Изменение геополитической обстановки — зло или благо для

отечественной отрасли ИБ?

Лукацкий Алексей, консультант по безопасности

Текущие задачи, меняющие отрасль ИБ

Изменение бизнес-моделей

Динамический ландшафт угроз

Сложность и фрагментация

О чем пойдет речь?

• Краткий обзор текущей ситуации• Краткий экскурс в историю ограничений• Можно ли взять и запретить?• 5 сценариев развития событий• 6 точек зрения на развитие отрасли ИБ в текущей ситуации• Рекомендации для игроков рынка• Заключение

Не читайте/слушайте/смотрите российские СМИ в контексте санкций и геополитики; особенно в части ИТ/ИБ!

КРАТКИЙ ОБЗОР ТЕКУЩЕЙ СИТУАЦИИ

Что понимают под «санкциями» те, кто их вводил и те, кто про них читает/слышит/смотрит?

СанкцииЗапрет чего-то

Блокирование чего-то

Исключение чего-то

Приостановление чего-то

Ограничение чего-то

Изменение процедуры

− ±

Откуда исходят санкции?

• Важно не только то откуда исходят санкции (или не исходят), но и то, какова цепочка прохождения продукта/услуги, а также штаб-квартира производителя/поставщика и кто входит в руководство– Учитывайте перспективы усиления/ослабления санкций и

появление новых стран, их поддерживающих (например, Китай или Южная Корея)

«Санкции» могут исходить не только извне, но и изнутри – на уровне отраслей, компаний или холдингов

Кто и что санкционировал (в контексте ИТ/ИБ)?

• ОЭСР приостановила процесс принятия РФ в свои члены– На вопросы ИБ почти не повлияло

• НАТО приостановил сотрудничество, включая и вопросы МИБ• Евросоюз

– Запрет на инвестиции в многие сектора экономики Крыма– Запрет на экспорт товаров двойного назначения для военного

использования• Великобритания, а также иные страны (Швейцария и т.д.)

– Запрет на поставки продукции двойного назначения• США (и Канада)

– Секторальные и поименные санкции– Приостановлена работа двусторонних комиссий, включая и МИБ– Ограничен экспорт товаров оборонного назначения

Россия пока готовится ответить на санкции

Эффект Сноудена

• «ФСБ знает все закрытые ключи от ГОСТ 28147-89», «антивирусный компании сами пишут вирусы», «ИТ-компании оставляют закладки в своей продукции»…– Мифотворчество расцветаем

буйным цветом в условиях нехватки данных

• Любая спецслужба защищает интересы своего государства– Зачастую в ущерб интересам

отдельных граждан, группам граждан или бизнесу

КРАТКИЙ ЭКСКУРС В ИСТОРИЮ ОГРАНИЧЕНИЙ

Регулярные санкции не мешали использовать технологии и развиваться

• Координационный комитет по экспортному контролю (КОКОМ)– 1949 – 1994 гг.

• Многосторонний контроль экспорта в СССР и другие социалистические государства– Регулярно обновляемые перечни

«стратегических» товаров и технологий, не подлежащих экспорту в страны «восточного блока»

• Директива президента США NSDD–66 (National Security Decision Directive)– 1982 год

Контроль ИТ-поставок в Россию придумали не сейчас

• Что, куда, кому, зачем? – Commerce Control List– Commerce Country Chart– «Черные списки»

Ввоз средств шифрования

• Необходимость реализации Вассенарских соглашений по контролю обычных вооружений и технологий двойного назначения– 1996 год– Подписали 40+ государств, включая Россию– Продолжение идей КОКОМ, но

применительно к реалиям сегодняшнего дня• С 1-го января 2010-го года на территории

Таможенного союза (Россия, Казахстан и Белоруссия) вступили в силу новые правила ввоза средств шифрования– Не имеет отношения к ВТО– Не запрет, а контроль– «Санкции» = изменение процедуры

Что контролируется при ввозе на территорию РФ?

