Конструктивная безопасность строится на новых принципах: требования по части защищённости учитываются уже на этапах создания архитектуры и дизайна системы. Давайте вместе с экспертами AM Live разберёмся, какие принципы лежат в основе подхода Secure by Design и из чего состоит процесс обеспечения конструктивной кибербезопасности.
- Введение
- Понятие конструктивной безопасности
- В чём связь между Secure by Design, DevSecOps и харденингом
- Как оценить конструктивную безопасность?
- Составляющие удачного проекта по конструктивной кибербезопасности: мнения экспертов
- Прогнозы развития конструктивной кибербезопасности
- Выводы
Введение
Конструктивная кибербезопасность — это концепция, которая подчёркивает важность интеграции принципов ИБ на всех этапах разработки и эксплуатации цифровых систем. В условиях стремительного роста технологий и увеличения числа киберугроз подход к безопасности как к отдельной функции становится устаревшим. Взамен конструктивная кибербезопасность предполагает, что защита должна быть встроена в саму архитектуру и быть органической частью проектирования систем, а не добавляться на этапе тестирования или эксплуатации.
Рисунок 1. Эксперты AM Live
Спикеры нашего эфира:
- Андрей Духвалов, директор департамента перспективных технологий, «Лаборатория Касперского».
- Дмитрий Правиков, заведующий кафедрой КБ КВО, Губкинский университет.
- Павел Куликов, директор по кибербезопасности, «Атом».
- Владимир Карантаев, к. т. н., лидер центра экспертизы практической кибербезопасности индустриальных систем, центр НТИ МЭИ.
- Александр Дубинин, эксперт по информационной безопасности, группа компаний ЯДРО.
Ведущим и модератором встречи выступил Илья Шабанов, генеральный директор «АМ Медиа».
Понятие конструктивной безопасности
Конструктивная кибербезопасность — это подход, при котором меры безопасности предусматриваются на уровне архитектуры и дизайна системы. Есть мнение, что он противопоставляется традиционному подходу, при котором безопасность становится наложенным средством, а не внутренней частью системы.
Дмитрий Правиков:
«Конструктивная кибербезопасность означает правильный подход к разработке и построению всего продукта, начиная с формулирования требований. Необходима последовательность правильных шагов, теоретическая основа. Это не новое понятие, разработки в этом направлении начались ещё в 70-х годах прошлого века».
Дмитрий Правиков, Губкинский университет
Илья Шабанов озвучил предположение, что конструктивная кибербезопасность больше важна для физических объектов и систем (заводы, фабрики, энергетическая промышленность). Владимир Карантаев считает, что эта концепция важна для создаваемых, проектируемых или проходящих глубокую модернизацию систем, а также тех, в которых трудно применить накладные средства. В условиях агрессивной информационной среды лучше всего обеспечат безопасность встроенные средства защиты.
Александр Дубинин рассказал о теории надёжности. Её отечественный вариант был разработан для оборудования, зарубежный — для программного обеспечения. Там есть такое понятие, как «вероятность безотказной работы системы». Её величина зависит от работы всех компонентов, то есть чем их больше и чем сложнее каждый компонент, тем ниже вероятность безотказной работы, а соответственно, и хуже безопасность.
Александр Дубинин, группа компаний ЯДРО
Павел Куликов:
«Для создаваемых продуктов безопасность является конкурентным преимуществом. Инвесторы всё чаще интересуются, насколько безопасен стартап».
Результаты первого опроса среди зрителей эфира показали, насколько они знакомы с понятием конструктивной кибербезопасности. Теоретически понимают, о чём речь, 28 % респондентов, планировали узнать ответ в эфире 24 %, что-то слышали о таком подходе 18 %.
Рисунок 2. Что вы знаете о конструктивной кибербезопасности?
Дмитрий Правиков, комментируя результаты опроса, объяснил, почему до сих пор конструктивная кибербезопасность не так популярна и знакома аудитории, хотя разработки в этом направлении идут уже около 50 лет. Он считает, что российские специалисты переняли от европейских коллег тенденцию отказываться от обеспечения безопасности на этапе создания системы, потеряв при этом эффективные на тот момент наработки.
Андрей Духвалов утверждает, что продукты со встроенной безопасностью дороже и не все за это готовы платить, поэтому концепция пока недостаточно распространена.
