Бизнес-­консультант по безопасности

Российская rasputitsa как объяснение будущего отечественной отрасли ИБАлексей Лукацкий

26 мая 2016 года

2

Несмотря на созвучие, мы будем говорить не о Путине

3

4

• Распутица -­ период, когда дороги становятся непроходимыми или труднопроходимыми

• Распутица не раз выручала Россию во время войн• В западную историографию вошел термин rasputítsa— период проливных дождей, мешающих боевым действиям в России

Что есть rasputitsa?!

Что мешает развитию российской отрасли ИБ?

5

• Разница интересов государства, бизнеса и граждан• Отсутствие денег• Непрофессионализм людей, принимающих решения• Законодательство• Русская культура• Краткосрочность стратегии развития• Возраст

Факторы rasputitsa

6

7

Интересы государства и бизнеса не совпадают!

Государство

БизнесГраждане

8

• Мегаиздержки на выполнение требований ФЗ-­152 и ФЗ-­242

• Избирательное применение и проявления коррупции

• Изоляция от мировых Интернет-­сервисов

Персональные данные

9

• Новые требования СОРМ• Интернет-­кафе по паспорту• Хранение данных в течение 3-­х лет

• Внесудебное блокирование сайтов

• Ограничение работы мессенджеров

Борьба с терроризмом

10

• Не достигнув нижнего уровня потребностей, человек не переходит на следующий• Зачем мне безопасность, если я голоден?

• Зачем мне думать об информационной безопасности, если я под страхом увольнения?

А какие интересы в данный момент у вас?

11

До ИБ ли сейчас государству?

12

• Интересы государства отличаются от интересов бизнеса и граждан!

• На первом месте у государства и бизнеса стоит задача выживания и обеспечения финансовой стабильности, а не ИБ

• Государство будет закручивать гайки в части борьбы с экстремизмом и терроризмом

Выводы 1

Каждый участник отрасли ИБ будет извлекать из этого свои выгоды или терпеть убытки!

13

14

• Кто является основным бизнес-­партнером России в настоящий момент?

• В чем Россия держит деньги Стабилизационного фонда?

Давайте отделять риторику от фактов

15

• Геополитические риски• Помощь «санкционным» компаниям – высокие риски со стороны США

• Китайцы предпочитают прямые инвестиции, а не портфельные• Китайские инвесторы хотят входить в проекты, а не просто давать кредиты

• Китай дает кредиты под покупку своего оборудования и продукции

• Иная культура документооборота, языковая, согласований

Почему Китай не дает России денег?

16

• Минкомсвязь не имеет денег на развитие ИБ – только на ИТ и только 5 миллиардов рублей• Продлили льготы ИТ-­компаниям

• Инвестиционные фонды не дают денег компаниям, ориентированным на российский рынок

• Госзаказа на ИБ тоже нет

А Россия дает деньги на ИБ?

17

Но Запад не ждет российскую безопасность

18

• Государство не планирует стимулировать и поддерживать отечественную отрасль ИБ, не имея на это средств и желания

• Инвестиционные фонды вкладывают только в компании, ориентированные на широкие рынки сбыта, то есть за пределы России

• Российские игроки ИБ вынуждены развиваться в собственном соку

Выводы 2

Продукты ИБ будут либо ориентированными на локальный рынок, либо не считаться

российскими!

19

• В России много препон для молодых игроков рынка ИБ и государство не делает ничего для уменьшения этих препон!• Но зато войдя в государственный сектор или используя волну импортозамещения, можно получить возможность для роста

• В мире (особенно в США и Китае) тоже не особо ждут российские ИБ-­компании на своем рынке• Но помимо США и Китая есть и другие рынки (пусть и не такие «жирные»), «лояльные» к российским разработкам

Выводы 2

20

21

• Законопроект депутата Яровой о хранении всего трафика в Рунете в течение 3-­х лет

• Запрет хранения ПДн россиян заграницей

• Штрафы за приобретение импортных ИТ

• Попытка запрета западной криптографии

Низкая компетентность

22

• В ПП-­1236 есть требование наличия сертификата соответствия ФСТЭК на средства защиты информации• ФСТЭК придерживается того же мнения

• Министр связи вынужден был писать письмо, в котором указал, что сертификат не требуется!

Реестр отечественного ПО

23

• Выпускник по специальности «ИБ» должен уметьрешать основные задачи на вычисление пределов функций, их дифференцирование и интегрирование, на разложение функций в ряды, включая оценку качества полученных решений прикладных задач;; решать простые обыкновенные дифференциальные уравнения и линейные системы уравнений;;оперировать с элементами числовых и конечных полей, колец, подстановками, многочленами, матрицами;; решать системы уравнений над полями и кольцами вычетов;;исследовать простейшие геометрические объекты по их уравнениям в различных системах координат;; описывать строение основных классов геометрических групп;;применять стандартные методы и модели к решению типовых теоретико-­вероятностных задач и стандартных задач математической статистики;; использовать стандартные статистические пакеты и давать содержательное объяснение получаемым результатам;;применять на практике основные законы общей физики и оценивать численные порядки величин, характерных для различных разделов естествознания

Выпускники у нас очень умные, но не в той области

24

• «Если в сортире воняет, и никакой жизни нет от воровства, то виноваты все, а значит никто»• А. Чехов

