15 октября 2019 года TAdviser, экспертный центр по вопросам автоматизации государства и бизнеса в России, провел конференцию IT Security Day 2019. В рамках мероприятия участники обсудили, как развивается российский рынок ИБ, какие продукты и услуги пользуются наибольшим спросом, какие угрозы беспокоят российские компании, как операторы критической информационной инфраструктуры (КИИ) выполняют требования закона №187-ФЗ и многие другие. На конференции также работала выставка российских вендоров в области информационной безопасности.

В общей сложности конференцию посетили 147 человек. В их числе – представители таких организаций как «Росатом», Федеральное казначейство, «Концерн Калашников», Газпромбанк, Металлинвестбанк АКБ ПАО, Райффайзенбанк, «Почта Банк», X5 Group, Международный комитет безопасности цифровой экономики, Министерство образования Московской области, Департамент строительства города Москвы, Городская клиническая больница им. С.П.Боткина, «Сбербанк страхование (СберСтрахование)», Новолипецкий металлургический комбинат, авиакомпания «ЭйБриджКарго» и многих других.

Опыт заказчиков, мнения экспертов

Вел мероприятие Алексей Плешков, начальник управления режима информационной безопасности департамента защиты информации Газпромбанка. Он открыл работу конференции, рассказав на примерах из финансовой сферы об актуальных угрозах информационной безопасности, наиболее беспокоящих российские компании и о наиболее распространенных методах атак и каналах утечек информации.

Алексей Плешков, начальник управления режима информационной безопасности департамента защиты информации Газпромбанка

Со ссылкой на доклад Hiscox Cyber Readiness Report 2019 Плешков привел мировые данные, что на сегодня 18% компаний в мире отметили риск ИБ как ключевой, в то время как еще недавно эти риски не воспринимались как таковые. Снизился уровень латентности информации об инцидентах ИБ: порядка 61% компаний сообщили об инцидентах в прошлом году. И третий важный показатель – выросла стоимость инцидента, она составляет уже порядка $3,9 млн по одной утечке в среднем по миру и $8,19 млн. Последнее - данные из исследования IBM.

По итогам 2018 года, отметил докладчик, ссылаясь на данные Positive Technologies, популярность методов атак на финансовые организации распределилась следующим образом – вредоносное ПО (58%), социальная инженерия (49%), хакинг (36%), подбор учетных данных (11%), эксплуатация веб-уязвимостей (5%), DDOS (3%). При этом, по сведениям Банка России, основная угроза для банков - социальная инженерия. Так, в 2018 -2019 гг. более 97% хищений со счетов физических лиц в финансовых организациях было осуществлено именно при помощи этого метода, со счетов юрлиц – 39%.

Что касается портрета нарушителя, большей частью это рядовые сотрудники (53,5%), затем идут внешние хакеры (37,%), а оставшиеся 10% нарушителей - из числа подрядчиков, топ-менеджеров, бывших работников и сисадминов. Их выявление и есть самое сложное, подчеркнул Алексей Плешков. Каналы утечек с мобильных устройств – через облачные услуги (51%), бумажные документы (36%) - фотографируют на мобильный и печатают, мессенджеры (9,7%).

В заключение спикер отметил феномен, выявленный «Лабораторией Касперского», – новые угрозы, связанные с сериалом «Игра престолов». В даты выхода новых серий наблюдались пики атак. Алексей Плешков сделал вывод о высокой подверженности эмоциям поколения Z, что может привести к негативным последствиям в сфере ИБ.

В России ситуация с информационной безопасностью нисколько не лучше, чем в мире, - признал Алексей Плешков. – При этом более половины всех инцидентов ИБ происходят в финансовой сфере. Это сотни инцидентов в день, фиксируемых системами мониторинга.

Сергей Демидов, директор департамента информационной безопасности Московской Биржи, рассказал о политике информационной безопасности в компании. В числе ее клиентов есть и расчетные, и клиринговые организации, и компании реального сектора экономики, размещающие ценные бумаги, и правительственные органы, осуществляющие денежно-кредитную политику. Отметив сложность бизнеса Московской биржи, спикер подчеркнул, что все это базируется на современной ИТ-инфраструктуре, которой, конечно же, сопутствуют риски. Их реализация могла бы привести к несанкционированному выводу денежных средств, краже интеллектуальной собственности, персональных данных, отказу в обслуживании и недоступности систем, информационным атакам, внедрению в систему вирусов-вымогателей.

