«Разработчики тоже в зоне риска»: как кибербезопасность стала главным трендом IT
IT-специалисты рассказывают об угрозах, которые нависли над нами в последние несколько лет
Большинство экспертов в российской IT-сфере выделяют несколько направлений, в которых рынок активно развивается и на которые делает акцент. Одним из таких векторов называют ИИ-технологии. В университетах будущих специалистов переводят на обучение с осознанным использованием искусственного интеллекта, а российские компании все больше и больше обращаются к искусственному интеллекту в разработке. По-прежнему остро стоит на повестке дня — реальная кибербезопасность. О том, для кого необходимы решения кибербеза и как хакеры могут влиять на жизнь обычных граждан, «Реальному времени» на полях международного форума Kazan Digital Week — 2025 рассказали специалисты IT-рынка.
Кибербезопасность становится проблемой национального масштаба
В настоящее время кибератаки выходят за рамки узкоспециализированной повестки и становятся предметом обсуждения всей страны, что не могут не замечать специалисты. Ранее известные только в профессиональных кругах инциденты с участием хакеров теперь напрямую затрагивают жизнь граждан. Генеральный директор Innostage Айдар Гузаиров отмечает, что страна переживает момент, когда последствия кибератак становятся очевидными для всех.
Специалисты по-настоящему должны краснеть за подобные случаи, считает Гузаиров. Расследования всё чаще показывают, что злоумышленники успевают глубоко проникнуть в инфраструктуру крупных компаний задолго до обнаружения взлома. Хакеры способны оставаться незамеченными на протяжении целого года, имея при этом возможность в любой момент нанести атаку и полностью вывести организацию из строя. Ситуация усугубляется тем, что подобные инциденты происходят даже в тех компаниях, в которых тратятся большие суммы и привлекаются лидеры рынка.
Компаниям необходимо измерять уровень собственной безопасности
За последний год ситуация с внедрением искусственного интеллекта в российских компаниях сильно изменилась. Если раньше использование ИИ в разработке ПО, включая code review и создание нового кода, носило точечный характер, то сегодня это стало массовым явлением. Однако широкое применение таких технологий создало целый список новых рисков. Прежде всего, это угрозы информационной безопасности и риски утечки данных. По мнению технического директора «Лаборатории Касперского» Антона Иванов, проблема заключается еще в том, что многие компании, в том числе российские, используют зарубежные облачные сервисы.
По мнению Гузаирова, сейчас в стране намечается тренд среди компаний на реальную оценку безопасности своих информационных систем:
— Сейчас наметился четкий тренд на то, что реально необходимо измерять собственную безопасность. Не делать просто регламентные работы, а приглашать профессионалов, «белых» хакеров, которые, воздействуя на инфраструктуру, повторяют то, что делают «черные»...Это [кибериспытания] где-то похоже на прививку.
Разработчики тоже в зоне риска
Киберпреступники расширяют спектр своих атак, под угрозой оказываются не только конечные пользователи, но и сами разработчики. Гендиректор и основатель CodeScoring Алексей Смирнов отмечает несколько ключевых сценариев, при которых программисты могут невольно стать причиной серьезных утечек данных.
Проблема безопасности усугубляется тем, что современные разработчики, владея навыками программирования и написания качественного кода, часто не обладают достаточными знаниями в области защиты информации. В результате неосознанно создаваемые уязвимости становятся лазейкой для хакеров.
— В детстве всех научили программировать и, в лучшем случае, научили писать хоть сколько-нибудь качественный код, но писать безопасный код учили очень мало где. Люди по неосторожности или по незнанию добавляют уязвимости в код ненамеренно, — пояснил эксперт.
В сфере информационной безопасности не существует универсального решения, способного обеспечить полную защиту от всех возможных угроз, считает Алексей Смирнов. Несмотря на постоянное стремление найти некий идеальный инструмент, своего рода «волшебную таблетку», разработчики должны использовать комплексный подход.
Безопасная разработка базируется на трёх ключевых частях. Первая из них — статический анализ, выполняющий проверку исходного кода в текстовом виде. Этот метод позволяет выявить сотни потенциальных уязвимостей ещё на этапе написания программного кода. Второе направление — композиционный анализ, который фокусируется на использовании сторонних компонентов, особенно в контексте open source. При внедрении одной библиотеки разработчик может не заметить, как в проект автоматически подключаются десятки других, которые могут содержать серьёзные уязвимости. Третьим важным компонентом выступает динамический анализ, направленный на тестирование уже собранного приложения
— Инструменты безопасной разработки в отрыве от реальности тоже жить не могут. Они должны быть интегрированы в среду разработки. Все программисты как привыкли: закодил, «запушил» в репозиторий, процесс запустился, и приложение либо упало, либо дальше пошло. Когда мы говорим о том, что к этим шагам мы хотим добавить какой-то контроль безопасности, то у нас должна быть тесная связка с редактором кода, — объяснил Алексей Смирнов
Как быть обычным пользователям интернета?
В современном цифровом мире персональные пользователи нуждаются в надёжной защите своей онлайн-жизни, считают специалисты. Базовые меры безопасности, такие как антивирусная защита мобильных устройств, уже недостаточны для обеспечения полноценной защиты. Антон Иванов напоминает, что ежедневно происходят утечки данных с различных онлайн-площадок, где зарегистрированы пользователи. При этом многие люди даже не подозревают, что их учётные данные: логины, пароли и адреса электронной почты — могут попасть в руки злоумышленников.
— У пользователей большое количество паролей, различных всяких секретов, которые хранятся в телефоне. И нужно надежное место, где их хранить. К сожалению, большинство пользователей хранит их в записной книжке, в заметках. Нужна экосистема цифровой защиты для обычного индивидуального пользователя. Сейчас также для пользователей необходим курс цифровой гигиены, — напоминает технический директор «Лаборатории Касперского».
Национальную безопасность повышают национальные IT-разработки
В настоящее время Россия переживает период значительных изменений в сфере информационной безопасности. С одной стороны, геополитическая обстановка и международные конфликты привели к тому, что доверие к зарубежным решениям существенно снизилось. С другой стороны, мы находимся на этапе активного развития собственных технологических решений. Айдар Гузаиров рассказывает, что ранее надёжные зарубежные системы безопасности могут представлять потенциальную угрозу. Основная проблема заключается в отсутствии прозрачности относительно того, кто контролирует эти системы и как они могут быть использованы.
— С этой точки зрения у нас есть что-то, что мы не доверяем, потому что мы не понимаем, в чьих руках это находится. С другой стороны, находимся в фазе становления собственной продуктовой линии. Уже сейчас совершен большой технологический рывок. То, что будет произведена такая технологическая внутренняя революция, переход на национальные продукты, это повысит национальную безопасность...Наши регуляторы начали «закручивать гайки» еще задолго до 2022 года. В этом смысле нам повезло с точки зрения того, что в отличие от IT-сегмента, инфраструктурного сегмента, уже были сильные программные решения отечественные, которые у всех на слуху и многие представлены в Казани, — заявил он.