Владимир Карантаев добавил, что сейчас крупные корпорации начинают требовать от стартапов хотя бы минимального уровня встроенных процессов безопасной разработки (статика, композиционный анализ). Пока это — не полный набор подходов, но минимальная база уже есть.
Владимир Карантаев, центр НТИ МЭИ
Александр Дубинин уточнил, что объект всегда рассматривают в среде его функционирования. Если у него нет чётко определённых функций и сценариев использования, то нельзя говорить о его безопасности и надёжности.
Илья Шабанов считает, что нужно учесть модель имеющихся угроз и известные уязвимости. Безопасность на уровне архитектуры позволяет защититься от возможных опасностей в будущем или минимизировать их.
Илья Шабанов, «АМ Медиа»
Владимир Карантаев:
«На каком этапе можно сделать модель угроз? Нужно как можно раньше получить чёткое представление о предполагаемом нарушителе (потенциал, мотивация, инструментарий)».
Александр Дубинин добавил, что на потребительском рынке не знают, в чём заключается безопасность. Нужно объяснить, в чём выгода покупки более дорогого продукта. То же касается продуктов для корпоративного рынка: нужно доступно объяснять те преимущества, которые даёт безопасность.
В чём связь между Secure by Design, DevSecOps и харденингом
Павел Куликов:
«Есть три основных составляющих жизненного цикла продукта: архитектура его самого и той среды, в которой он будет эксплуатироваться, набор практик (способ реализации разрабатываемого продукта в конкретной инфраструктуре), харденинг (создание конечного образа инфраструктуры). Наделение самого продукта свойствами безопасности проходит от начала (идеи, архитектуры) до реализации (харденинга, среды, применения DevOps)».
Павел Куликов, электромобильный бренд «Атом»
К эфиру подключился Дмитрий Пономарёв, который пояснил, что чёткого определения этих терминов нет, поэтому трудно выделить разницу между ними.
Если говорить о Secure by Design, то перевод «конструктивная безопасность» лучше всего отображает смысл концепции. DevSecOps имеет много разных определений, нет единого варианта. Харденинг относится главным образом к конфигурациям, которые обеспечивают безопасную работу системы или порождают безопасный код. Связь между ними — это культура качественной и безопасной разработки и эксплуатации программного обеспечения. ФСТЭК России, по словам спикера, всё больше говорит сейчас о том, что безопасность — это показатель качества.
Перечисленные термины объединены качеством проектирования и создания системы, а также обеспечения защищённости её эксплуатации.
Дмитрий Пономарёв, сотрудник НТЦ «Фобос-НТ» / ИСП РАН / МГТУ им. Н. Э. Баумана
Как оценить зрелость архитектуры с точки зрения конструктивной кибербезопасности?
Владимир Карантаев:
«Нужно оценивать готовность отрасли к применению механизмов безопасности. Должен быть баланс между максимизацией защищённости, правильной архитектурой и применением в реальном мире».
Андрей Духвалов дополнил сказанное упоминанием о промышленной разработке, где ГОСТ декларирует фазы разработки, но не все компании могут их реализовать, в первую очередь из-за того, что это дорого.
Андрей Духвалов, «Лаборатория Касперского»
Дмитрий Правиков уверен, что написание концепта на формальном языке — это уже хороший, большой шаг. Александр Дубинин считает, что главный показатель корректности архитектуры — наличие описания, понятного всем участникам команды.
По итогам второго опроса выяснилось, что большинство зрителей эфира (71 %) назвали самой важной составляющей именно безопасную архитектуру. За минимизацию и разграничение привилегий высказались 10 %, за защиту данных при передаче и хранении — 7 %, за способность защититься от будущих угроз — 6 %. Сокращение ошибок в коде не выбрал никто.
Рисунок 3. Какая из составляющих конструктивной кибербезопасности кажется вам наиболее важной?
Как оценить конструктивную безопасность?
Владимир Карантаев описал свой подход к оцениванию конструктивной безопасности: система поддержки принятия решений плюс цифровые двойники. С помощью экспертных оценок можно рассчитать прогнозы по вероятным угрозам на жизненном цикле. Это — эффективный подход для определения стоимости кибербезопасности на конкретном объекте. «Безопасность становится основным продуктовым свойством в межотраслевом масштабе», — считает он.
