Как снизить риск утечки информации

Андрей Конусов («Аванпост»): «Компаниям стоит задуматься о пересмотре стандартных подходов к защите данных»

Злоумышленникам стало легче получить доступ к корпоративным ресурсам в связи с переходом компаний в онлайн-формат. Бизнес почувствовал необходимость создать реальный долгосрочный механизм защиты критически важных информационных систем. Об этом RSpectr рассказал генеральный директор компании «Аванпост» Андрей Конусов. По словам нашего собеседника, мошенничества, нацеленные на хищение денег или данных физлиц, становятся все более изощренными. Неслучайно российский рынок средств информационной безопасности (ИБ) значительно вырос за прошлый год – аналитики оценивают его в 3,3 млрд рублей.

RSpectr: 2020 и 2021 годы стали расцветом форм дистанционной работы сотрудников. Сформировались ли в этой сфере правила в части информационной безопасности (ИБ)?

Андрей Конусов (А.К.): Удаленный доступ – это не нечто новое и неизведанное, что случилось в 2020 году, он был всегда. Жестких и обязательных требований при организации такой работы нет. Существует достаточно большое количество нормативки, различной в зависимости от отрасли, которая регламентирует процессы ИБ. В том числе и по части удаленного доступа. Для финансовых организаций есть стандарты Банка России, для защиты критической информационной инфраструктуры (КИИ) и персональных данных – свои требования.
С середины 2020 года предприятия в связи с массовым переходом на удаленный режим работы были вынуждены увеличивать свои ИБ-бюджеты на построение действительно надежных систем. Основной мотивацией для этих расходов стала необходимость создать реальный долгосрочный механизм защиты критически важных корпоративных информационных ресурсов.

_______

СПРАВКА

• В 2001 году Андрей Конусов окончил Московский институт стали и сплавов (МИСИС) по специальности «автоматизация технологических процессов и производств».
• В 2004 году получил диплом о втором высшем образовании Международного университета бизнеса и управления (МУБИУ) по специальности «менеджмент организации».
• Начал свою трудовую деятельность, еще будучи студентом. Работал на разных должностях (от руководителя отделом до исполнительного директора) в нескольких крупных компаниях IT-рынка.
• С марта 2008 года – исполнительный директор LETA IT-company.
• В его обязанности входили: контроль операционной деятельности, создание и внедрение комплексной системы управления компанией, а также запуск новых направлений бизнеса, в первую очередь, связанных с защитой персональных данных (ПД).
• С октября 2009 года – генеральный директор компании LETA IT-company.
• С апреля 2012 года – генеральный директор компании «Аванпост».

RSpectr: Насколько уязвимы информационные системы предприятий в России перед новыми вызовами? Какие основные риски ИБ существуют сегодня для корпоративных ресурсов?

А.К.: В корпоративном сегменте повысились риски, связанные с обменом информацией посредством недостаточно проверенных приложений. К ним относятся видеоконференции, аудиосовещания, VPN, незащищенные каналы связи при работе из дома и прочее. Прежде, при соблюдении соответствующих корпоративных политик и регламентов, эти риски можно было минимизировать. Использование такого ПО неподготовленными сотрудниками с домашних компьютеров без должной настройки средств информационной защиты стало новым серьезным источником утечек. 

Злоумышленникам стало легче получить доступ к корпоративным ресурсам 

Например, путем использования учетных данных сотрудников.
Подхватить вирус или поддаться на фишинговое письмо, находясь дома, гораздо более вероятно, нежели работая в офисе под присмотром большого числа средств защиты информации, которые могут просто на серверном уровне блокировать подобные атаки.

В целом мошенничества, направленные на хищение денег или данных физлиц, становятся более изощренными, в корпоративном сегменте все чаще для кражи информации эксплуатируются новые 0-day уязвимости*. Да и криптолокеры (вирусы-шифровальщики) никуда не делись.

