Для современных средств защиты информации актуальны не столько различные киберугрозы, сколько требования ИТ и бизнеса – виртуализация, мобильность, сокращение издержек, а также регулятивные требования. К такому выводу пришли участники конференции IDC по информационной безопасности.

В Москве 3 марта прошла VII ежегодная конференция компании IDC по информационной безопасности - IDC IT Security Roadshow «Информационная безопасность 2010: защита непрерывности бизнеса». Мероприятие традиционно привлекло широкий круг экспертов по ИБ, директоров по ИБ и ИТ, руководителей экономических подразделений и генеральных директоров.

Вредоносное ПО, зараженные сайты и «зомбированные» компьютеры стали настолько распространенными явлениями, что разговорами о них сегодня вряд ли можно привлечь чье-то внимание. Однако, когда речь заходит о денежном эквиваленте ущерба от деятельности компьютерных злоумышленников, о потенциальной потере прибыли или клиентов, ИТ-директора начинают слушать. Аналитик IDC по рынку программного обеспечения Пётр Городецкий в своём выступлении отметил, что в последнее время резко выросло количество вирусов, шпионских программ.

Рост инцидентов приводит к тому, что от них зачастую страдают миллионы человек. Как отметил эксперт IDC, активное проникновение новых технологий даёт не только преимущества - за последнее время резко выросло число угроз для систем безопасности компаний. К рискам ведут рост количества мобильных пользователей и удалённых сотрудников, широкое распространение доступных сетей для доступа в Интернет, унифицированные коммуникации, социальные сети, виртуализация и «облачные» сервисы.

С ростом числа вызовов меняются и требования к системам безопасности, отмечает Пётр Городецкий. Ещё несколько лет назад достаточно было защиты внешнего периметра (антивирусы, антиспам, сетевые экраны, DLP), но сейчас необходима самая широкая, комплексная защита, которая включает управление идентификацией и доступом, управление инфраструктурой ИБ, управление шифрованием данных. Особую актуальность приобретает обеспечение соответствия стандартам ИБ, в том числе соответствие требованиям 152 ФЗ «О персональных данных». И хотя российские ИТ-директора в большинстве своём уже считают повреждение и утечку данных более серьёзной проблемой, чем вирусы, но, как выяснилось в ходе проведённого в конце 2009 г. опроса IDC, ни один респондент не упомянул о том, что в его компании соблюдается какой-либо стандарт защиты корпоративных данных - ни отечественный, ни зарубежный.

Информационная безопасность госструктур зачастую оказывается более сложным процессом, чем в коммерческом секторе. Поэтому большой интерес участников конференции вызвало выступление одного из ведущих ИТ-менеджеров США Дэна Лорманна, директора по технологиям штата Мичиган, в котором был представлен американский опыт. По словам докладчика, за последние три года ИТ-бюджет Мичигана был урезан на 20% (это около $100 млн). В такой ситуации – и здесь американский штат не уникален – начальство обычно в первую очередь требует сокращения расходов на ИБ, так как эта статья «невидима». «Мы должны убеждать руководство в выгоде решений по ИБ», - обратился Дэн Лорманн к коллегам-ИТ-директорам и привёл в пример работу системы контроля корпоративного трафика в Мичигане: даже несмотря на то, что 250 сотрудников открыли ссылку с вредоносным ПО, удалённый компьютер злоумышленников не смог взять сеть под контроль. Американский специалист также отметил, что 40% компаний из США используют аутсорсинг средств ИБ, что позволяет экономить до 20% на капитальных и до 35% на операционных затратах.

Говоря о современных подходах к обеспечению информационной безопасности, директор по ИБ Microsoft в России Владимир Мамыкин отметил, что по-прежнему система безопасности компании должна быть основана на доверенном стеке: необходимо использовать доверенное аппаратное обеспечение, работать должны доверенные люди. Уже много лет ключевым фактором обеспечения ИБ является защита данных, в том числе в Интернете.

Тема виртуализации и «облачных» вычислений обещает вновь, как и в 2009 г., быть одной из самых «горячих». Поэтому вполне ожидаемым было то, что на конференции IDC многие докладчики остановились на проблеме безопасности «облаков».

Владимир Мамыкин подчеркнул, что к «облакам» очень много вопросов с точки зрения ИБ. Например, пока нет надёжной защиты от хакеров: атакуя одно «облако», они сразу могут завладеть данными многих компаний, так как зачастую разделения на серверах не происходит.

Технический консультант компании Trend Micro Николай Романов заметил, что системы безопасности виртуальных систем пока сильно отстают от требований рынка. Существует несколько ключевых проблем безопасности «облаков». Во-первых, это направление защиты «снаружи внутрь», которое оказалось не готово к быстрым темпам роста виртуализации. Во-вторых, это защита данных – они мобильны, разбросаны и не защищены в «облаке». Следовательно, возникает идея новой концепции – виртуальный узел должен защищать сам себя.

Уход за виртуальной инфраструктурой должен быть направленным и согласованным со стратегией, говорит эксперт по безопасности компании IBM Денис Батранков.

По умолчанию виртуализация ухудшает безопасность: появляются новые возможности для атак, растут операционные риски, появляются риски снижения доступности, повышается сложность. Анализ безопасности и «безопасный» дизайн могут компенсировать это вкупе с использованием лучших современных практик.

Следующее поколение систем защиты виртуальной среды должно включать многоуровневую защиту, в нём должны быть уменьшены функции управления, модуль безопасности должен быть интегрирован с VMM.

Менеджер по развитию бизнеса компании Cisco Алексей Лукацкий рассказал, что при построении любой защищённой сети важно подходить к безопасности как к свойству, а не как к опции. Целью проекта защищённой сети должно быть любое устройство, любой сегмент, каждое приложение. Важны также: эшелонированность обороны, независимость модулей, двойной контроль, интеграция в инфраструктуру, соответствие нормативным требованиям.