В ЦМТ Москвы открылся второй день работы Positive Hack Days 10 – самого крупного мероприятия в России по практической кибербезопасности, собравшего на своей площадке ведущих российских и зарубежных разработчиков в области кибербезопасности и белых хакеров, представителей государственной власти, CIO и CISO крупнейших отечественных и международных компаний, ведущих специалистов банков, телекоммуникационных, нефте - и газодобывающих, промышленных и ИТ-компаний. Мероприятие проходит в гибридном формате, все трансляции также можно посмотреть на странице конференции в режиме Live.
21 мая состоялась пленарная сессия, в ходе которой собственники компаний-вендоров, руководители профильных подразделений государственных корпораций и другие участники обсудили состояние российской кибербезопасности и практические вопросы ее развития на внутреннем и внешнем рынке, уровень защищенности компаний, новейшие нормативные требования, а также работу в условиях санкций и импортозамещения. В заcедании приняли участие Максут Шадаев, министр цифрового развития, связи и массовых коммуникаций РФ, Виталий Лютиков, заместитель директора ФСТЭК России, Александр Муранов, заместитель председателя правления Газпромбанка, Владимир Сакович, глава Skolkovo Ventures и Айдар Гузаиров, генеральный директор Innostage. Модератором сессии выступил Юрий Максимов, генеральный директор Positive Technologies.
Мир находится в турбулентном состоянии, растет геополитическая напряженность, кибератаки растут семимильными шагами, появляются новые и новые формы мошенничества. Никто в мире не ставит под сомнение, что российские инженеры и хакеры сегодня находятся в топе специалистов. Юрий Максимов обратился к участникам дискуссии с вопросом: что же ждет Россию? Смогут ли когда-то наши специалисты в области информационной безопасности работать на опережение? Можем ли мы, как страна, как индустрия защитить себя, выйти на лидирующие мировые позиции и экспортировать свою продукцию?
Максуд Шадаев считает, что темпы цифровизации в России и в мире в последнее время резко возросли, в том числе, в связи с пандемией. Наше государство запускает множество новых цифровых проектов в здравоохранении и в секторе государственных услуг. Однако, несмотря на проникновение цифры во все сервисы и все сферы жизни, киберугрозы возрастают опережающими темпами и требуют новых решений. Кибербезопасность стала одним из главных факторов в международных отношениях, мы постоянно слышим об этом в СМИ. Растет «бытовая» киберпреступность, особенно высокие цифры показал 2020 год. Данная проблематика регулярно обсуждается на совещаниях президента России, в правительстве РФ, в Совете безопасности. По словам Шадаева, летом текущего года должен быть принят целый комплекс утвержденных мер мобилизации и стимулирования отрасли ИТ-безопасности.
«Мы постоянно говорим о том, что результатоориентированную кибербезопасность можно построить на отечественных решениях, при этом, по факту, основные инвестиции идут, в основном, в американские продукты». Александр Муранов объяснил, что на сегодняшний день в розничных банковских продуктах все основные решения уже построены на российских софтах. Можно утверждать, что в российском банковском секторе де-факто сформировался отечественный софт. Глобальный доступ к импортным продуктам завершился фактически в 2014 году, с введением санкций. По его мнению, весь банковский сектор, не только топ-10, инвестирует в отечественное ПО и достаточно хорошо решают проблемы кибербезопасности: «Абсолютно уверен, что можно построить индустрию кибербезопасности только на отечественных продуктах, причем в обозримом будущем. Для этого новые разработки (образцы) должны доводиться до стадии промышленного производства. Не стоит ставить конкретные сроки и полностью отказываться от западных – надо учиться ими управлять!».
Владимир Сакович считает основной проблемой отрасли некачественную подготовку специалистов в ВУЗах: «Движения есть, при поддержке Минцифры проработан вопрос создания технологических центров на базе УМО, что существенно поможет подготовке специалистов в дальнейшем». Вторая проблема – это взаимодействие с заказчиками продукта. Заказчик должен понимать, что его задача – обеспечение безопасности не в соответствии с регламентом проверяющих органов, а в реальности. Третья проблема – это разработчики. Они должны слушать заказчиков, бороться за качество, учитывать пользовательское удобство. Следующая проблема состоит в том, что, увлекаясь противодействием угрозам, специалисты часто забывают о необходимости дальнейшего администрирования продукта и пользовательской поддержке. За рубежом данные моменты деятельности достаточно сильно развиты, вся продукция разрабатывается исключительно для удобства пользователя.
Виталий Лютиков не согласен с позицией, что нужно полностью отказываться от зарубежного ПО: «На российском рынке недостаточно хорошая конкуренция, а при ее отсутствии ее прогресса не будет. Нужно анализировать, где могут содержаться риски, а не полностью отказываться от зарубежных продуктов». Максуд Шадав, в свою очередь отметил: «У нас всегда две крайности – либо всё разрешить, либо всё запретить». Но главное на сегодня - более продуманно относится к появлению наших конкурентоспособных разработок, которые в перспективе заменят зарубежные продукты.