Сергей Демидов, директор департамента информационной безопасности Московской Биржи

Важный момент обеспечения кибербезопасности - вовлечение в этот процесс персонала на всех уровнях: высшее руководство, руководители подразделений, рядовые сотрудники. В этом ряду первая проблема – как доносить информацию до высшего руководства, собственников. Для этого нужно перевести проблематику информационной безопасности на простой, понятный для руководства язык.

Политика ИБ должна стать частью корпоративной культуры компании, подчеркнул Сергей Демидов. Для этого, по его мнению, необходимо:

• осуществить переход от функции надзирателя к функции партнера;
• обозначить общие цели у бизнеса компании и подразделения ИБ;
• реализовать совместную разработку решений;
• включить руководителя ИБ в состав органов, принимающих решения в компании, регулярно участвовать в работе комитетов.

Мы инвестируем время в работу с сотрудниками, реагируя даже на непрофильные обращения, - поделился опытом создания культуры ИБ в компании Сергей Демидов. - Ни одно письмо внутренних сотрудников не должно остаться без ответа.

На практике реализации ИБ-угроз для банков и их клиентов остановился Юрий Лысенко, начальник управления информационной безопасности Металлинвестбанка. Спикер напомнил участникам об инциденте ИБ годичной давности, который со временем становится все актуальней. На мобильный топ-менеджера пришел звонок, звонивший представился менеджером технического обеспечения POS-терминалов и сумел выяснить телефоны операторов терминалов. Затем этим сотрудникам пришли звонки с номера топ-менеджера банка. Мошенник, оперируя тем, что находится рядом с руководством, заставил перевести деньги на определенный счет стороннего электронного кошелька.

Юрий Лысенко, начальник управления информационной безопасности Металлинвестбанка

Такого рода мошенничество стало возможным в силу того, что на рынке мобильной связи появились компании, предоставляющие замену номера мобильного звонящего в качестве платной услуги, полагает докладчик. Это, в свою очередь, стало возможным в силу отмены «мобильного рабства».

Банк России, отметил Юрий Лысенко, некоторое время назад запросил у банков телефоны, чтобы составить белый список и запретить сотовым операторам подменять их, но данная инициатива пока не нашла отклика. А мошенники продолжают звонить гражданам от имени банков. Своим выступлением спикер косвенно подтвердил оценку Банка России, что именно социальная инженерия является угрозой №1 для российских банков и их клиентов.

О построении эффективной системы менеджмента ИБ с учетом регуляторных требований и существующих ограничений рассказал Илья Борисов, менеджер по ИБ регионального кластера СНГ компании ThyssenKrupp. Информационная безопасность становится сложной, отметил спикер, что обусловлено следующими факторами:

• развитие цифровых технологий;
• рост регулирования - в США количество регулирующих актов значительно выше, заметил Илья Борисов, особенно в сфере защиты медицинских данных, поэтому можно ожидать роста регулирования в России;
• новые требования со стороны бизнеса, который хочет расти, больше зарабатывать и быть конкурентным в новых условиях.

Илья Борисов, менеджер по ИБ регионального кластера СНГ компании ThyssenKrupp

Илья Борисов обозначил уровни зрелости антивирусной защиты в организации, подчеркнув, что все эти уровни соответствуют требованиям регулятора, выбор за заказчиком:

1. нет интеграции, обнаружение на основе сигнатур;
2. сбор логов, уведомления, SIEM;
3. корреляция с данными из других систем, обнаружение на основе эвристики;
4. интеграция через API, обнаружение на основе анализа поведения.

Докладчик также подчеркнул важность стратегического планирования. Проблема, возникающая при этом, - ожидание никогда не совпадает с реальностью. Все риски учесть невозможно, поэтому нужно быть гибкими, готовыми ко всему. Необходимо строить систему информационной безопасности из различных слоев, выбирая в качестве основного ключевой слой требований – например, безопасность критической инфраструктуры.

