«Область кибербезопасности в России — одна из самых зрелых»
Чего не хватает российским разработчикам промышленного ПО и почему уход западных вендоров стал для них благом
«Не было бы счастья, да несчастье помогло». Эту мысль в том или ином формате транслировали участники круглого стола, посвященного импортозамещению в вопросах информационной безопасности в промышленности в реалиях сегодняшнего дня. Мероприятие провело «Реальное время» в рамках TatOilExpo 2022. В диалоге участвовали представители Минцифры РТ, разных отраслей промышленности и специалисты из ИТ-компаний. Собеседники обозначили основные «боли» импортозамещения промышленного ПО в части кибербезопасности, высказали свои надежды и опасения, но главное — сообщили, что катастрофы нет. Ведь в России традиционно очень мощно развита кибербезопасность, а отечественные разработчики предлагают широкий спектр программного обеспечения для предприятий разного профиля. И теперь они получают полноценный «зеленый свет».
Количество кибератак выросло, но промышленность была к этому готова
Тренд на импортозамещение и на цифровизацию сегодня царит в повестке дня промышленных производств по всей России. Вопрос кибербезопасности встает при этом все острее. До сих пор большая часть «железа» и программного обеспечения поступали из-за рубежа, и сегодня это становится новым вызовом — как для промышленных предприятий, так и для разработчиков ПО и технических решений в этой сфере. Об этом и поговорили собравшиеся:
- Алексей Бычков, начальник отдела информационной безопасности Минцифры РТ;
- Андрей Шаронов, руководитель отдела информационной безопасности технологических систем ICL СТ;
- Ильдар Лукманов, заместитель директора по информационным технологиям АО «Татспиртпром»;
- Алексей Индейкин, руководитель проектов SearchInform;
- Марат Хамидуллин, главный специалист УЭБОиР АО «ТАИФ»;
- Айрат Мухаметзянов, генеральный директор ООО «РТСИМ».
В Татарстане работают 14 крупнейших предприятий, относящихся к I и II классу техногенной опасности. Поэтому правительство республики начало прорабатывать вопрос кибербезопасности еще задолго до февральских событий. Но и 14 марта на заседании Совбеза РТ президент республики Рустам Минниханов дал ряд поручений органам госвласти и предприятиям республики. Задачей Минцифры становится охватить организационной работой как можно больше предприятий республики. Алексей Бычков отчитался:
— Поручения президента были отработаны вовремя и в срок. Налажен обмен информацией между предприятиями и Минцфры, создан оперштаб. Все рекомендации регуляторов выполнены. И если возникают какие-либо вопросы, мы сообща пытаемся их решать.
Со своей стороны, представители промышленности, приглашенные на круглый стол, подтвердили слова чиновника. Так, Ильдар Лукманов объяснил, что все базовые системы безопасности были реализованы на предприятиях АО «Татспиртпром» еще задолго до февраля 2022 года. Потом их нужно было только частично адаптировать, дополнительно обучить сотрудников и провести ряд тестирований. Тесты показали: процент уязвимостей невелик и с ними удалось справиться.
Марат Хамидуллин тоже смотрит на вопрос с оптимизмом. В первую очередь он обратил внимание присутствующих на то, что область кибербезопасности в России — одна из самых зрелых, в отличие от, скажем, разработки. И это не говоря уже о том, что в ГК «ТАИФ» всегда культивировался принцип эшелонированной защиты — здесь она никогда не строилась только на импортных или, напротив, только на отечественных решениях.
— Да, с уходом импортных вендоров возникли вопросы, но повторюсь, защита эшелонированная, и наши средства смогли не пропускать угрозы. Однако количество кибератак выросло, как и у всех. Думаю, все коллеги сегодня работают в этой парадигме и уже научились реагировать, — рассуждает Хамидуллин.
