SafeNet — одна из глобальных компаний, сосредоточенных на разработке аппаратно-программных средств защиты информации. Директор SafeNet в России и СНГ Сергей Кузнецов рассказал научному редактору PC Week/RE Валерию Васильеву о том, как меняются подходы к обеспечению информационной безопасности (ИБ) вслед за современными трансформациями самих информационных технологий (ИТ) и способов их использования.

PC Week: Современную архитектуру инфотелекоммуникационных технологий называют облачной. А как вы назвали бы дооблачную архитектуру ИКТ?

Сергей Кузнецов: Термин “инфотелекоммуникационные технологии” для меня слишком академичен и представляется далеким от нынешних реалий. Предлагаю использовать термин “информационные технологии”. ИТ — понятие очень емкое, включающее в себя области создания, передачи, хранения и восприятия информации.

Облачные вычисления как устоявшееся понятие возникло в начале 2000-х, а в 2006 г. появились первые сервисы Amazon Web Services. Архитектура облачных решений может иметь разную сложность, включать в себя в том числе и общий пул конфигурируемых вычислительных ресурсов: сетей передачи данных, серверов, устройств хранения, приложений и сервисов. При этом эластичность этих ресурсов — возможность гибко реагировать на изменение потребности в них — является основным свойством облаков. В дооблачную эпоху многие архитектуры ИТ были близки к такой модели, однако заметно уступали ей в эластичности.

В эволюции ИТ можно четко выделить этапы, каждый из которых нашел отражение в ныне существующих ИТ-системах, привнес свои компоненты и уровни сложности, кстати, сильно затрудняющие жизнь специалистам по ИТ и ИБ. Ведь при возникновении новых технологий старые не исчезают бесследно, а продолжают использоваться. Так, до сих пор успешно работают мейнфреймы, персональные компьютеры со множеством операционных систем, клиент-серверная архитектура. А сегодня в ИТ-инфраструктуру пришли разные варианты виртуализации, облаков, “зоопарк” мобильных систем и большие данные. Именно они теперь определяют характеристики ИТ и диктуют требования к технологиям их защиты.

PC Week: В чем заключается принципиальное различие организации защиты данных в облачной и дооблачной архитектуре ИТ?

С. К.: Есть два класса задач, которые связаны с безопасностью облаков. Первые решаются провайдерами услуг, вторые — самими потребителями. В облаках ответственность за безопасность клиентских данных и приложений обычно лежит на провайдере, а клиент должен быть уверен в том, что договор о предоставлении услуг регламентирует достаточную для него защиту.

Архитектурной основой облачных сервисов является технология виртуализации. С нею же связаны уникальные аспекты пользовательской безопасности в облаках. Идея виртуализации заключается в создании промежуточного слоя между операционными системами и “железом” вычислительной среды. Для его настройки, управления и защиты требуются специальные усилия. Отдельной задачей становится защита операционной системы виртуализированной среды, поскольку нелегитимный доступ к рабочему месту администратора гипервизора может поставить под угрозу корректное функционирование всей облачной инфраструктуры, то есть стать центральной точкой отказа. В дооблачных архитектурах однородность ИТ-среды значительно уступает облачной, и поэтому использование виртуализации в них не приводит к возникновению единой точки отказа всей инфраструктуры.

Я знаю немало примеров использования виртуализации в российских компаниях, однако тех, где она применяется в лучшем случае только в тестовых средах, гораздо больше. Ограничение внедрения виртуализации обусловлено исключительно недостаточной проработкой вопросов ИБ и связанных с этим рисков.

Таким образом, облака, с одной стороны, повышают ИБ благодаря централизации ИТ-ресурсов, однородности инфраструктуры и выполняемых задач, за счет применения провайдерами более совершенных систем защиты, которые может купить и эксплуатировать далеко не каждая компания. С другой стороны, облака — это потеря контроля над данными (в прежнем представлении о контроле), отсутствие четкого понимания, где именно хранится информация, сложная организация защиты ИТ-систем, разделяемых между несколькими корпоративными клиентами, пользователи которых подключаются к облаку с мобильных устройств.

PC Week: Говорят, что распространению облачных сервисов мешает отсутствие доверительных отношений между провайдером и его клиентами. Однако необходимость в доверии между потребителями и поставщиками ИТ-ресурсов существовала и при дооблачных ИТ. Что же принципиально изменилось в этих отношениях с появлением облаков? Почему обострилась тема доверия? И на чем доверительность может строиться при переходе к облачной модели потребления ИТ?

С. К.: Вопрос доверия между провайдером услуг и потребителем стоял и будет стоять всегда, пока существуют такие отношения. На разных этапах развития ИТ решались разные ИБ-задачи с помощью разных технологий и ИБ-средств. Эксперты из компании Gartner к основным рискам использования облачных сервисов, связанным с архитектурными особенностями облаков, относят наличие привилегированных администраторов (суперпользователей); особенности организации хранения данных (разделение данных разных клиентов, учет юрисдикций стран, на территориях которых данные размещаются и обрабатываются); проблемы восстановления данных в случае сбоя, трудности журналирования действий пользователей; наличие для клиентов гарантий доступа к своим данным при изменении статуса провайдера. Уровень каждого их этих рисков в сервисной архитектуре в разы выше, чем в дооблачной.

Решение задач доверия между провайдером и клиентом лежит в двух плоскостях — технической и правовой. Первая позволит использовать ИБ-технологии независимо от места нахождения защищаемых данных, а вторая поможет четко определить ответственность провайдера при нанесении ущерба клиенту, установив нормативные требования к сохранности и доступности клиентских данных и обеспечению гарантий на этот счет.

