенной среды со стороны клиента, в результате применение средств защиты осуществляется с нарушением обязательных условий, что и приводит к потерям. При потере средств клиент испытывает огромное разочарование услугой банка и банком в целом. В этом случае клиент не будет считаться с тем, что "так у всех", он все равно будет винить именно тот банк, который так его подвел. Но и понимание клиентами того, что банк покрывает свои риски их деньгами, не способствует привлечению новых клиентов.

Начало принципиально нового этапа

Подводя итог, можно сказать, что начинается принципиально новый этап развития безопасных информационных технологий. Основные его характеристики - переход на новую централизованную архитектуру обработки данных, новую архитектуру клиентских компьютеров, новые требования к доверенности среды информационного взаимодействия. И конечно, нелишне будет отметить, что при поддержке регуляторов этот переход можно будет преодолеть проще.