• Принтеры, копиры и факсы• Кассовые аппараты• Карманные компьютеры• Карманные машины для записи,

воспроизведения и визуального представления

• Вычислительные машины и их комплектующие

• Абонентские устройства связи• Базовые станции• Телекоммуникационное

оборудование• Программное обеспечение• Аппаратура для радио- и

телевещания и приема

• Радионавигационные приемники, устройства дистанционного управления

• Аппаратура доступа в Интернет• Схемы электронные,

интегральные, запоминающие устройства

• Большое количество позиций групп 84 и 85 Единого Таможенного Тарифа таможенного союза Республики Беларусь, Республики Казахстан и Российской Федерации

• Прочее

ФСБ не запрещает, а контролирует ввоз

• Проверка легитимности ввоза по нотификации– http://www.tsouz.ru/db/entr/notif/Pages/default.aspx

• Проверка легитимности ввоза по лицензии– Копия положительного заключения ФСБ на ввоз

Упрощенная схема

• Ввоз по нотификации

По лицензии

• Разрешение ФСБ• Ввоз по лицензии

Минпромторга

Вспомним Доктрину ИБ РФ 2000-го года

• В качестве угрозы рассматривается использование несертифицированных отечественных и зарубежных ИТ, средств защиты информации, средств информатизации, телекоммуникации и связи при создании и развитии российской информационной инфраструктуры– 14 лет назад!

МОЖНО ЛИ ВЗЯТЬ И ЗАПРЕТИТЬ?

Можно ли взять и прекратить экспорт из США и (или) импорт в Россию?

Запрещать сейчас иностранные ИТ/ИБ, все равно, что

Спасет ли нас НПП? А где приложения?

А на каком «железе» будет работать НПП?

5 СЦЕНАРИЕВ РАЗВИТИЯ СИТУАЦИИ И 6 ТОЧЕК ЗРЕНИЯ НА НЕЕ

Развитие событий похоже на американские горки

• Непредсказуемо– Если не

сталкивался раньше

• Страшно и не хочется– Если в первый

раз• Страшно, но

вариантов нет• Адреналин

– Новые опыт и возможности

6 точек зрения на текущую ситуацию

Западный поставщик ИБ

Российский поставщик ИБ

РегуляторПотребитель

СМИ

Законодатель

• А еще каждый эксперт имеет свою точку зрения, опирающуюся на его знания, опыт и мировозрение

Сценарии развития событий (на текущий момент времени)

СценарииЗапретят

Оставят как есть

Введут новые

правила Переходный период (на несколько

лет)

Гибридный сценарий

7%

3%

25%

15%

50%

РЕКОМЕНДАЦИИ ДЛЯ ИГРОКОВ ОТРАСЛИ ИБ

Из чего складывается доверие к средству защиты?

• По данным направлениям и должны действовать поставщики средств или услуг защиты

Доверие

Требования к самим средствам

защиты

Требования к среде

функционирования

Требования к разработке/разраб

отчику

Увеличение номенклатуры типов средств защиты и самих средств защиты

Регуляторы и их требования

Приказ №17

Приказ №21

Приказ №31

382-П

СТО БР ИББС

СТО Газпрома

Нужны техническиесредства и

предложения услуг для реализации

требований

Непаханое поле для российских разработчиков

• Реализация требованийсуществующих нормативных требований – хороший шаг и непаханное поле для разработчиков – Преимущественно

отечественных• Можно разрабатывать все с

нуля, а можно работать совместно с зарубежными игроками, создавая интеграционные решения– Например, Cisco NME-RVPN совместно с С-Терра СиЭсПи, Cisco

Web Security Appliance с Traffic Monitor от Инфовотч, ViPNet IDS на базе Snort, Positive technologies WAF на базе Cisco UCS-E…

Основа доверия

Жизненный цикл

Защищенный процесс

Процесс ПолитикиТехнологии

Information Assurance (IA)

Стандарты и РДТехнологии защиты продуктов

CSDL

Общие модули и функции

Планируется

• NG & Common Crypto• Secure Storage• Run Time Integrity

• Trust Anchor• Secure Boot• Image Signing• Entropy• Immutable Identity

• xxx

FIPS / USGv6

DoD IA

• TCG

• xxx

ФСТЭК / ФСБ

Усилия самого производителя: доверенная архитектура

• xxx• xxx

• xxx• xxx

На радареРеализовано

http://www.cisco.com/web/solutions/trends/trustworthy_systems/index.html

Что определяет защищенность?

• Защищенность ПОопределяет не число угроз в нем и не страна происхождения, а выстроенный процесс управленияуязвимостями– Включая

скорость реагирования

• Например, у Cisco существует команда PSIRT и публичная политика раскрытия информации об уязвимостях

Как проверить/контролировать заявления любого производителя – отечественного или зарубежного?