Многим компаниям стоит задуматься о пересмотре стандартных подходов к защите от таких утечек. Это, безусловно, приведет к увеличению затрат на защиту.

RSpectr: Широко ли распространилась в мире и России концепция BYOD, когда сотрудники используют личные компьютеры для решения корпоративных задач? Насколько эта модель взаимодействия оправданна сегодня при огромных рисках ИБ?

А.К.: Массовый переход на удаленку в 2020 году показал, что BYOD будет только развиваться и охватывать все больше и больше организаций. Потому что оснастить всех удаленных работников необходимым оборудованием и средствами защиты – чрезвычайно дорогое удовольствие. Для крупных компаний с более чем тысячей сотрудников это может стоить сотни миллионов рублей. Поэтому все компании ищут баланс и компромисс в данном вопросе. Ведь когда на одной чаше весов у бизнеса лежит «риск утечки», а на другой – «реальные деньги», которые нужно взять и потратить здесь и сейчас, выбор простой: риск может и не наступить, и тратить такие средства просто нецелесообразно. Использование BYOD вполне оправданно.

RSpectr: Почему решения в сфере кибербезопасности переходят в облака?

А.К.: Миграция решений в сфере кибербезопасности в облака – закономерный тренд. В силу того, что все больше компаний стали шире использовать виртуальные сервисы в своей IT-инфраструктуре, вслед за ними потянулись и средства защиты. 

Клиенты хотят получать из облака полноценный сервис, включая и безопасность

RSpectr: «Аванпост» занимается внедрением новых механизмов управления доступом к информационным ресурсам. В чем трудность систематизации огромных массивов данных в компаниях?

А.К.: Основная сложность в том, что огромный объем этих данных накоплен исторически и разобраться со многими частями просто никто уже не в состоянии. Нет ни владельцев этой информации, ни четких правил, по которым она выдавалась, и т.п. Как правило, это непростая, длительная и кропотливая аналитическая работа, требующая от предприятия серьезного вовлечения. Систематизировать хаос никогда не было простым делом.

RSpectr: Нуждается ли сфера ИБ в новых законодательных инициативах?

А.К.: Исторически за регуляторику в области ИБ в России отвечает ФСТЭК и в своих частях ФСБ (криптография). Есть и отраслевые регуляторы, такие как Банк России для финансовых организаций. Оценивать качество и скорость работы этих организаций в части регуляторики – дело неблагодарное. Но тут нужно понимать, что нормативных актов очень много, и успевать за всеми новыми тенденциями в нашем стремительно меняющемся мире крайне трудно, а порой невозможно. В настоящее время мы не видим какой-то острой необходимости в конкретных нормативных актах. Все будет тогда, когда будет.

RSpectr: Почему на объектах КИИ важно использовать отечественные разработки?

А.К.: Если российские решения существуют и конкурентоспособны относительно применяемых зарубежных решений, то, безусловно, лучше использовать именно такие кейсы, дабы нивелировать риск удаленного отключения зарубежным вендором ввиду каких-то очередных политических игр и санкций. Этот риск реален, и он существует, что бы там ни говорили представители западных разработчиков. А уж в вопросах защиты КИИ такие риски просто слишком дорого стоят.

RSpectr: Вы занимаетесь защитой данных при оформлении электронной подписи. Велика ли доля мошенничеств в этом сегменте и как ее сократить?

А.К.: В прошлом году были приняты поправки в ФЗ-63 «Об электронной подписи», которые призваны навести в данной области больше порядка. Существенно сократится список удостоверяющих центров, выдающих такие сертификаты. Некоторые пункты этих поправок введены с отложенным сроком действия и еще не применяются на практике. Но мы видим, как ведется активная работа (и сами в ней участвуем) над запуском новых систем выдачи документов. Поэтому наступивший год будет богат на события в данной области. 

2021 год, безусловно, будет годом снижения мошенничества с применением электронных подписей

*Вредоносные программы, против которых еще не разработаны защитные механизмы.

Фото: «Аванпост»