Сергей Шерстобитов: В интересах государства помогать ИБ-компаниям

Несмотря на существенные изменения в продуктовых предложениях за последние годы, бизнес системных интеграторов, по мнению генерального директора Angara Security Сергея Шерстобитова, сохранился в традиционных границах и продолжает играть важную для заказчиков роль. Мы попросили нашего собеседника рассказать о том, что происходит сейчас на рынке, с точки зрения ИБ-интеграторов.

Напомните нашим читателям: чем занимается компания Angara Security?

С. Ш.: Компания Angara Security уже девять лет работает на российском рынке ИБ и входит в топ-25 крупнейших поставщиков ИТ-услуг в России. Она специализируется на предоставлении услуг по защите данных и обеспечению безопасной работы бизнес-систем, предотвращению кибератак и расследованию ИБ-инцидентов. 

Клиенты Angara Security — это организации финансового и государственного секторов, промышленные предприятия, нефтегазовые и энергетические компании, транспортные организации, торговые сети и крупные предприятия электронной торговли, операторы связи.

В чём состоит задача ИБ-интеграторов сегодня и как она изменилась в последние годы?

С. Ш.: На мой взгляд, роль интеграторов остаётся в прежних, традиционных границах. Она слабо изменилась по сравнению с тем, какой была три, пять и даже десять лет назад. 

Задача интегратора — услышать проблематику заказчика, предложить ему решение, показать, что оно может эффективно справляться с текущими задачами и удовлетворяет предъявляемым к нему требованиям по максимуму. 

Интегратор также должен предложить заказчику оптимальную экономическую модель для расчёта стоимости «под ключ». После принятия решения о покупке интегратор обеспечивает техническую поддержку и сопровождение.

После февраля 2022 года произошли существенные изменения спроса на рынке, которые должны были отразиться на продуктовом портфеле ИБ-интегратора. Так ли это на самом деле?

С. Ш.: Российский рынок стал более широким. С одной стороны, здесь до сих пор остаются в работе ряд решений зарубежных компаний. 2025 год уже близко, но он ещё не наступил, поэтому экспертиза по западным решениям по-прежнему востребованна на рынке.

С другой стороны, появились российские решения, которые уже достигли уровня мировых аналогов или приближаются к нему. Прежде всего это касается сетевых экранов (Firewall) и нового поколения сетевых устройств безопасности (NGFW). Это — сложные и тяжёлые с технологической точки зрения решения. Ещё в недавнем прошлом среди российских производителей они были представлены фрагментарно. Причина — конкурирующие с ними зарубежные продукты значительно опережали их по готовности ко внедрению и по уровню реализованной функциональности.

Сейчас ситуация изменилась в корне. Происходит бурный рост индустрии по названным направлениям. Российские разработчики накапливают опыт и дорабатывают свои продукты под клиентов. Это интересно даже тем, кто продолжает оставаться на западных решениях. Этот опыт полезен и для российских вендоров. 

Появились новые российские решения — это хорошо. Но как изменилась ситуация с точки зрения заказчиков?

С. Ш.: После того как российские компании остались без технической поддержки и возможности продления лицензий, хотя годами выстраивали долгосрочное партнёрство с зарубежными вендорами, на рынке возникло состояние стресса. Все предыдущие инвестиции были обнулены. 

Но одновременно был дан мощный импульс развитию российской ИБ-отрасли. В результате сформировался спрос на миграцию, причём во всех продуктовых нишах в области ИБ. 

Самым важным приобретением последнего времени стало то, что российские заказчики получили возможность активно диктовать свои требования к продуктам. Отношение российских заказчиков к большинству зарубежных поставщиков изменилось в корне.

Сейчас ещё сохраняется определённая эйфория от внезапно освободившегося рынка. Но в основном наблюдается более аккуратный и взвешенный рост. Формируется новое состояние конкурентности среди российских ИБ-решений. Кто-то собирает их сейчас из Open Source, кто-то создаёт самостоятельно с нуля, кто-то старается сделать свой продукт, опираясь на западные аналоги как на сравнительный образец.