• Контроль импорта высокотехнологичной продукцииКонтроль

• Разработка и (или) производство ИТ/ИБ-решений на территории России

Локальное производство

• Сертификация по требованиям безопасности

Оценка соответствия

• Контроль со стороны лицензирующего органа по отдельным видам деятельности

Лицензирование деятельности

Локальное производство на территории России

• Крупные иностранные ИТ/ИБ-игроки проводят политику локального производства своей продукции в России– Например, Cisco не только локально производит в России

маршрутизаторы, беспроводное оборудование, VPN-модули и IP-телефоны, но и ведет локальную разработку на базе Сколково

– Некоторые игроки передают права на интеллектуальную собственность на свою продукцию (например, Cisco для ФГУП ЭЗАН)

• Некоторые отечественные игроки «уходят» в Китай/Тайвань для снижения себестоимости своей продукции

Разработка

• Создание центров разработки в России

Производство

• Перенос производства на территорию РФ

Передача прав

• Передача прав на интеллектуальную собственность или ее фрагменты

Импорт – это не только то, что с Запада, но и то, что с Востока. Что такое «отечественный производитель»?

Что такое «российский производитель»?

• «Под словами «у российских производителей», подразумеваются в том числе и предприятия с иностранным участием и со стопроцентным иностранным капиталом, но работающие на территории России и подчиняющиеся российскому законодательству»– В.Путин, ПМЭФ, 2014

Сертификация по требованиям безопасности существует в РФ с конца прошлого века

ФСТЭК ФСБ МО СВР

Все, кроме криптографии

СКЗИМСЭ

АнтивирусыIDS

BIOSСетевое

оборудование

Все для нужд оборонного ведомства

Тайна, покрытая мраком

Требования открыты

Требования закрыты (часто секретны). Даже лицензиаты зачастую не имеют их, оперируя выписками из выписок

А еще есть 4 негосударственных системы сертификации СЗИ – ГАЗПРОМСЕРТ, «АйТиСертифика» (ЕВРААС), Ecomex и «Каскад»

Меняется ситуация – меняются и системы сертификации средств защиты

ФСТЭК

• Новое положение о сертификации

• Порядок обновления средств защиты информации

• 10+ новых РД с требованиями к средствам защиты

ФСБ

• Изменение системы сертификации СКЗИ в части встраивания «криптобиблиотек» и т.д.

• Расширение спектра типов сертифицируемых средств защиты (не только СКЗИ)

Сертификация – это не единичный шаг, это непрерывный процесс

Партнер #1

ПАРТНЕРЫ СISCO

Партнер #2

Партнер #3

AMT & ООО «Верком»

ФСТЭК

Оборудование с сертификатами

ФСТЭК

Оборудование без сертификации по

требованиям ФСТЭКДистрибуторы

Cisco Systems, Inc

Партнер #N

производство по требованиям ФСТЭК

сертификационный пакет ФСТЭК

Производство за пределами России

Контроль, обновления, получение информации о заказах

Cisco Systems, Inc

Производство в России

В КАЧЕСТВЕ ЗАКЛЮЧЕНИЯ

Коалиции ситуативны и зависят от целей и задач, часто сиюминутных

США, Россия и Япония

против Китая

США, Россия и Евросоюз

против исламского мира

США против Евросоюза

США и Евросоюз

против России

Китай против всехСША против всех

Плыть по течению тоже неправильно или рекомендации потребителю

• Оцените риски!– Реальные, а не мифические!– Вы можете управлять этими рисками?

• Оцените ИТ/ИБ-активы– Вы знаете альтернативы? Они вас

устраивают? Они производятся в промышленных масштабах?

– Азиатское – это тоже импортное! Свое – это только Россия (и в перспективе ЕврАзЭС)

• Сертификация и локальное производство на территории РФ – меры по снижению риска

• А государство пусть стимулирует развитие локального рынка ИТ и ИБ

На волне истерии о геополитике не забывайте о реальной безопасности!

© Cisco и (или) дочерние компании, 2011 г. Все права защищены. Общедоступная информация CiscoBRKSEC-1065 54

Благодарю вас за внимание

security-request@cisco.com