• Привычная тирания и автократия во власти и, как следствие, отсутствие персональной ответственности и нежелание ее брать на себя

Индивидуальная ответственность

25

• В иерархической системе каждый индивидуум имеет тенденцию подняться до уровня своей некомпетентности (принцип Питера)

• Принцип политической целесообразности и желание оставаться в обойме заставляют здравомыслящих людей либо уйти из властных структур, либо играть по общим правилам

Выводы 3

Потребителям ИБ придется больше лавировать между противоречащими друг другу

требованиями некомпетентных чиновников

26

27

• Повышение порога вхождения в узкий круг «доверенных лиц»

• Закручивание гаев в части установления требований к лицензиатам и аккредитованным компаниям

• Снижение шансов для стартапов войти в ближний круг

Чужие здесь не ходят

28

• Законодательство пишется под сиюминутные требования, имеющие яркую геополитическую окраску

• Отсутствие четкой стратегии развития законодательства по ИБ

• Отсутствие знаний правовых основ у нормотворцев

Ледниковый период в законодательстве

29

20082010

2012 20132014

20152011

2000-­е

ПДнСТОv4 382-­П АСУ ТП

ПДн

БДУ

ГИС

ПДн

ПДн

CERTы

СОПКА

МИБАСУ ТПКИИ

ПДнСТОv5

СТО/РССТР-­КПКЗ

Краткий обзор развития законодательства по ИБ

2016:• ГИС• 382-­П• СОПКА• КИИ (?)• SDLC

30

• Законодательство остается пока основным драйвером развития рынка ИБ в России

• Законодательство развивается хаотично, что мешает выстраивать долгосрочную стратегию его реализации

• Наиболее четкую стратегию развития имеют ФСТЭК и ЦБ

Выводы 4

Необходимо очень внимательно отслеживать все изменения законодательства, которые могут кардинально изменить ситуацию на

рынке

31

32

• С момента ввода санкций прошло уже два года. Сколько новых продуктов по ИБ отечественного происхождения появилось в России?

Пока гром не грянет

33

Матрица западного рынка ИБIdentify(идентификация)

Protect(защита)

Detect(обнаружение)

Respond(реагирование)

Recover(восстановление)

Сети

Устройства

Приложения

Пользователи

Данные

Огромное количество игроков

Большое число игроков

Средний уровень

конкуренции

Небольшое число игроков

Почти полное отсутствие игроков

34

Матрица российского рынка ИБIdentify(идентификация)

Protect(защита)

Detect(обнаружение)

Respond(реагирование)

Recover(восстановление)

Сети

Устройства

Приложения

Пользователи

Данные

Огромное количество игроков

Большое число игроков

Средний уровень

конкуренции

Небольшое число игроков

Почти полное отсутствие игроков

35

Матрица рынка ИБОркестрация и автоматизация

АналитикаGRC

Сервисы

36

• Несмотря на открывшиеся возможности, за 2 года российские разработчики так и не выпустили на рынок ничего, что могло бы считаться аналогом западных решений

• Заказчики до сих пор находятся в позиции «авось все отменят»

Выводы 5

В условиях геополитической ситуации и курса на импортозапрещениеперед потребителями

встает дилемма – штраф или плохо работающее решение

37

38

• ФСБ, ФСТЭК, СВР, МинОбороны, ФСО • Минкомсвязь, Роскомнадзор• МВД, Банк России• Совет Безопасности, Администрация Президента• PCI Council• Минэнерго, Минэкономразвития• Ростехрегулирование• Минтруд, Рособразование и др.

Регуляторов в области ИБ у нас 16+

39

• Регуляторы не хотят/не спешат брать ответственность за принимаемые решения в области долгосрочного регулирования ИБ

• Совет Безопасности также не занимается выстраиванием долгосрочной стратегии ИБ в России

• Текущая экономическая ситуация заставляет оперировать краткосрочными целями

Выводы 6

Игрокам ИБ приходится жить в условиях «здесь и сейчас»

40

41

Защита информации – удел спецслужб!

42

Все меняется, но не безопасники во власти ;;-­(

Что?

С кем?

Способ?

Сколько?

Как?

Гостайна

ИТР

Закрыто

Неважно

Гриф (Кцд)

КТ, БТ, ПДн

Инсайдер, хакер

Открыто

ROI, TCO, NPV

Кто? КГБ эксКГБ

ДЦК

Формат Файлы Мультимедиа

Технологии Закрытые АС Облака, mobility

Изменения Статика Динамика

43

• Пока не сменится поколение людей, стоящих у руля ИБ в стране, ситуация с мертвой точки не сдвинется

Выводы 7

44

Россия обладает рядом уникальных свойств, влияющих на все происходящее

•Большие расстояния определяют отсутствие дорог и замедленное развитие•Длинные зимы (холода) заставляют ударно работать очень непродолжительное время•Нахождение между Востоком и Западом

География

•Раскол России после наплыв европейской цивилизации во времена Петра I на цивилизованную и «крестьянскую»•Много представителей «крестьянского» сознания и кучка «европейских интеллигентов»

История

•Нетерпимость к инакомыслию осложняет внедрение чего-­то нового и непривычного•Индивидуальная ответственность личности как зависимость от конфессии и возможности искупить/не искупить ошибки•Приверженность «близкому кругу» своих родственников

Религия

45

Чего ждать от российского рынка ИБ?

Спасибо!