Насколько безопасны новые российские ИБ-решения?

С. Ш.: Для ответа на этот вопрос прежде всего надо опираться на роль ФСТЭК России. Она усилила контроль за безопасной разработкой и делает многое для того, чтобы на борту российских продуктов устанавливались только проверенные пакеты, гарантирующие отсутствие вредоносного кода. 

Кроме того, стали активно развиваться отечественные сканеры исходного кода, средства его анализа на разных этапах жизненного цикла. Это важно, поскольку тренд создаёт задел, который будет способствовать естественному отбору новых решений. 

Уже появились плоды такого подхода. Большое внимание к безопасной разработке может помочь в будущем вывести российские решения на зарубежные рынки. 

Как показали результаты PHDays 2024, иностранные компании уже проявляют интерес к российским решениям в области ИБ. Почему? Оценив произошедшее в России, многие страны уже осознали свою заинтересованность в наличии альтернативы. Никто не хочет складывать яйца в одну корзину и сам попасть в ситуацию, которую пережила Россия после включения режима санкций против неё.

Этот процесс будет нарастать. Цифровизация стала всеобщим явлением, а произошедшие события — лакмусовой бумажкой, показавшей риски для всех участников мирового рынка.

Ещё недавно западные вендоры являлись для российских заказчиков знаменосцами мировых трендов в области ИБ. После ухода иностранцев могли возникнуть риски торможения российского рынка или ошибочного выбора направлений развития. Есть ли признаки чего-то подобного?

С. Ш.: Я бы не согласился с такой постановкой вопроса. Когда мы как интегратор внедряли зарубежные решения в России, предложения по доработке и функциональным изменениям, которые исходили от наших заказчиков, были более существенными и заметными. Российские заказчики демонстрировали высокий уровень зрелости. Крупнейшие инсталляции по некоторым продуктовым направлениям ИБ приходились именно на Россию. 

Это указывает на то, что целый ряд функциональных требований в области ИБ и отработка нагрузки формировались именно в России. В результате мы накопили опыт и знания, которые можем воспроизводить на локальной базе. 

Представление о том, что на Западе всё идеально, а у нас — постоянное отставание, действительно имело место до недавних пор. Но сейчас возникло ощущение накопленного опыта и готовности к самостоятельному развитию. К этому состоянию мы пришли под влиянием новой волны агрессивного внешнего воздействия.

За рубежом регуляторы активно продвигают облачные решения в области ИБ, пропагандируют принцип «нулевого доверия (Zero Trust). В России же развитие этих направлений идёт через инициативу самих компаний, а регулятор предпочитает наблюдать. Чем обусловлена эта разница?

С. Ш.: Если говорить об облачном направлении, то у нас было принято важное решение об отказе от использования зарубежных облаков как минимум на корпоративном уровне. Темпы развития облачного направления в России больше связаны с финансовыми особенностями, а не с оценкой необходимости этого направления. 

Особенность российского рынка состоит в том, что, несмотря на имеющуюся креативность и творческий потенциал, его финансовые возможности пока не настолько велики. Поэтому для продвижения нового продукта внутри России пока существует определённый потолок. 

С другой стороны, для международных компаний продвижение могут лоббировать на политическом уровне. При соразмерности издержек потолок роста для западных вендоров существенно выше. Полученные финансовые средства вендор может направлять на развитие продукта. 

Повышение инвестиций в развитие, разработку и совершенствование функциональности отечественных продуктов — эти признаки имеют сейчас важное значение для российских компаний.

Нужна ли поддержка государства и сообщества для выхода российских ИБ-продуктов на зарубежные рынки?

С. Ш.: Обязательно. Если компания (вендор, интегратор, сервис-провайдер) будет действовать в одиночку, не станет делиться своим опытом и наработками внутри комьюнити, то это сильно увеличит сроки её выхода на зарубежные рынки. Достичь такой цели будет гораздо сложнее.