Дмитрий Правиков рассказал об опыте разработки методики самотестирования, которая проходила испытания в одном стартапе. В ходе тестирования выяснилось, что требуются определённые усилия и затраты, но они не носят глобального характера. Удалось организовать внутреннюю дисциплину, успешно перестроить процессы. Пока это — не полное соответствие требованиям ФСТЭК России, но вполне реальная альтернатива для уверенности в безопасности определённых продуктов.
Павел Куликов:
«Если ты создаёшь продукт будущего, но в нём нет безопасности, то при первом же инциденте он станет неактуальным».
Как доказать, что тратиться на качественную безопасность выгодно?
Андрей Духвалов уверен, что лучшее доказательство — рынок. Когда он будет выбирать разработчиков, у которых реализовано свойство безопасности, остальные поймут необходимость. С одной стороны, это интуитивно понятный выбор, но пока он не реализовывается. Самая сложная задача — поменять отношение к важности информационной безопасности.
В опросе на тему «Какое из качеств конструктивной кибербезопасности вы считаете ключевым?» большинство отдали голоса за снижение рисков от атак и уязвимостей. Варианты «Повышенный уровень доверия пользователей», «Экономия на последующей доработке системы» и «Затрудняюсь ответить» набрали по 8 % голосов, а «Соответствие законодательству и стандартам» — 5 %.
Рисунок 4. Какое из качеств конструктивной кибербезопасности вы считаете ключевым?
Составляющие удачного проекта по конструктивной кибербезопасности: мнения экспертов
Владимир Карантаев:
«Самое главное — заложить безопасность как продуктовое свойство».
Павел Куликов:
«Обратить внимание на дизайн (архитектуру), посмотреть критически».
Дмитрий Правиков:
«Формирование школ разработчиков по созданию безопасных продуктов».
Андрей Духвалов:
«Выиграет тот, кто научится делать продукты, которым доверяют потребители».
Александр Дубинин:
«Безопасность как неотъемлемое свойство продукта. В требованиях всё должно прослеживаться, обязательная прозрачность от концепции к сценариям использования».
Опрос об отношении к конструктивной безопасности по итогам эфира показал, что 57 % зрителей будут разбираться и изучать этот вопрос дальше, 19 % убедились, что всё делают правильно, а 18 % будут внедрять методологию, озвученную экспертами. Считают концепцию интересной, но избыточной для себя 5 % голосовавших.
Рисунок 5. Что вы думаете о конструктивной кибербезопасности после эфира?
Прогнозы развития конструктивной кибербезопасности
Андрей Духвалов обобщил мнения коллег:
«В ближайшем будущем на рынке будет востребовано доверие, которое сейчас постепенно растёт. Компаниям нужно вкладываться в разработку курсов, шаблонов проектирования, оказание услуг для разработчиков. Чем больше ресурсов мы вложим, тем ниже будет порог входа для остальных и выше уровень доверия в индустрии».
Выводы
Конструктивная кибербезопасность представляет собой подход, который акцентирует внимание на создании безопасной цифровой среды через интеграцию безопасности на всех этапах разработки и эксплуатации информационных систем. Он предполагает не только защиту от угроз, но и активное участие всех заинтересованных сторон — от разработчиков до конечных пользователей — в процессе обеспечения защищённости.
Внедрение конструктивной кибербезопасности требует комплексного подхода, включающего в себя технические, организационные и кадровые аспекты. Эффективная киберзащита невозможна без постоянного обучения и повышения осведомлённости пользователей, а также без внедрения современных технологий и методов защиты. Создание культуры безопасности и проактивное управление рисками помогут организациям не только минимизировать последствия кибератак, но и повысить общую устойчивость цифровой инфраструктуры. В условиях постоянного роста киберугроз конструктивная кибербезопасность становится необходимой частью стратегического управления и развития бизнеса.
Телепроект AM Live еженедельно приглашает экспертов отрасли в студию, чтобы обсудить актуальные темы российского рынка ИБ и ИТ. Будьте в курсе трендов и важных событий. Для этого подпишитесь на наш YouTube-канал. До новых встреч!
