Для контроля защиты данных нужен Росинфобезнадзор
IT / Интервью
информбезопасность сервисы
14.12.2022

«Для контроля защиты данных нужен Росинфобезнадзор»

Какой комплекс мер необходим для выстраивания информационной безопасности

Сотрудники компаний, допускающие утечки данных, могут посоперничать с хакерами по степени и объемам наносимого вреда. Техническая защита, персональная ответственность и цифровая гигиена – три кита, на которых держится безопасность, уверены эксперты по информбезопасности (ИБ). Почему малым и средним компаниям логично обеспечивать цифровую защиту по аутсорсингу, как выстроить отношения ИБ-отделу с IT-департаментом организации и зачем нужны цифровые атташе при экспорте цифровых технологий, в интервью RSpectr рассказал основатель и председатель совета директоров «СёрчИнформ» Лев Матвеев.

ПОД «НОЖОМ» БЕЗОПАСНИКА

– В США в последние два года топ-менеджеры оказываются в центре скандалов из-за утечек конфиденциальной информации из компаний. На ваш взгляд, стоит ли регламентировать контроль за персональными данными вплоть до личной ответственности топ-менеджеров?

– Уровень и степень ответственности операторов данных за утечки обрабатываемых и хранимых персданных – важный момент. И здесь главное – найти баланс, чтобы не впасть в крайности и не начать стрелять из пушки по воробьям. Персонализация ответственности – неплохой инструмент мотивации. Ведь хирург отвечает за пациента, и если тот умирает «под его ножом», то врача ждет расследование. Схожую аналогию можно провести с утечками ПД. Но ИБ-руководитель не виноват, если отсутствовала надежная IT-инфраструктура. Там, где каждый сотрудник может свободно устанавливать любое приложение на рабочий компьютер, ИБ-руководитель бессилен.

При защите ПД есть много составляющих. Поэтому, вводя ответственность для топ-менеджера, необходимо наделять его полномочиями. Например, внедрять программные и аппаратные решения для защиты, проводить профилактические курсы цифровой гигиены среди персонала.

Сегодня многие руководители безопасности, к сожалению, действуют по старинке – на бумаге все прописано и зарегламентировано. А по факту возникает вопрос: «Насколько техническое обеспечение позволяет исполнять должностные обязанности?»

СПРАВКА
Лев Матвеев
председатель совета директоров «СёрчИнформ»

  • В 1993 году окончил Минский радиотехнический институт, специальность – инженер-программист.
  • В 1995 году основал собственную компанию. На разных этапах карьеры возглавлял IТ-компании численностью от 30 до 500 человек. В настоящий момент – председатель совета директоров «СёрчИнформ».
  • Автор ряда патентов в области обработки неструктурированной информации.
  • Основатель ежегодного Road Show SearchInform – серии образовательных конференций для специалистов сферы ИБ.
  • Член правления НП «РУССОФТ», основатель комитета по информбезопасности в рамках РУССОФТ, ассоциации независимых разработчиков ПО ISDEF (Independent Software Developers Forum).

– В каком формате нужно прописать обязанности? Если на законодательном уровне, то какой документ будет регулировать техническое обеспечение?

– Можно обойтись без больших законов о зоне ответственности ИБ-специалистов, но вот на уровне компании этот вопрос должен быть прописан максимально четко. Например, что утечка конфиденциальных данных через email, облако или иной цифровой путь – ответственность ИБ-специалиста. А если физически преступники унесли из организации серверы, то это уже зона ответственности не ИБ-руководителя, а IT-руководителя: почему данные были не зашифрованы? И для инфраструктурной безопасности важно развивать культуру цифровой гигиены. Нельзя работать на личных компьютерах дома – это как на автобусной остановке стоять с деньгами, торчащими из кармана.

– Касается ли это личных смартфонов, которые сегодня используются как рабочий инструмент для деловых переписок через Telegram и WhatsApp?