Для компаний, которые выходят на зарубежный рынок впервые, важно получить положительный опыт и начать тиражировать свой продукт. Это непросто, потому что закрепиться на международном рынке трудно, пока нет репутации. В интересах государства — создавать условия и помогать ИБ-компаниям достигать больших высот, повышать ценность российских решений. 

Какие задачи для развития российского рынка ИБ сейчас наиболее актуальны?

С. Ш.: Нашей целью является развитие зрелости российского рынка. Мы стараемся продвигать понимание того, что кибербезопасностью необходимо заниматься серьёзно и без исключения любой компании, вне зависимости от её размера и специализации. Это уже стало понятно многим на бытовом уровне, но на уровне компаний пока часто ограничиваются только требованиями регулятора, а не полным набором ИБ-задач.

Внимание государства сейчас сосредоточено на КИИ и NGFW. Эти направления считаются наиболее важными для развития российского рынка ИБ. Но системная защита организации не ограничивается только этими нишами. Необходимы содействие государства в области применения средств сетевой и облачной безопасности, усиление контроля за безопасностью используемого кода, в том числе за соблюдением обязательных процедур контроля всей цепочки поставок ПО, автоматизация средств управления рисками. Также нужна поддержка усилий компаний в обучении сотрудников противодействию методам социальной инженерии. Такие меры могут стать отличным стимулом и для российского рынка ИБ, и для страны в целом. 

Попытки рынка подстроиться под регулятора иногда принимают искажённые формы. Хорошо ли такое рвение или его надо ограничивать?

С. Ш.: В качестве примера можно привести Японию. Там стандарт безопасности ISO 27001 когда-то стал обязательным для всех компаний. В результате он потребовал от всех участников рынка выстроить у себя хорошо структурированные системы менеджмента ИБ (ISMS). Это обеспечило основу для будущей эффективной реализации целостной стратегии развития ИБ в рамках всей страны. 

Это коснулось прежде всего защиты конфиденциальных данных от потери и неправомерного использования. Например, при получении госзаказа компании были обязаны подтвердить соблюдение этих требований. Для этого были перестроены бизнес-процессы, внедрены различные ИБ-механизмы, обеспечена актуализация ИБ-процессов. В результате Япония стала рекордсменом в мире по числу организаций получивших сертификат соответствия ISO 27001. А, например, в 2019 году был разрешён свободный обмен персональными данными между Японией и ЕС, поскольку имелись надёжные гарантии их защиты.

Российский закон о КИИ играет аналогичную роль. Это не только требование о соответствии единому стандарту в области ИБ, но ещё и внедрение методологии, которая определяет, что необходимо делать для достижения результата.

Сейчас этот закон затрагивает в первую очередь крупные, системообразующие компании. Но когда требования будут распространены и на компании другого уровня, когда появятся система оборотных штрафов и надлежащая защита персональных данных, это позволит существенно изменить ситуацию в ИБ к лучшему.

Но как защититься от имитаций при выполнении законодательных требований?

С. Ш.: Существуют определённые механизмы, которые позволяют эффективно бороться с отклонениями. Например, есть автоматическая фиксация инцидентов, есть требования по формальной отчётности. Их исполнение позволяет выстроить рынок в соответствии с требованиями и поставленными целями. 

Есть ли у компаний собственный интерес ко внедрению ИБ или всё задаёт регулятор?

С. Ш.: Если компания ещё не сталкивалась с прямым ущербом от действий злоумышленников, то её главный интерес — это рост репутации. Отсутствие инцидентов, достигнутое благодаря повышенному вниманию к ИБ, является конкурентным преимуществом для рынка. Это правило особенно сильно проявляется для компаний работающих в сфере финансов и ретейла.