Ernst&Young проводили опрос и выяснили, что бизнес ждет понятных отчетов от «безопасников». Зачастую им без погружения в специфику ИБ непонятны цифры - как они коррелируются с бизнесом, - отметил Илья Борисов. - Второе, что хотят видеть собственники – чем реально занимаются «безопасники». И третье – количественная оценка рисков, потому что с качественной оценкой слишком много проблем.

На аспектах законодательного обеспечения безопасности информационной среды, понятийном аппарате в сфере цифровых прав остановилась Юлия Нитченко, адвокат, член Международного комитета безопасности цифровой экономики.

Спикер напомнила участникам конференции о ФЗ №34, который ввел в состав объектов гражданских прав цифровые права и внес в ГК РФ ряд иных изменений, вступивших в силу с 1 октября текущего года. При этом закон устанавливает, что цифровые права признаются только в случаях, предусмотренных законом, однако соответствующий перечень информационных прав в ГК не был введен. Соответственно, подчеркнула Юлия Нитченко, для применения новых положений на практике потребуется принятие дополнительных законов. К настоящему моменту, отметила она, подготовлены два проекта - ФЗ №419059-7 «О цифровых финансовых активах» и ФЗ №419090-7 «Об альтернативных способах привлечения инвестиций (краудфандинге)».

Юлия Нитченко, адвокат, член Международного комитета безопасности цифровой экономики

Законодательно понятие криптовалюты на сегодня не урегулировано. Статья, определяющая цифровые права граждан (ст. 141. 1 ГК РФ) – фактически, это единственное, чем можно пользоваться, - подчеркнула Юлия Нитченко. - Законодатель решил, что понятие «криптовалюта» не нужно, но оставлено понятие «токен» и ряд других.

Николай Египко, ведущий специалист по защите информации, ФГБУ ФБ Медико-Социальной Экспертизы (МСЭ) Минтруда России рассказал об опыте практической реализации выполнения требований ФЗ-187 от 26.07.2017 по КИИ в учреждениях МСЭ Минтруда России. Он напомнил, почему службы МСЭ попали в разряд критической инфраструктуры: инвалидов в стране около 12 млн. человек или порядка 8% населения, структура медико-социальной экспертизы насчитывает более 2100 служб во всех регионах. После этого спикер перечислил проведенные мероприятия по обеспечению безопасности объектов КИИ:

• изучены нормативные правовые акты и методические документы по обеспечению безопасности объектов КИИ;
• создана комиссия по категорированию объектов КИИ ФГБУ ФБ МСЭ;
• определен перечень объектов КИИ;
• выполнено поручение заместителя министра по обеспечению координации и единого подхода федеральных государственных учреждений МСЭ к формированию перечней объектов КИИ и их рассмотрение;
• комиссия Минтруда России рассмотрела и согласовала перечень объектов КИИ;
• перечень объектов КИИ ФБ МСЭ направлен в ФСТЭК России;
• определены уровни защищенности персональных данных, обрабатываемых в информационных системах с персональными данными, отнесенных к объектам КИИ.

Николай Египко, ведущий специалист по защите информации, ФГБУ ФБ Медико-Социальной Экспертизы (МСЭ) Минтруда России

По итогам в перечень объектов КИИ ФБ МСЭ вошли следующие элементы:

1. База данных ЕАВИИСА МСЭ;
2. Защищенная сеть передачи данных;
3. Информационный ресурс для загрузки архивной информации по инвалидам;
4. Медицинская информационная система;
5. Автоматизированная система «Удостоверяющий центр ФГБУ ФБ Минтруда России», обеспечивающая юридическую значимость документов, циркулирующих внутри инфраструктуры своими сертификатами.

Спикер обозначил, что предстоит сделать для выполнения требований ФЗ-187 Необходимо собрать сведения по 5 объектам КИИ по установленной форме ФСТЭК, присвоить им значимость в соответствии с порядком категорирования и отправить сведения об этом во ФСТЭК. После этого придется ждать результата рассмотрения от 10 или 40 дней и затем обеспечить выполнение приказа ФСТЭК от 25.12.2017 №239.

Часть пути пройдена, резюмировал докладчик, остается ждать, что скажут регуляторы. Одна из серьезных проблем - уголовная ответственность за невыполнение уже прописана, напомнил Николай Египко, а бюджет не выделяется.