По моим наблюдениям, динамика мирового и российского рынков облачных услуг свидетельствует о том, что облачные провайдеры не хотят брать на себя дополнительные обязательства и нести связанные с этим расходы, а клиенты требуют гарантий безопасности и компенсации в случае ущерба.

Очевидно, что этот конфликт интересов разрешить трудно. Думаю, решение для каждого конкретного клиента заключается в оценке своих индивидуальных рисков в сервисной модели и в их соотнесении с приемлемым уровнем.

PC Week: ЦОД — базис современных облачных ИКТ-сервисов. На что прежде всего обращают внимание разработчики ИБ-средств при обеспечении информационной безопасности ЦОДов, обслуживающих облака?

С. К.: В отчете IDC Russia Security Software в корпоративном сегменте особое внимание уделяется решениям по управлению инфраструктурой информационной безопасности, идентификации и доступа. Поскольку до самого последнего времени на рынке не было полноценных решений по защите виртуальных сред, то, естественно, это направление оставалось в тени. Уверен, что средства защиты виртуальных сред в самое ближайшее время займут место рядом с уже активно используемыми ИБ-решениями и станут обязательным компонентом любой облачной среды.

Раньше основной подход к защите ИТ-инфраструктуры ЦОДов заключался в построении многослойной периметровой защиты. С эволюцией технологий, трансформацией типов используемых устройств доступа и стиля поведения пользователей полностью изменились модели угроз. Сегодня даже защищенный по самым современным критериям ЦОД или облачная инфраструктура все равно могут быть скомпрометированы. Причиной может стать инсайдерская атака — например, месть суперпользователя.

В новой парадигме информационной безопасности вопрос, могут ли взломать вашу защиту или нет, трансформируется в другой вопрос: что делать, когда вас взломали, чтобы минимизировать потери и ущерб? Хорошим ответом на него может служить переход к такому средству защиты данных, как шифрование. При правильном использовании криптозащиты расшифровка данных в случае их хищения может потребовать от злоумышленников больших ресурсов — вычислительных мощностей, квалифицированных специалистов и времени. В такой ситуации хищение окажется для них невыгодным, а пострадавшая сторона с большой вероятностью может успеть активировать планы по минимизации и устранению ущерба.

PC Week: Как можно решить проблему безопасности облаков при их трансграничной природе?

С. К.: Когда мы говорим о проблемах безопасности, всегда следует иметь в виду два аспекта: технический и юридический. С юридическим все вполне прозрачно: пользователи должны четко представлять, какие гарантии дает провайдер. Если гарантийные обязательства по мнению клиента недостаточны, то ему следует искать альтернативы — менять либо провайдера, либо свои требования.

Что касается аспекта технического, то, как мне кажется, есть только один способ — шифрование. Использование криптозащиты и технологий управления безопасным хранением ключей шифрования может решить вопрос доверия между клиентом и провайдером облачных услуг. Эти методы позволяют минимизировать большую часть рисков, связанных с использованием облачных сред.

Cloud Security Alliance, Frost & Sullivan, Forrester Research и другие структуры в своих исследованиях относят задачи владения данными к наиважнейшим и предлагают для решения использовать сильную криптографию с системой управления ключами, внедренной в офисе клиента, обычно с применением специальных устройств Hadrware Security Modules (HSM) или Key Secure (KS). Если следовать их рекомендациям, то даже при нарушении политик обращения с клиентскими данными на стороне провайдера, например при утечке, ничего критичного для клиента не произойдет. Стоит помнить, что провайдер при этом должен нести ответственность за инцидент, т. е. клиент может рассчитывать на компенсацию ущерба. При правильно выбранных методах защиты стоимость расшифровки украденных данных должна быть сравнима с коммерческой стоимостью самих данных.

PC Week: Область ИБ жестко регулируется во всех развитых странах (хотя и на разных принципах). Чего ожидают разработчики облачной защиты от регуляторов вообще и от российских в частности?

С. К.: Все разработчики, включая и российских, хотят одного: четко регламентированных правил игры. От регуляторов ждут прозрачных требований к обеспечению безопасности облачных инфраструктур. ФСТЭК России в рамках технического комитета по стандартизации ТК362 при Федеральном агентстве по техническому регулированию и метрологии (Ростехрегулировании) на 2013 г. запланировал разработку двух стандартов по безопасности: для виртуализированных и облачных сред. Это, несомненно, даст импульс к появлению новых средств безопасности, ориентированных именно на облачные инфраструктуры.

PC Week: Каких технологических инноваций можно ожидать в ближайшее время в сфере обеспечения облачной ИБ?

С. К.: Мне как представителю глобальной компании, специализирующейся на разработке средств информационной безопасности и защиты данных, в частности, логичными видятся несколько шагов. Во-первых, я ожидаю появления сервисов, аналогичных SafeNet authentication Service (SAS), с которым стал ассоциироваться новый термин — Authentication as a Service (AAAS). Решения класса AAAS позволяют реализовать сервис строгой аутентификации из облака или как автономную систему для корпоративного ЦОДа.

Во-вторых, можно ожидать развития сервисов по предоставлению конечным клиентам виртуальных сред. Это связано с рядом уже упомянутых мною факторов, в первую очередь с желанием заказчиков экономить на капитальных затратах и с появлением полноценных решений по защите данных в виртуальных средах. Последнее позволяет снять барьер недоверия между клиентами и провайдерами облачных услуг, построить приемлемую для клиентов модель рисков. Наконец, должны начать набирать обороты решения по защите виртуальных хранилищ. Возможно, они станут следующим фактором, позволяющим снизить барьеры недоверия провайдеров и потребителей облачных сред.

PC Week: Спасибо за беседу.