Камень преткновения — АСУ ТП
Андрей Шаронов из ICL подтвердил: к 24 февраля предприятия были в большинстве уже готовы к тому, что нужно усиливать кибербезопасность. С 2018 года на многих промышленных производствах республики уже было проведено категорирование, внедрение различных проектов по обеспечению безопасности — так что врасплох застигнуты были немногие. Правда, к настоящему моменту вырос запрос на проведение анализа уязвимостей, и это стало новым трендом: предприятия хотят понять, где в их безопасности слабые места, протестировать свою инфраструктуру на предмет взлома. А вот где импортозамещение проседает — так это в части разработки автоматизированных систем управления технологическим процессом (АСУ ТП).
— Шапкозакидательские настроения сейчас тоже неуместны, — предупредил Шаронов. — После ухода больших вендоров АСУ ТП некоторые крупные проекты не понимают, что им делать дальше. Не секрет, что Россия по этому направлению отставала сильнее, чем по продуктам информационной безопасности. Именно на моменте создания и модернизации АСУ ТП у некоторых предприятий возникают проблемы. Потому что это крупные, очень серьезные мероприятия, на наших решениях сделать это не так-то просто. Но ведь защита критической инфраструктуры (КИИ) идет в связке с АСУ ТП! Соответственно, и внедрение кибербезопасности в таких случаях откладывается до этого момента: «Ребята, мы решим вопрос с АСУ ТП, а потом позовем вас и сделаем все, что нужно».
Действительно, сейчас большим стимулом для российских разработчиков становится уход западных вендоров АСУ ТП. Нужно разрабатывать новые решения, но какими они будут? Марат Хамидуллин из ГК «ТАИФ» предполагает: может быть, конкретно в этот вопрос нужно более плотно включаться госорганам?
— Коллеги не дадут соврать: периодически по весне к предприятиям приходили запросы из разных министерств и регуляторов: какие АСУ ТП установлены на ваших производствах и что можно предложить взамен? Предприятия отправили свои данные и предложения, а вот ответа не последовало. И мы до сих пор не знаем: какой же план у них был, какая дорожная карта?
Алексей Бычков на правах единственного чиновника на круглом столе ответил: Минцифры РТ собрало данные и отправило их в федеральные органы, в чьих недрах уже и идет дальнейшая проработка. Однако в защиту госорганов напомнил: с марта предприятиям уже рассылаются подробные рекомендации по поводу того, что делать, если обнаруживается та или иная уязвимость. Этого, по мнению Минцифры, должно хватить до тех пор, пока российские разработчики не представят рабочие решения по многострадальному АСУ ТП. Кроме того, Бычков обратил внимание на еще одну сложность: некоторые предприятия в силу своей специализации используют весьма специфические АСУ ТП, программное обеспечение для которых очень сложно подобрать.
«Российские производители ПО рассматривают происходящее как удивительный шанс, который выпадает раз в жизни»
Айрат Мухаметзянов из РТСИМ, напротив, большой проблемы в сложившейся ситуации не видит. А видит, наоборот, широкие возможности: разработчики российского ПО получают от ухода иностранных вендоров только плюсы. Ведь долгие годы крупные компании-заказчики не обращали внимание на отечественные решения, выбирая крупных вендоров с большими бюджетами и огромным кредитом доверия.
— И то, что происходит сейчас, российские производители ПО рассматривают как удивительный шанс, который выпадает один раз в жизни! — говорит Мухаметзянов. — Мы видим, что ниши, традиционно занятые иностранными компаниями, открываются для нас большими возможностями. Мы получаем запросы со всех уголков страны, от разных компаний. И такие же запросы получают наши коллеги. Нужно просто набраться терпения. Умных людей в стране всегда было много. «Не было бы счастья, да несчастье помогло» — ситуацию надо воспринимать и в таком контексте тоже. Поэтому нашим дорогим клиентам нужно набраться терпения и довериться российскому разработчику.