В самом законе есть противоречия. Непонятно, что нам, как владельцам объектов КИИ, делать дальше, какой помощи ожидать от регуляторов, - констатировал Николай Египко. – В связи с этим очень жаль, что в работе конференции не принимают участия представители регуляторов.

Игроки рынка: тенденции и решения

Серию выступлений вендоров на конференции открыл менеджер по развитию бизнеса Solar appScreener компании «Ростелеком-Солар» Владимир Высоцкий. Он рассмотрел в своем докладе тему иммунитета программного обеспечения к угрозам ИБ и методов проверки ПО в контексте безопасности. Кроме того, докладчик рассказал о решении, которое предлагает его компания.

На текущий момент мобильные приложения – главная цель злоумышленников, и, к сожалению, все они уязвимы, отметил спикер. Владимир Высоцкий выделил два основных аспекта уязвимости ПО: неумышленные «проколы» разработчиков и умышленно встроенный код, то есть недекларированные возможности (НДВ). Первые появляются из-за использования заимствованного кода – например, свободного ПО, устаревшей версии языка программирования, а также из-за ошибок, совершаемых в силу дефицита времени у разработчика, который зачастую занимается несколькими проектами одновременно.

Владимир Высоцкий, менеджер по развитию бизнеса Solar appScreener компании «Ростелеком-Солар»

Основные методы проверки кода – динамический, иногда называемый белым ящиком (DAST) и статический или «черный ящик» (SAST), рассказал спикер. Каждый из них имеет свои сложности. В числе сложностей применения SAST – необходимость получить исходный код у разработчиков, убедиться, что код собирается в проект, удостовериться, что ПО не имеет неразрешенных зависимостей. Требуется также понять, что написано в отчете, затем описать разработчикам все обнаруженные уязвимости и недоработки. А в числе сложностей применения динамического анализа Высоцкий назвал сложность поиска и обнаружения НДВ, значительное падение эффективности при усложнении приложения, ненулевую вероятность нарушения целостности и доступности, низкую скорость работы.

В заключение своего доклада спикер остановился на решении Solar appScreener, отметив, что оно объединяет преимущества обоих подходов – динамического и статического. Варианты поставки решения – на собственный сервер заказчик и как сервис из облака. В числе публичных клиентов продукта – «МТС Банк», «Яндекс.Деньги», S7 и ряд других крупных компаний.

На текущий момент у нас самое большое покрытие языков - 31 язык, - озвучил параметры своего решения для анализа защищенности ПО Владимир Высоцкий. - Продукт поддерживает более десяти методов статического анализа, имеет полностью открытый API - это позволяет самостоятельно разрабатывать скрипты, предоставляя широкие возможности по интеграции и автоматизации. В плане анализа бинарных кодов поддерживается 7 форматов файлов. Продукт сертифицирован, внесен в реестр отечественного ПО.

О продуктах компании по защите пользовательского и административного доступа, а также о реальных кейсах на их основе рассказал Сергей Бочкарев, директор по развитию бизнеса в России и СНГ, Indeed Identity – российского разработчика ПО в сфере повышения информационной безопасности в различных отраслях экономики. Перечислив три основных продукта компании – Indeed Access Manager, Indeed Privileged Access Manager и Indeed Certificate Manager, спикер рассказал подробнее о каждом из них.

Первый предназначен для управления доступом сотрудников к ИТ-ресурсам компании, поддерживает любое оборудование и различные виды аутентификации, включая биометрию. Это решение было внедрено в «Банке Санкт-Петербург» - более 3 тыс. пользователей с их биометрической идентификацией и «Альфа-Банке» для порядка 2,5 тыс. пользователей. Второй продукт предназначен для управления доступом к привилегированным записям администраторов ИС, партнеров, подрядчиков. Для двух последних категорий пользователей реализован удаленный доступ с предоставлением различных полномочий. Продукт внедряется в Европейской подшипниковой компании (ЕПК), сейчас в системе работает порядка 50 пользователей.