– С телефоном сложнее, но вполне реально. У нас менеджеры не могут зайти на корпоративные ресурсы ни со смартфона, ни с планшета. Потому что контролировать доступ к корпоративным сервисам можно только на ноутбуках. Согласно правилам безопасности, все должно идти через email. Особенно пересылка конфиденциальных данных, поскольку доступа к электронной почте со смартфона нет.

Но здесь есть нюансы – можно с компьютера «приаттачить» файл в WhatsApp и получить копию документа на свой мобильный телефон. Поэтому все слабые места нужно прописывать в регламенте и вводить ограничения на использование сервисов. Это неудобно, но позволит предотвратить утечку. Мы, кстати, выпустили фичу по распознаванию попытки фотографирования экрана компьютера. А другой функционал – водяные знаки, которые выводятся на экран, – остановит многих инсайдеров от желания его фотографировать.

ЦЕНТРЫ БЕЗОПАСНОСТИ

– Какие нужны конкретные шаги, алгоритмы, чтобы сформировать надежную защиту, набрать ИБ-специалистов, а не просто айтишников или силовиков?

– В этом вопросе есть ряд трудностей. Надо повышать квалификацию персонала либо применять аутсорсинг, если речь идет о небольших компаниях. Профильная ИБ-фирма, как наша, занимается только безопасностью, а значит, имеет нужную экспертизу. Для небольших структур, филиалов корпораций есть смысл консолидировать ИБ-специалистов в одном месте, создавая свой центр информбезопасности.

Тогда с этих людей можно спрашивать при потере информации.

Меня возмущает, когда медикам ставят в вину утечку данных. Главврач должен лечить, а не заниматься информационной безопасностью

А имеющийся в больнице сисадмин не может обеспечить полноценную защиту, потому что это не его профиль. Поэтому необходим единый центр ИБ для организаций здравоохранения, который позволял бы в том числе обслуживать и частные клиники. Такие центры нужны во всех крупных госструктурах и частных корпорациях.

Но нужен баланс кнута и пряника. Чтобы они могли заплатить небольшие деньги и воспользоваться внешней услугой защиты, и в то же время было понимание, что при несоблюдении мер безопасности их настигнет штраф.

Карательные меры без обеспечения защитных мер я не приветствую. Ребенок обязан чистить зубы, но если у него нет пасты, то наказывать его за отсутствие должной гигиены глупо. Сначала нужно предоставить материальную базу.

– Но бизнес далеко не ребенок и должен быть ответственным.

– Безусловно, и есть яркие примеры безответственности – персонал отелей, офисных центров, которые у посетителей сканируют паспорта при регистрации. Потом недобросовестные сотрудники продают эти сканы в интернете за деньги. Нужно обязать каждый отель поставить себе мини-DLP-систему, которая будет отслеживать уходы во внешнюю среду. Цена вопроса – 300-400 тыс. рублей в год. Если будет риск попасть на штраф в 10 млн рублей, то компании будут страховаться внедрением систем защиты. Никто ведь не считает, что пожарные извещатели нужно ставить после первого возгорания.

– То есть, по аналогии, контролем должна заниматься специальная надзорная служба?

– Необходимо создать новое ведомство, условно говоря, Росинфобезнадзор. В текущей ситуации, когда много желающих нанести вред России, эта проблема становится гораздо актуальней.

СОЮЗ БЕЗОПАСНИКА С АЙТИШНИКОМ

Какую динамику в развитии информбезопасности вы наблюдаете за последние годы? Насколько изменился профиль этой специальности?

– Профессиональный уровень ИБ-сотрудников сильно повышается. «Айтишники-аналитики» постепенно сменяют людей в погонах. Сейчас во многих вузах есть кафедра информационной безопасности, но точно этим должны заниматься не гуманитарии, а технари, не обязательно айтишники. ИБ-сотрудник должен уметь хорошо анализировать информацию, сопоставлять данные – это главное.

– В своих учебных программах вы рассказываете, как эффективно взаимодействовать IT-специалистам и безопасникам компании между собой?

