ИБ в облаках

Несколько лет назад тема облачных сервисов и услуг была на слуху, но в какой-то момент ажиотаж спал, а облачные технологии незаметно, но прочно вошли в повседневную жизнь как обывателя, так и
бизнеса. Сегодня вопросы развития рынка облаков снова актуальны как никогда. В последнее время происходят довольно серьезные изменения в законодательстве (как российском, так и мировом), которые в
первую очередь касаются именно работы в Сети, а значит, влияют и на рынок облаков. Кроме того, особенно важной становится тема обеспечения ИБ в облаках, причем специалисты и участники рынка готовы
рассматривать ее под самыми разными углами. Это и безопасность самих облаков, в частности защита данных, хранящихся в них, так и перевод значительной части ИБ-процессов в облака, нарастающий тренд
по использованию облачных ИБ-решений.

Мы попытались разобраться в этом сложном и запутанном сегменте IT-рынка и обратились с актуальными вопросами к облачным экспертам.

Рынок облачных ИБ-решений

Рынок облачных ИБ-решений постепенно трансформируется: появляются новые точки роста, меняются приоритеты заинтересованных сторон, увеличивается роль государства. Что в действительности происходит с
этим рынком сегодня, как удается согласовать интересы участников и чего желают заказчики?

Директор по развитию бизнеса M1Cloud (Stack Group) Владимир Лебедев убежден, что рынок ИБ для облаков продолжает расти. Связано это как с ростом рынка облачных сервисов в качестве модели
потребления ИТ, так и с переходом заказчиков на сервисную модель потребления ИБ-решений для собственных целей. Он отмечает, что в последнее время наблюдается повышенная готовность ИБ-вендоров
предоставлять все большее количество продуктов и решений для облачных поставщиков, предлагая их конечному заказчику как сервис.

Технический директор ActiveCloud Руслан Райкевич отмечает, что вместе с ростом популярности облачной модели использования ресурсов также растут требования к обеспечению ИБ в облачных
средах. И если большинство заказчиков удовлетворяют стандартные подходы, то крупные заказчики в большинстве случаев рассматривают предложения с инфраструктурой, защищенной в соответствии с ФЗ-152,
чаще всего независимой от других клиентов.

Руслан РАЙКЕВИЧ (ActiveCloud):«В скором будущем облачные провайдеры, которые вовремя не озадачились вопросом аттестации своих систем по ФЗ-152, попросту окажутся вне рынка».

Руководитель направления DLP центра информационной безопасности компании «Инфосистемы Джет» Дмитрий Ключников считает, что точкой роста является заинтересованность потребителей облачных
услуг в контроле и управлении критичными данными. Многие зарубежные сервис-провайдеры предоставляют сервисы по многофакторной аутентификации, резервному копированию и контролю привилегированных
пользователей. Однако, продолжает г-н Ключников, контроль сохранности конфиденциальных данных и их движения в облачной среде ложится на заказчика облачных услуг, так как степень критичности данных
может оценить только их владелец. Здесь на помощь приходят решения класса Cloud Access Security Broker (CASB), в общем случае представляющие собой облачный сервис, связанный как с инфраструктурой
организации, так и с облачным приложением. С их помощью можно получить полную картину использования облачных приложений в организации, определить местоположение и движение конфиденциальных
документов внутри облачных сервисов, а также настроить реагирование на нарушения в соответствии с политикой защиты конфиденциальной информации предприятия, рассказывает он. Продукты класса CASB
активно развиваются за рубежом, и некоторые отечественные производители уже задумались над выпуском аналогов, резюмирует г-н Ключников.

«Мультитенантность, то есть техническая возможность обслуживания многих клиентов на базе одного решения, уже поддерживается во многих импортных средствах защиты. В российских СЗИ часто есть только
лицензия, позволяющая оказывать услуги на решении вендора, а технически каждому клиенту нужно разворачивать отдельное решение. Так что мультитенантность в СЗИ и СКЗИ – это перспектива для многих
российских и зарубежных вендоров», – рассказывает директор центра киберзащиты DataLine Василий Степаненко. Он отмечает, что сегодня облачным провайдерам очень не хватает этих
возможностей для создания эффективных сервисов. В то же время на рынке уже давно присутствуют специальные облачные ИБ-решения, в том числе изначально российские, например Qrator, Wallarm и др. По
мнению г-на Степаненко, рынок долго не верил в облака, но на данный момент многие изменили свое мнение и теперь активно работают с ними: вероятно, следующий шаг – рост спроса на облачные
ИБ-сервисы. Г-н Степаненко подчеркивает, что доверие к модели SECaaS (Security as a Service) постепенно растет и уже сейчас у компании есть клиенты, пользующиеся подобными услугами. Переход в
облака, говорит он, породил ряд новых проблем, в связи с чем на рынке стали появляться новые классы средств защиты, например CASB (Cloud Access Security Broker). Однако, к сожалению, известных
российских решений данного класса пока нет.