Сергей Бочкарев, директор по развитию бизнеса в России и СНГ, Indeed Identity

И, наконец, третий продукт - Indeed Certificate Manager - ориентирован на централизованное управление инфраструктурой открытых ключей, то есть, всеми USB-токенами, смарт-картами, своевременным отзывом сертификатов, учетом СКЗИ и др. Кейсы – контракт с банком ВТБ, заключенный в 2019 году для более 70 тыс. пользователей, и с торговой сетью «Магнит» - более 100 тыс. пользователей.

С докладом по практике использования ПО класса SIEM выступил Максим Степченков, генеральный директор RuSIEM – разработчика соответствующего российского решения, включенного в реестр отечественного ПО. Современный SIEM-продукт представляет собой улучшенную систему обнаружения вредоносной активности и различных системных аномалий, сказал спикер. Система включает в себя, в том числе, управление инцидентами, рисками и аналитику, что позволяет увидеть более полную картину активности в сети и событий ИБ. Собирая, анализируя, представляя и коррелируя информацию из различных сетевых устройств, средств защиты информации и систем, SIEM-продукт позволяет обнаружить атаку, которую обычные средства обнаружения не видят, подчеркнул докладчик.

Максим Степченков, генеральный директор RuSIEM

Степченков привел несколько характерных примеров из жизни банка: человек не прошел на территорию банка, но при этом авторизовался в компьютере. Это инцидент ИБ? Инцидент, констатировал спикер, поскольку логин и пароль, возможно, введен коллегой. Второй пример – антивирусы с системой рассылки оповещений, которых на почту приходит сотни и которые в большинстве случаев никем не читаются. В этом потоке нужно выделить лишь сообщения о случаях, когда вирус не помещен в карантин и не удален в течение короткого времени. И третий пример – в одном банке сервер атаковался хакерами из Китая в течение нескольких лет, и этого никто не замечал. То есть, системе необходимо анализировать не только текущую информацию, но и прошлую.

Направление развития SIEM обширно, заключил Максим Степченков, и выбор реализации остается за клиентом – в зависимости от его задач и приоритетов. Что касается перспектив развития, то системы будут двигаться в сторону автоматизации выявления инцидента без участия человека.

Современная SIEM – мозг информационной безопасности бизнеса, - подчеркнул Максим Степченков. – Система собирает информацию со всей инфраструктуры и говорит, что нужно предпринимать, чтобы обеспечить ее безопасность. При этом до недавнего времени считалось, что это продукт только для богатых компаний или, как минимум, для тех бизнесов, где ИТ-инфраструктура уже полностью построена. Сегодня это уже не так: если в компании есть хотя бы антивирус, уже нужна SIEM. Что касается нашей компании, мы российские, быстрые и дешевые. У нас есть бесплатная версия, которую можно использовать на постоянной основе и есть коммерческая, которая дается в бесплатное пользование на три месяца.

Дискуссия

Конференция завершилась дискуссией, в ходе которой ее участники обсуждали широкий круг вопросов ИБ: подход к разработке продуктов «встроенная безопасность» - secure by design, проблематику микроядерных операционных систем с вшитой математической моделью, переписываемой под каждое новое приложение.

Участники дискуссии констатировали, что угрозы ИБ постоянно повышаются, опасность атак возрастает, поэтому необходимо разрабатывать изначально защищенную информационную инфраструктуру. Импортозамещение, отметили эксперты, – правильное направление, но крайне важно также и создание международных стандартов для различных инфраструктур.

Что касается сверхкритичных объектов, то для их защиты нужны собственные чипы со своей логикой шифрования. В контексте импортозамещения отмечалась нехватка российских ИТ по ряду фундаментальных направлений.

Есть глобальная проблема – в России не хватает собственных информационных технологий, - отметил один из участников дискуссии. - Мы берем технологии за рубежом, и эту проблему невозможно быстро решить импортозамещением. Это фундаментальные решения, где требуется развитие науки, опытной базы.

В перерыве и по завершении конференции участники общались в неформальной обстановке.

• Как развивается российский рынок ИБ?
• Какие продукты и услуги пользуются наибольшим спросом?
• Какие угрозы в сфере ИБ беспокоят российские компании?
• Как операторы критической информационной инфраструктуры выполняют требования закона №187-ФЗ?
• С какими сложностями они сталкиваются?
• Какое финансирование потребуется для выполнения всех норм закона?
• Какие компании специализируются в области защиты КИИ?