– Отдельного модуля обучения по этой теме нет. Компании обычно внутри определяются с тем, как найти общий знаменатель между IT и ИБ, у которых изначально разное целеполагание. Хорошо, когда IT-служба сообщает о своих действиях в ИБ-отдел. Не сообщили – штраф, потому что манипуляции в инфраструктуре могут сильно влиять на безопасников. Сообщать – в общих интересах, оба отдела работают на благо бизнеса.

И многое остается в зоне неформального общения. Например, ИБ-специалист подходит к айтишнику и говорит: «Я вижу у тебя прокол. Давай вы исправите и оставим это между нами. Если через неделю не будет результата, то придется доложить руководству». При этом в каждой ИБ-службе должен быть айтишник.

«ЦИФРОВОЙ АТТАШЕ ДОЛЖЕН БЫТЬ СЕЙЛОМ»

– Для развития экспорта высоких технологий создается должность цифрового атташе. Насколько эффективна будет для отечественных компаний его помощь при взаимодействии с потенциальными зарубежными заказчиками?

– Сама идея, безусловно, правильная, но насколько верно она будет реализовываться, пока нет понимания. Неясно, по какому принципу будут отбирать цифровых атташе и какой у них бэкграунд. Это не согласовывали с игроками IT-рынка.

По идее, это должны быть не государственные сотрудники, поскольку им предстоит работать на бизнес. Значит, в отборе кандидатов мы тоже должны принимать участие, будучи, условно, работодателями

Также не очень понятна их мотивация. Мы считаем, что цифровые атташе должны получать свои 1-2% от принесенных контрактов. Другой важный момент – наличие у них административных рычагов влияния на посольства. Все-таки у МИДа нет KPI по экспорту отечественных IT-решений.

В моем понимании цифровой атташе – это хороший топовый корпоративный сейл с бэкграундом. У него должны быть возможности, связи в конкретной стране, где он прожил 5-10 лет. В том числе посольский ресурс, чтобы проводить там ивенты, организовывать встречи компаний.

Если говорить об экспорте IT комплексно, то в рамках комитета по экспорту РУССОФТ мы сформулировали предложения и создали дорожную карту по развитию экспорта. Ее задача – обеспечить комплексное, а не точечное продвижение отдельных продуктов. Мероприятия карты позволят двигать IT-отрасль целиком, и компании-экспортеры смогут не только пользоваться адресной поддержкой, но и двигаться в общем потоке, «прогретом» программой продвижения Made In Russia. В дорожной карте прописаны предложения в части финансов, налогов, субсидий, маркетинга российских продуктов. Но главное – озвучена потребность в создании центров для работы непосредственно в интересующих нас странах. За пандемию поняли, как важны личные встречи. Центры нужны для обеспечения комфортных рабочих мест для сотрудников компаний-экспортеров, коворкингов и инфраструктуры для размещения представителей российских компаний.

Денис Кунгуров

Изображение: "СёрчИнформ"

Еще по теме

Как запустить отечественный Open Source

Что делают вузы для преодоления кадрового голода в отрасли

Каких мер господдержки ждут разработчики ВКС-решений

В правительстве РФ заявили о перевыполнении планов по программе «Цифровая экономика»

Что стоит за ростом производства компьютеров в России

Какой должна быть защита персональных данных в 2023 году

Мотивировать IT-специалистов к возвращению из эмиграции предлагается законодательно оформленной бронью и расширением льгот

Перспективы сертификации кибербезопасников в РФ и поможет ли она остановить утечки данных

Какие эффекты ожидаются от использования информсистемы пространственных данных

На портале можно будет записаться на прием к юристам

Каковы итоги уходящего года и перспективы будущего для рынка 1С

Как будет развиваться рынок low-code в России

Как в 2022 году проходило импортозамещение на рынке вычислительной техники

Какую архитектуру выбрать при разработке сложного приложения для крупного бизнеса

Как продолжить верить в Деда Мороза, но не попасть в новогоднюю аферу