Ко внедрению ИБ также подталкивает повышенная агрессивность в киберсфере против российских компаний. Ещё три года назад предлагаемые услуги ИБ далеко не всегда встречали интерес со стороны компаний, теперь многое изменилось. 

Защита корпоративных экосистем раньше не рассматривалась как необходимая. Каждый переживал только за своё предприятие и свой периметр. Сегодня люди понимают, что цепочки поставок, дочерние компании, подрядчики — все эти элементы оказываются вовлечёнными в процесс создания системы ИБ. Интеграторы помогают формировать такое понимание. 

Теперь крупные компании, вертикально интегрированные холдинги сами выстраивают свои правила безопасности. Они опираются на регуляторные требования и учитывают специфику своих организаций. 

Поменялись не только уровни риска, но и целеполагание. Пока это затронуло крупный сегмент, но постепенно процесс будет захватывать средний бизнес, а потом — и малый. 

Как это сказалось на работе ИБ-интеграторов?

С. Ш.: Если речь идёт об ИБ-интеграторах широкого спектра, имеющих большое количество практик, в том числе занимающихся проведением пентестов, проектированием ИБ-защиты для сложных систем, то у них появилось понимание, что они также становятся объектом риска быть взломанными. Поэтому ИБ-интеграторы тоже должны соответствовать новым требованиям.

Некоторые ИБ-вендоры предлагают собственные услуги для выстраивания корпоративных систем безопасности. Не порождает ли это конкуренцию с ИБ-интеграторами?

С. Ш.: Мы предпочитаем находить компромиссы. Это особый навык интегратора: приспосабливаться к условиям меняющегося мира, встраиваться в различные экосистемы. Вендоры стараются переходить с поставок лицензий на длинные сервисные деньги. Для кого-то из заказчиков такие экосистемы являются преимуществом, с точки зрения администрирования и делегирования ответственности. С другой стороны, возникает высокий уровень зависимости от выбранной экосистемы. 

По сравнению с сервис-провайдерами у ИБ-интеграторов больше свободы. Мы находимся «в моменте» и имеем опыт работы с разными решениями в разных условиях при разных нагрузках, обладаем более широким кругозором и пониманием того, что происходит в мире кибербеза вообще. Пожалуй, и у заказчика будет в этом случае больше свободы.

Только имея возможность независимого сравнения, заказчик может выбрать наиболее оптимальный для себя вариант. Самое важное — принять стратегическое решение и сделать ставку на тот или иной проект. 

И ещё один важный аспект: стоит учитывать этап развития рынка. Если раньше мы (заказчики и интеграторы, поставщики решений ИБ в России) считали, что достаточно одного антивируса или межсетевого экрана, то сегодня в мире стало нормой использование двух или трёх решений от разных вендоров. Мы к этому придём, это вопросы экономической модели, стоимости риска и количества денег, которые заказчики готовы вложить в безопасность.

Как вы оцениваете подход, при котором заказчик дублирует ИБ-функции, привлекая одновременно несколько разных решений от разных вендоров? Повышает ли это надёжность ИБ-экосистемы? Встречаются ли подобные практики на российском рынке?

С. Ш.: Компании, естественно, стремятся к повышению надёжности ИБ-решений. При развитии зрелости рынка и готовности инвестировать этот тренд начинает доминировать. Например, среди крупных компаний в странах Персидского залива уже три-пять лет назад считалось нормой использование двух или даже трёх конкурентных ИБ-решений. Это служило гарантией более высокой безопасности для заказчика. 

В России пока доминирует подход, когда для каждой ИБ-задачи выбирается отдельное решение: один антивирус, один межсетевой экран; это считается достаточным. Но после изменения экономической модели и появления достаточных денежных средств что-то похожее в области ИБ может произойти и в России. 

Роль интегратора в этом случае будет состоять в том, чтобы посчитать затраты и предложить компании варианты развития их системы ИБ. Выбор оптимального варианта лежит на заказчике.

Сергей, спасибо за интервью! Желаем вашей компании успехов и процветания!