Ему вторил Алексей Индейкин:
— В последнее время появляется все больше отечественных разработок в различных областях. Вопрос действительно в доверии. Крупные предприятия в первую очередь ориентируются на импортных поставщиков, зачастую совершенно неправомерно считая, что их продукт лучше. К отечественным разработчикам они относились с достаточной долей подозрительности. Хотя наши айтишники уже давно вышли на уровень, который был обеспечен импортными организациями. А в некоторых областях даже превзошли зарубежных. Например, в сфере информационной безопасности. Аналогов систем безопасности, разработанных нашими коллегами и нами, в мире нигде нет. Нет даже приблизительно похожих систем!
Если говорить о конкретных продуктах, то российские решения не уступают западным. Но, несмотря на общий оптимизм, собравшиеся признали, что есть и провалы: так, в числе главных вызовов для российских разработчиков — сетевая безопасность. Наши компании в этом вопросе пока сильно недотягивают до лучших зарубежных аналогов. А запрос на это сегодня небывало высок, по понятным причинам.
Специалист SearchInform считает, что в течение полутора — двух лет самый популярный и необходимый софт для промышленных предприятий в России будет полностью разработан. Вопрос лишь в доверии со стороны заказчиков и поддержке со стороны государства (а она сейчас беспрецедентна).
Всех спасут комплексные интеграторы?
Собравшиеся обсудили и то, как решать важную проблему, встающую сегодня перед разработкой комплексных систем безопасности на предприятиях: если раньше один крупный вендор закрывал практически 90% потребностей одного предприятия, то сегодня для сборки качественной системы приходится «скрещивать» продукты нескольких отечественных компаний. Андрей Шаронов говорил:
— Нет ни одного российского производителя средств защиты информации, который может закрыть на высоком уровне все подсистемы ИБ. Мы выбираем два-три, а то и четыре решения. И всегда приходится идти на некий компромисс между безопасностью, юзабилити, ценой. Большая четверка вендоров всегда стремилась закрыть все вопросы над своими продуктами. Думаю, эта работа в России будет идти минимум пару лет — раньше ни один наш вендор не сможет закрыть все потребности на 80—90% на одном предприятии.
Как же предприятию суметь собрать комплексную промышленную систему автоматизации и безопасности на предприятии, как найти все необходимое, выбрать его правильно и главное — суметь «подружить» продукты, разработанные разными вендорами, сведя их в единую безотказную сеть? Айрат Мухаметзянов советует в этом полагаться на крупные инжиниринговые компании-интеграторы, которые закроют сложные вопросы комбинирования отдельных технологических решений в общие системы, которые позволят потом промышленным предприятиям получить то качество, к которому они привыкли. У таких компаний уже есть опыт сведения воедино разных продуктов, они отлично знают рынок, уже протестировали все возможные решения на совместимость между собой и под запрос предприятия сумеют настроить комплексную промышленную автоматизацию, включая и систему безопасности. Таким образом, инжиниринговая компания-интегратор должна выступать неким «надподрядчиком», который и будет отвечать за качество собранной системы безопасности на предприятии.
— Монокомпании должны интегрироваться с подрядчиком, который решает комплекс задач. Интеграторы и есть тот спасательный круг, который поможет жить сейчас всей отрасли, — уверен Мухаметзянов (к слову сказать, представитель одной из таких «монокомпаний»).
При этом некоего единого комплексного решения по автоматизации и обеспечению ИБ создать нельзя, это утопия. Всегда приходится дорабатывать элементы всех систем под конкретное предприятие, это может быть только кастомизированный под конкретную задачу продукт. Поэтому создание и дальнейшая поддержка такого продукта должны отталкиваться исключительно от задач, поставленных предприятием: айтишники в своей работе исходят из обратной связи, которую получают, — на это обратил внимание Алексей Индейкин.
«Если брать за пример чужую разработку, то мы изначально оказываемся в позиции догоняющего»
Марат Хамидуллин обратил внимание коллег на вопрос поиска уязвимостей в отечественном софте. До сих пор российские компании, как и весь остальной мир, использовали самые популярные системы (к примеру, ту же Windows). И к их услугам был весь мировой рынок кибербезопасности: если кто-то один находил уязвимость, то вендора немедленно об этом оповещали, он выпускал обновление, и уязвимость снималась для пользователей по всему миру.
