На рынке не утихают споры о том, что будет означать для России курс на импортозамещение в сфере информационных технологий (ИТ) и какой путь самый быстрый и безболезненный — перевод информационных систем на СПО (свободное программное обеспечение) или создание собственной ОС на базе все тех же дистрибутивов Linux, способной заменить продукцию зарубежных вендоров.
При этом задолго до введения санкций в области ИТ перспективы использования СПО в России были подкреплены планом на
Главным препятствием для полноценной реализации планов по переходу на СПО в первую очередь являются недостаток квалифицированных кадров для внедрения и обслуживания таких систем, а также опасения, связанные с использованием «сложного и незнакомого» ПО. По сути, эти факторы актуальны не только для России, но и для других стран.
Также в соответствии с действующим законодательством при обработке персональных данных, государственной тайны и другой конфиденциальной информации должны использоваться сертифицированные средства защиты информации (СЗИ). Таким образом, возможный переход органов исполнительной власти на использование Linux создаст дополнительный стимул для развития рынка сертифицированных СЗИ для новой платформы.
Вместе с тем на российском рынке уже существуют локализированные дистрибутивы Linux со встроенными программными СЗИ, сертифицированными ФСТЭК России. Это системы ALT Linux СПТ, Astra Linux SE, ROSA, Mandriva Linux, GosLinux и др. Однако наличие встроенных механизмов защиты в дистрибутиве не означает, что нужно отказаться от применения дополнительных СЗИ, даже если они дублируют какие-либо возможности защитных подсистем. Для этого есть ряд объективных причин, связанных не только с возможными архитектурными недостатками и ошибками программирования, но и с наличием определенных ограничений, которые появляются при использовании специализированных дистрибутивов. Среди таких ограничений стоит выделить потерю гибкости системы ввиду невозможности изменения конфигурации и состава файлов из комплекта поставки после фиксации набора файлов при сертификации дистрибутива. Таким образом, пока издатель не сертифицирует обновления, их нельзя применять, что влияет и на степень надежности ОС. Также к невозможности аттестации объекта информации приводит установка приложения, вносящего изменения в общесистемное программное обеспечение. С другой стороны, наложенное СЗИ дает не только свободу при выборе дистрибутива и возможность расширения функционала ОС, но и наиболее полное выполнение мер, определяемых, в частности, приказами №№ 21, 17 и 31 ФСТЭК России. Наличие дополнительных защитных механизмов и функционала для управления системой защиты, напротив, значительно повышает уровень защищенности информационной системы.
Рассмотрим более подробно, что предлагает сегодня российский рынок сертифицированных средств защиты для ОС Linux.
Средства антивирусной защиты
В этой категории традиционно присутствуют два российских разработчика — «Лаборатория Касперского» и «Доктор Веб» с сертифицированными по линии ФСТЭК и ФСБ России антивирусными решениями.
Средства аутентификации
Здесь рынок делят семейства идентификаторов Рутокен и eToken.
Межсетевые экраны и средства организации VPN-соединений
В этом сегменте присутствуют как лидеры рынка — надежные и проверенные решения, так и решения, которые имеют узкий круг заказчиков:
- АПКШ "Континент«/СКЗИ «Континент-АП» для OC Linux (находится на сертификации)
- ViPNet Coordinator для Linux
- VPN/FW «ЗАСТАВА»
- ПАК «РУБИКОН»
- Программный комплекс «FORT»
Криптографическая защита данных
- КриптоПро CSP
Аппаратно-программные модули доверенной загрузки
Все представленные на рынке АПМДЗ различаются списком поддерживаемых ОС Linux и файловых систем.
- ПАК «Соболь»
- МДЗ-Эшелон
- ПАК «Аккорд-АМДЗ»
- ALTELL TRUST
- АПМДЗ «Максим-М1»
Средства защиты информации от несанкционированного доступа
Российский рынок предлагает два решения:
- СЗИ от НСД Secret Net LSP
- ПАК «Аккорд-Х»
Если первое решение программное и имеет модульную архитектуру, то второе представляет собой программно-аппаратное решение, состоящее из АПМДЗ и программного обеспечения для разграничения доступа.
Очевидно, что сертифицированных средств защиты, предназначенных для ОС Linux, отнюдь не такое большое количество, как для ОС Windows. Связано это с незначительным распространением СПО и малым числом специалистов, ориентирующихся на эту платформу, а в ряде случаев и с технологической сложностью реализации того или иного защитного функционала. Кроме того, список поддерживаемых ОС Linux у каждого производителя свой, что создает определенные трудности для создания эшелонированной комплексной системы защиты.
В настоящий момент нет четкого понимания того, что и как будет внедряться в федеральных органах. Однако «движение» законодательной базы и текущие инициативы государства должны вызвать увеличение спроса на СПО среди российских госструктур. Государство является крупнейшим пользователем ИТ, поэтому и перспективы внедрения СПО в этом сегменте довольно масштабны. Все эти факторы, несомненно, будут стимулировать развитие рынка сертифицированных средств защиты информации для ОС GNU/Linux.
Автор статьи — менеджер по продукту компании «Код Безопасности»
СПЕЦПРОЕКТ КОМПАНИИ «КОД БЕЗОПАСНОСТИ»
