Информбезопасность средь белой ночи

Российский ИT-рынок проявляет явный интерес к информационной безопасности (ИБ). Помимо множества презентаций продуктов/проектов проходят традиционные встречи "безопасников", на которые из городов и весей съезжаются не только "свои" пользователи, но и те, кто собирается строить системы ИБ. Съезжаются, чтобы ощутить тенденции рынка и правильно спланировать свое развитие, выбрав проверенные решения.

Одна из таких конференций, организованная Aladdin Russia (AR) и ее израильским партнером Aladdin Knowledge Systems (AKS), прошла в разгар белых ночей в С.-Петербурге. На панельных дискуссиях о проблемах рынка откровенно говорили пользователи СИБ из разных вертикальных рынков.

Российские тенденции

Рост угроз в области информбезопасности, особенно связанных с человеческим фактором, отразился и на корпоративном рынке России. В 2004–2005 гг. началось массовое внедрение технологий открытых ключей (PKI) и смарт-карт. При этом маятник качнулся в сторону встроенных PKI, что свидетельствует о качественных изменениях самой технологии.

Отсутствие развернутой инфраструктуры PKI и адекватных систем управления резко тормозило проекты. А наличие в системах унаследованных приложений (не относящихся к PKI) требовало для их интеграции дорогостоящих средств сопряжения с системой защиты, что порождало дополнительные сложности при реализации технологии Single Sign-On. Стимулом для реализации многих решений стало появление систем управления жизненным циклом программно-аппаратных ключей доступа со своими инструментальными средствами (для Aladdin таким средством оказалась Token Management System). С. Груздев, гендиректор AR, считает, что сегмент токенов развивается в нашей стране в русле мировой тенденции: растет спрос на единый токен, или смарт-карту со встроенным чипом пассивных радиометок RFID, позволяющую попасть в помещения офиса, в сеть компании, получить доступ к приложениям. Производство таких ключей (eToken PRO) организовано в Москве.

Другая тенденция – желание корпоративного рынка покупать сертифицированные токены и приложения по их управлению. При этом, по данным С. Груздева, соотношение объемов продаж USB-ключей и смарт-карт за последний год изменилось в процентном отношении от 80:20 до 70:30.

На производство eToken PRO (сегодня им пользуются порядка 20 удостоверяющих центров) AR имеет сертификаты ФСТЭК по РД и ГОСТ Р 15408. Ключ входит в базовый комплект поставки ОС Microsoft Windows XP и может использоваться для аутентификации пользователей в системах, обрабатывающих конфиденциальную информацию до класса защищенности 1Г включительно.

Характерная черта современного корпоративного рынка – разочарованность в биометрических методах контроля. Их перестали рассматривать как достойную для аутентификации технологию. Очевидно, причиной стали неудачные решения для считывателей биометрических характеристик. Однако, как сообщил региональный менеджер AKS по России и СНГ Д. Зелдин, разработчики продолжают исследовать эту технологию, сделав упор не на статические (радужка, дактилоскопия и пр.), а на динамические параметры. Так, AKS ведет разработки биодинамического считывателя индивидуальных шумов сердца, однако сроки выпуска коммерческого продукта не называются.

Навстречу требованиям

В связи с массовым внедрением на российском рынке средств ЭЦП и инфраструктуры PKI возникла острая необходимость в аппаратной реализации российской криптографии как для ЭЦП, так и для шифрования данных в ИС госорганизаций. Такие решения представили "Крипто Про" и "ЛИССИ" (Лаборатория испытаний средств и систем информатизации) – соответственно eToken Cripto PRO и СЗКИ LirSSL.

Аппаратно-программный комплекс eToken Cripto PRO предназначен для безопасного хранения и использования закрытого ключа "КриптоПро" CSP в соответствии с ГОСТ Р 34.10-2001. Продукт поставляется с высокоуровневой библиотекой Microsoft CryptoAPI и не требует модификации кода приложений. Платформонезависимое СКЗИ LirSSL обеспечивает шифрование и контроль целостности данных (по ГОСТ 28147-89), вычисление хеш-функции (ГОСТ Р 34.11-94), определение и проверку ЭЦП (ГОСТ Р 34.1094 и Р 34.10-2001).

Спам и вирусы – общая беда пользователей. Поэтому AKS с особой тщательностью отнеслась к разработке системы проактивной контентной защиты eSafe. По словам вице-президента компании Ш. Групера, eSafe обеспечивает защиту электронной почты от вредоносного и нежелательного контента, а Интернет трафика – от spyware, adware, фишинга, атак с использованием уязвимостей ОС и ПО. Система способна выборочно устанавливать ограничения для доступа к сайтам. Главный ее козырь – проактивность, способность предотвращать вторжение без знания сигнатуры вируса и до появления официальной публикации уязвимости ПО. Продукт начал работать на сети провайдера OCC, в том числе как платная услуга защиты от вредоносного контента "индивидуалов" – карта "Светофор" на 50, 80 и 150 ч безопасной работы. Гендиректор ОСС М. Авдеев сообщил, что за две недели было продано около тысячи таких карт предоплаты. По данным Aladdin, идут переговоры еще с несколькими российскими провайдерами об установке eSafe.

Новинки компании в области контентной защиты – шлюзы Spyware Neutralizer и NitroInspection. Последний полностью контролирует содержимое HTTP/HTML-трафика при 30 Мбит/c и уже эксплуатируется за рубежом.

Где вы, системные интеграторы?

Панельные дискуссии "Что беспокоит компании?" и "Диалог заказчика и вендора" высветили насущную проблему рынка, лаконично сформулированную начальником службы ИБ банка "Возрождение" А. Грициенко: в стране нет системного интегратора, способного построить безопасную информационную систему с учетом всех требований компании и за разумные деньги. В результате разработчики создают продукты защиты без учета нужд заказчиков. (На вопрос, к кому из системных интеграторов-участников – "AMT-Груп", "Крок", "Элвис-Плюс", "Инфосистемы Джет", IBM – обращался банк, выступавший ответил: "К IBM мы не обращались".)

Пытаясь уйти от критики, представители "Крок" и "АМТ-Груп" упирали на сложность созданияСИБ и упрекали заказчиков в том, что те "не всегда знают, зачем им СИБ". Но это не уменьшило недовольства пользователей. А выступление А. Галицкого из серии "IBM может всё" вызвало в ответ лишь скептическую реплику: "Но за какие деньги!".

Многим компаниям-пользователям приходится ограничиваться паллиативом СИБ либо самим разрабатывать дополнительные модули и сопрягать продукты разных поставщиков. По такому пути пошел и банк "Возрождение". Впечатление от представленной им системы с использованием продуктов Aladdin было таково, что многие из присутствовавших готовы были немедленно сделать заказ.

Общий настрой явно свидетельствовал о неудовлетворенном спросе. Высказывались мнения ввести сертификацию системных интеграторов, работающих в области ИБ. Отмечалось не только низкое качество их работы, но и отсутствие полной документации по проектам. И это у опытных игроков рынка ИБ! Что же тогда говорить о новичках, которые только осваивают это поле деятельности?! Вот почему многие заказчики и считают лучшим выходом из ситуации обязательное наличие лицензии у системных интеграторов.