В первую очередь, нужно создавать условия для работы специалистов, считает Айдар Гузаиров. Недавно компания Innostage провела аналитическое исследование, чтобы ответить на вопрос: «Сможем ли мы создать конкурентные продукты, не используя зарубежные?» Результаты показали, что это возможно. Все участники рынка ждут ответов регулятора. Основная проблема в том, что индустрия не консолидируется внутри себя, постоянно находится в ожидании решений регулирующих органов, но при этом не инициирует свои предложения и не отстаивает свои идеи. Если индустрия будет вести консолидированную политику, по словам Гузаирова, высоких результатов можно будет достигнуть в течение одного - трех лет.
Ландшафт российских игроков в секторе кибербезопасности крайне узок, по сути, это одни и те же игроки из года в год. Что необходимо сделать, чтобы отечественные стартаперы не уезжали за рубеж и не работали на западные компании? Владимир Сакович объясняет, что во всем мире основными заказчиками продуктов кибербезопасности являются крупные корпорации. Их основной запрос – это комплексность и надежность решений. Основной проблемой стартапов остается отсутствие достаточного фондирования, финансовой подушки: «Маленьким стартапам сложно реализоваться по причине отсутствия средств. И даже крупные компании в области кибербезопасности не всегда достаточно сильны финансово, чтобы выдерживать конкуренцию с зарубежными конкурентами. Недостаток инвестиционного механизма в нашей стране, отсутствие биржевых инструментов является серьезным минусом».
Ежегодно, по словам Саковича, на российском рынке появляется 10-15 новых игроков, но мало кто из них сохраняет свои позиции (по той же причине недостатка финансов). Внутри рынка основные заказы распределяются в основном по крупным игрокам. Если посмотреть на рынок предложения - он разделен на крупных интеграторов, с одной стороны, и мелких стартаперов, с другой стороны. На практике, чаще всего, перспективные стартапы поглощаются крупными компаниями.
Инвестиционная инфраструктура поздних стадий (возврат вложенных средств в продукт на поздних сроках) – это тоже задача, которую нужно реализовать. Александр Муранов рассказал, что в 2020 году пять ведущих российских банков задумались о создании фонда для поддержки разработчиков отечественных продуктов в секторе ИТ-безопасности. По его словам, следующим шагом может стать создание инвестиционных структур государственно-частного партнерства. Муранов обратил внимание участников на тот факт, что столь серьезная тематика, какой является кибербезопасность, крайне редко обсуждается в ходе экспертных дискуссий и в средствах массовой информации.
Максим Лютиков, утверждает, что на практике у стартапов не существует прямого доступа на рынок. С одной стороны, это проблема, требующая решения. Однако, с другой стороны, сотрудничество со стартапом, состоящим, как правило, не более чем из шести сотрудников, несет в себе определенные риски. Например: стартап предлагает ценное решение по защите. Если данный продукт будет внедрен в работу организации, то в дальнейшем существуют слишком большие риски отсутствия административной поддержки. Через полгода сотрудники стартапа могут уволиться. Поэтому ни одна компания, а тем более государственная структура не готова нести подобные риски. Таким образом, по его мнению, задачей является именно создание продуманного механизма поддержки продвижения продукции стартапов и ее применения.
Владимир Сакович считает, что основой развития киберпреступности является низкая цифровая грамотность населения, а также отсутствие элементарной информации о способах ее предотвращения. В последнее время резко возросло телефонное мошенничество. Сегодня регулирующие органы пытаются найти методы борьбы с данной формой преступности. Например, рассматривается вопрос внедрения элементов искусственного интеллекта в телефонию. Однако, параллельно возникает вопрос: не принесет ли это еще больший вред в виде использования личных данных человека? Максуд Шадаев заверил участников, что пока министерство не намерено инициировать внедрение подобных решений в жизнь, поскольку уверено, что это вызовет отказы пользователей.
Юрий Максимов заметил: «Создается впечатление, что ни общество, ни власти не готовы к радикальны решениям. Пока первые лица государства, компаний не начнут решать проблемы кибербезопасности - ничего не изменится». На сегодняшний день самым главным вопросом является формирование сознательности у руководящих лиц. Эксперты должны регулярно, в цифрах информировать руководителей о том, какой большой ущерб могут принести действия кибермошеников. Айдар Гузаиров уверен, что даже в структурах ФОИВ не выстроен диалог между первым лицом и специалистами по кибербезопасности. Без такого диалога, без понимания первыми лицами ключевых решений информационной безопасности будет крайне сложно достичь качественных результатов.