ИБ в облаках

Рынок облачных ИБ-решений постепенно трансформируется: появляются новые точки роста, меняются приоритеты заинтересованных сторон, увеличивается роль государства. Что в действительности происходит с этим рынком сегодня, как удается согласовать интересы участников и чего желают заказчики?

Директор по развитию бизнеса M1Cloud (Stack Group) Владимир Лебедев убежден, что рынок ИБ для облаков продолжает расти. Связано это как с ростом рынка облачных сервисов в качестве модели потребления ИТ, так и с переходом заказчиков на сервисную модель потребления ИБ-решений для собственных целей. Он отмечает, что в последнее время наблюдается повышенная готовность ИБ-вендоров предоставлять все большее количество продуктов и решений для облачных поставщиков, предлагая их конечному заказчику как сервис.

Технический директор ActiveCloud Руслан Райкевич отмечает, что вместе с ростом популярности облачной модели использования ресурсов также растут требования к обеспечению ИБ в облачных средах. И если большинство заказчиков удовлетворяют стандартные подходы, то крупные заказчики в большинстве случаев рассматривают предложения с инфраструктурой, защищенной в соответствии с ФЗ-152, чаще всего независимой от других клиентов.

«В скором будущем облачные провайдеры, которые вовремя не озадачились вопросом аттестации своих систем по ФЗ-152, попросту окажутся вне рынка».

Руководитель направления DLP центра информационной безопасности компании «Инфосистемы Джет» Дмитрий Ключников считает, что точкой роста является заинтересованность потребителей облачных услуг в контроле и управлении критичными данными. Многие зарубежные сервис-провайдеры предоставляют сервисы по многофакторной аутентификации, резервному копированию и контролю привилегированных пользователей. Однако, продолжает г-н Ключников, контроль сохранности конфиденциальных данных и их движения в облачной среде ложится на заказчика облачных услуг, так как степень критичности данных может оценить только их владелец. Здесь на помощь приходят решения класса Cloud Access Security Broker (CASB), в общем случае представляющие собой облачный сервис, связанный как с инфраструктурой организации, так и с облачным приложением. С их помощью можно получить полную картину использования облачных приложений в организации, определить местоположение и движение конфиденциальных документов внутри облачных сервисов, а также настроить реагирование на нарушения в соответствии с политикой защиты конфиденциальной информации предприятия, рассказывает он. Продукты класса CASB активно развиваются за рубежом, и некоторые отечественные производители уже задумались над выпуском аналогов, резюмирует г-н Ключников.

«Мультитенантность, то есть техническая возможность обслуживания многих клиентов на базе одного решения, уже поддерживается во многих импортных средствах защиты. В российских СЗИ часто есть только лицензия, позволяющая оказывать услуги на решении вендора, а технически каждому клиенту нужно разворачивать отдельное решение. Так что мультитенантность в СЗИ и СКЗИ – это перспектива для многих российских и зарубежных вендоров», – рассказывает директор центра киберзащиты DataLine Василий Степаненко. Он отмечает, что сегодня облачным провайдерам очень не хватает этих возможностей для создания эффективных сервисов. В то же время на рынке уже давно присутствуют специальные облачные ИБ-решения, в том числе изначально российские, например Qrator, Валарм и др. По мнению г-на Степаненко, рынок долго не верил в облака, но на данный момент многие изменили свое мнение и теперь активно работают с ними: вероятно, следующий шаг – рост спроса на облачные ИБ-сервисы. Г-н Степаненко подчеркивает, что доверие к модели SECaaS (Security as a Service) постепенно растет и уже сейчас у компании есть клиенты, пользующиеся подобными услугами. Переход в облака, говорит он, породил ряд новых проблем, в связи с чем на рынке стали появляться новые классы средств защиты, например CASB (Cloud Access Security Broker). Однако, к сожалению, известных российских решений данного класса пока нет.