— А сейчас получается, что у нас будет, к примеру, операционная система, которая будет только у нас. И хакеры со всего мира будут ее атаковать. Лично у меня есть сомнения в том, что наши разработчики смогут справиться в одиночку со всеми этими атаками. В будущем нам самим придется готовить обновления для всех наших систем. И смогут ли они противостоять мировым атакам — вот в чем большой вопрос.
Участники круглого стола говорили о том, что сейчас для российских разработчиков закрывается еще и огромная база знаний по зарубежным решениям: им последовательно отключают доступ к мировым наработкам. Получается, что двигаться приходится в полной темноте, ориентируясь исключительно на свои собственные идеи и гипотезы. И отношение к этому участники высказали полярное. Если Андрей Шаронов считает, что вариться в своей каше — это не очень хорошо, то Алексей Индейкин видит в таком погружении в вакуум и положительные моменты:
— Зато мы не будем идти в хвосте. Ведь если брать за пример чужую разработку, то мы изначально оказываемся в позиции догоняющего. Догоняющий никогда не станет лидером и не выйдет вперед, потому что он уделяет внимание разработке других аналогов. Здесь есть одновременно и минус, и плюс. Отсутствие опыта с той стороны — минус. Но плюс в том, что мы и сами можем добиться больших успехов, идя по своему собственному пути. Естественно, сложностей много. Опасения вызывает и кадровый вопрос, тяжело с поиском профессионалов, высококлассных системных архитекторов. Но если перерыть кучу сена, то иголку всегда можно найти! Опять же, все упирается в доверие и деньги. Если будет финансирование и доверие от конечного потребителя — мы быстро добьемся результатов!
«Нужно засучить рукава и работать»
Что касается кадрового голода, то собравшиеся отметили: не хватает специалистов высокого уровня, так называемых «сеньоров». Есть дефицит системных архитекторов. С рынка вымылось некоторое количество высококлассных программистов, которые уехали из России. Однако и в этом особых проблем нет: все собравшиеся указывают на небывалый подъем образования в сфере автоматизации промышленности.
— Взрастить новых специалистов — не столь большая проблема, — уверен Алексей Индейкин. — Сфера ИТ сегодня пользуется субсидиями от государства, и для молодежи уйти в сферу разработки ПО сейчас интересно и перспективно. На мой взгляд, в этом нет глобальной проблемы.
Айрат Мухаметзянов надеется на глобальный проект «Передовые инженерные школы», в котором участвуют 30 российских вузов (в том числе и КНИТУ, партнер РТСИМ по этой программе). Этот проект призван создать новый тип инженеров — тех людей, которые хорошо понимают предметную область, знают, каким образом надо менять те или иные отрасли.
— В нашей стране начали менять понимание отрасли через образование. Мое глубокое убеждение — в долгосрочной перспективе это приведет к появлению новых продуктов, новых инженеров, которые понимают, как интегрировать разные инструменты между собой. Опираться надо на молодежь, сейчас к этому есть все предпосылки.
Андрей Шаронов в оптимистичном ключе подытожил все сказанное коллегами:
— Думаю, российская сфера ИТ уже получила все, что ей нужно было. Февральские события дали ей еще и рынок. Оверспрос сейчас у всех — и у российских АСУ ТП, и у первого, и второго эшелона компаний, занимающихся ИБ. Сейчас никто не страдает от отсутствия интереса к их продукту. Сегодня у всех есть шанс! Надо на этом остановиться и переварить огромный спрос рынка. Нужно засучить рукава и работать слаженно!
- Алексей Индейкин
- Алексей Бычков
- Алексей Бычков
- Алексей Индейкин
- Алексей Индейкин
- Мухаметзянов
- Марат Хамидуллин
- Алексей Индейкин
- Алексей Бычков
- Андрей Шаронов
- Марат Хамидуллин
- Мухаметзянов
- Андрей Шаронов
- Ильдар Лукманов
- Андрей Шаронов, Ильдар Лукманов, Алексей Индейкин и Мухаметзянов