Руководитель направления ИБ компании Bell Integrator Алексей Майоров согласен с тем, что заинтересованность со стороны всех участников процесса постепенно растет. Но, по его мнению,
регулирующие органы в сфере защиты информации не совсем позитивно относятся к этому процессу и накладывают ограничения на использование некоторых средств защиты информации в облачных структурах,
например, в сфере защиты информации ограниченного доступа.

Руководитель службы ИБ компании «Онланта» (ГК ЛАНИТ) Мурад Мустафаев отмечает, что рынок ИБ-решений меняется в зависимости от потребностей заказчика. Так, сегодня особенно много внимания
уделяется защите персональных данных в облаках.

Мурад МУСТАФАЕВ («Онланта»):«Как показывает практика, все больше заказчиков хотят уйти от ненужных для них хлопот по администрированию и сопровождению своих ресурсов, передавая облачному провайдеру данный функционал на аутсоринг».

В схеме «заказчик – облачный провайдер» заинтересованы обе стороны, так как одной необходим качественный отказоустойчивый безопасный сервис, а второй – платежеспособный клиент, готовый платить за
надежность оказываемого сервиса.

Особое внимание

Особую роль на рынке облаков и соответствующих ИБ-решений играют облачные сервис-провайдеры. Очевидно, что российский рынок облачных услуг и сервисов имеет свою специфику. На какие нюансы сегмента
ИБ в облаках стоит обратить особое внимание российским сервис-провайдерам?

Владимир ЛЕБЕДЕВ (M1Cloud):«По нашей практике, большой интерес остается и продолжает расти к compliance-решениям по облачной модели – это соответствие требованиям российского законодательства по защите информационных систем персональных данных и защите государственных информационных систем, требованиям международных стандартов – например, PCI/DSS или стандартам серии ISO2700x».

Владимир Лебедев (M1Cloud) отмечает, что интерес к решениям ИБ в облаке проявляют заказчики, которые реализуют свои требования по безопасности в гибридных
инфраструктурах: с одной стороны, имея уже достаточно большой выбор вендорских решений по защите информации у сервис-провайдера, а с другой стороны, реализуя требования к единой среде и средствам
защиты как внутри собственной инфраструктуры, так и у облачного провайдера.

Директор по продуктам ActiveCloud Сергей Авраменко обращает внимание на интересный факт: повышение ИБ является одним из мотиваторов облачных клиентов при переходе в облако – наряду с
гибкостью и скоростью доступа к вычислительным ресурсам, повышением качества обслуживания собственного бизнеса. В большинстве своем именно облачные провайдеры обладают более совершенными процессами
и инструментами по ИБ, способными обеспечить безопасность на должном уровне, что подкрепляется в том числе и договорными отношениями. Наличие у облачных провайдеров международных и локальных
сертификатов по ИБ также усиливает их позиции, считает г-н Авраменко.

Сергей АВРАМЕНКО (ActiveCloud):«Среди клиентов облаков растет доля тех, кто готов и уже переносит в облако основные бизнес-приложения: за последние два года рост таких клиентов  двукратный, это переломный момент в осознании облачных услуг».

Опросы показывают, что риски, связанные с ИБ, уже не входят в топ опасений клиентов при переходе в облако. На первые места вышли бесшовная интеграция с собственными
IT-ландшафтами, наличие у клиентов облачных компетенций и зависимость от облачных провайдеров, заключает г-н Авраменко.

Василий Степаненко (DataLine) отмечает, что все чаще появляются претензии к облачным провайдерам от различных «уполномоченных представителей» правообладателей о том, что клиенты облака
нарушили авторское право или без разрешения правообладателя используют его интеллектуальную собственность. Таких «уполномоченных представителей» все больше, и, хотя их жалобы в большинстве случаев
нелегитимны, они уже стали обращаться в суд. Похоже, что это новый вид бизнеса в РФ – такие IT-коллекторы.

Василий СТЕПАНЕНКО (DataLine):«Теперь в договорах необходимо более подробно прописывать ответственность сторон, право облачного провайдера на определенные действия в случаях, если отсутствует реакция клиента на жалобы».

Мурад Мустафаев («Онланта») говорит, что многие провайдеры забывают о главном: нужно не только продать сервис, но и качественно защитить облачную инфраструктуру. Особое внимание необходимо
уделить защите от утечек информации и усилению отказоустойчивости оборудования при попытках проникновения, убежден он.

(Окончание следует)

Источник: http://www.it-world.ru/it-news/analytics/144551.html