Руководитель направления ИБ компании Bell Integrator Алексей Майоров согласен с тем, что заинтересованность со стороны всех участников процесса постепенно растет. Но, по его мнению, регулирующие органы в сфере защиты информации не совсем позитивно относятся к этому процессу и накладывают ограничения на использование некоторых средств защиты информации в облачных структурах, например, в сфере защиты информации ограниченного доступа.

Руководитель службы ИБ компании «Онланта» (ГК ЛАНИТ) Мурад Мустафаев отмечает, что рынок ИБ-решений меняется в зависимости от потребностей заказчика. Так, сегодня особенно много внимания уделяется защите персональных данных в облаках.

«Как показывает практика, все больше заказчиков хотят уйти от ненужных для них хлопот по администрированию и сопровождению своих ресурсов, передавая облачному провайдеру данный функционал на аутсоринг».

В схеме «заказчик – облачный провайдер» заинтересованы обе стороны, так как одной необходим качественный отказоустойчивый безопасный сервис, а второй – платежеспособный клиент, готовый платить за надежность оказываемого сервиса.

Особую роль на рынке облаков и соответствующих ИБ-решений играют облачные сервис-провайдеры. Очевидно, что российский рынок облачных услуг и сервисов имеет свою специфику. На какие нюансы сегмента ИБ в облаках стоит обратить особое внимание российским сервис-провайдерам?

Владимир Лебедев (M1Cloud) отмечает, что интерес к решениям ИБ в облаке проявляют заказчики, которые реализуют свои требования по безопасности в гибридных инфраструктурах: с одной стороны, имея уже достаточно большой выбор вендорских решений по защите информации у сервис-провайдера, а с другой стороны, реализуя требования к единой среде и средствам защиты как внутри собственной инфраструктуры, так и у облачного провайдера.

«По нашей практике, большой интерес остается и продолжает расти к compliance-решениям по облачной модели – это соответствие требованиям российского законодательства по защите информационных систем персональных данных и защите государственных информационных систем, требованиям международных стандартов – например, PCI/DSS или стандартам серии ISO2700x».

Директор по продуктам ActiveCloud Сергей Авраменко обращает внимание на интересный факт: повышение ИБ является одним из мотиваторов облачных клиентов при переходе в облако – наряду с гибкостью и скоростью доступа к вычислительным ресурсам, повышением качества обслуживания собственного бизнеса. В большинстве своем именно облачные провайдеры обладают более совершенными процессами и инструментами по ИБ, способными обеспечить безопасность на должном уровне, что подкрепляется в том числе и договорными отношениями. Наличие у облачных провайдеров международных и локальных сертификатов по ИБ также усиливает их позиции, считает г-н Авраменко.

«Среди клиентов облаков растет доля тех, кто готов и уже переносит в облако основные бизнес-приложения: за последние два года рост таких клиентов  двукратный, это переломный момент в осознании облачных услуг».

Опросы показывают, что риски, связанные с ИБ, уже не входят в топ опасений клиентов при переходе в облако. На первые места вышли бесшовная интеграция с собственными IT-ландшафтами, наличие у клиентов облачных компетенций и зависимость от облачных провайдеров, заключает г-н Авраменко.

Василий Степаненко (DataLine) отмечает, что все чаще появляются претензии к облачным провайдерам от различных «уполномоченных представителей» правообладателей о том, что клиенты облака нарушили авторское право или без разрешения правообладателя используют его интеллектуальную собственность. Таких «уполномоченных представителей» все больше, и, хотя их жалобы в большинстве случаев нелегитимны, они уже стали обращаться в суд. Похоже, что это новый вид бизнеса в РФ – такие IT-коллекторы.

«Теперь в договорах необходимо более подробно прописывать ответственность сторон, право облачного провайдера на определенные действия в случаях, если отсутствует реакция клиента на жалобы».

Мурад Мустафаев («Онланта») говорит, что многие провайдеры забывают о главном: нужно не только продать сервис, но и качественно защитить облачную инфраструктуру. Особое внимание необходимо уделить защите от утечек информации и усилению отказоустойчивости оборудования при попытках проникновения, убежден он.

Источник: https://www.it-world.ru/it-news/analytics/144551.html