BIS Summit 2025: Коллапса не случилось, но ответственность должна быть двусторонней

BIS Summit 2025: Коллапса не случилось, но ответственность должна быть двусторонней

Важное событие в сфере информационной безопасности страны — XVIII конференция BIS Summit — прошло 18 сентября в Москве. Представители государства и бизнеса, лидеры и эксперты ИБ-отрасли собрались, чтобы поучаствовать в дискуссиях на тему «Технологический суверенитет: новая сфера ответственности».

В ходе пленарной сессии «Диалог с регулятором» её модератор, президент ГК InfoWatch и председатель правления АРПП «Отечественный софт» Наталья Касперская предложила обсудить роль государства в регулировании ИБ-рынка, оптимальное соотношение между контрольными, стимулирующими функциями властных органов и способностью рынка к свободному развитию. В ходе дискуссии спикерам был задан вопрос о ходе выполнения указов Президента №166 и №250, которые призваны соответственно обеспечить технологическую независимость и безопасность объектов КИИ и усилить ИБ в России за счет дополнительных мер.

Участники мероприятия смогли получить ответы на интересующие их вопросы, что называется, из первых уст, поскольку здесь были представлены такие структуры, как ФСТЭК России, Минпромторг, Госдума и Национальный координационный центр по компьютерным инцидентам (НКЦКИ), который является ключевым компонентом Государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА).

В начале эксперт НКЦКИ Андрей Раевский сосредоточился на двух направлениях, связанных с выполнением указа №250. Центр проводит мониторинг защищенности информационных ресурсов, в ходе которого выявляет уязвимости и дает организациям соответствующие рекомендации. При этом компании могут не опасаться огласки — работа ведется на основе конфиденциальности. Если угрозы критичны, то устанавливается срок для их устранения.

Следует учитывать, что с 1 сентября этого года вступили в действие положения закона от 7 апреля 2025 г. №58-ФЗ, повышающие требования к безопасности КИИ и всех государственных организаций. В частности, они должны уведомлять НКЦКИ не только о компьютерных инцидентах, но и о компьютерных атаках в установленные сроки. По словам Раевского, они идут по пути автоматизации: на интернет-ресурсе ГосСОПКА можно открыть личные кабинеты и обмениваться информацией по защищенным каналам связи. Ее сбор и анализ потенциально позволяют предотвращать компьютерные инциденты во многих организациях.

«Одна из главных головных болей генеральных директоров — это сохранность и обработка персональных данных. Ведь это становится неотъемлемой частью ведения бизнеса», — заметил Антон Ткачев, первый заместитель председателя Комитета Госдумы по информационной политике, информационным технологиям и связи, член фракции «Новые люди». Раньше компании закрывали глаза на дыры в кибербезопасности или расплачивались за утечки невысокими штрафами, но с введением оборотных штрафов теме сохранности ПДн стали уделять должное внимание.

По словам Ткачева, и регуляторы и компании перестали работать по системе «ради галочки». Сегодня многие корпоративные заказчики пишут более детально технические задания, и разработчик систем кибербезопасности несет ответственность за выполнение этих требований. С учетом административной и финансовой ответственности заказчики проводят внутреннее тестирование систем для выявления возможных погрешностей, что свидетельствует о «высокой цифровой грамотности руководства компаний». Если говорить в целом о кибербезопасности организаций, то с этим лучше не шутить. «Поверьте, вы если сэкономите на короткий промежуток времени, то точно проиграете на длинном», — заверил депутат присутствующих.

С точки зрения номенклатуры, на нашем ИБ-рынке достаточно решений, но по части качества и желаемых характеристик — тут есть вопросы, считает первый заместитель директора ФСТЭК России Виталий Лютиков. Например, скорости межсетевых экранов стали повышаться, но есть проблемы с устойчивостью функционирования в работе кластера и выполнением на этих скоростях всех заявленных функций безопасности. Тем не менее, можно говорить о положительной тенденции: так, уже выдано три сертификата на отечественные NGFW и на подходе, возможно, еще пять. Лютиков отметил также положительную динамику по внедрению отечественных СЗИ. В госсекторе процент применения таких средств защиты приближается к 100%. Лишь 2% — в первую очередь это зарубежные межсетевые экраны — продолжают там функционировать. По субъектам КИИ в целом эта картина чуть похуже — где-то 82-83%.

Подведомственный ФСТЭК институт (ГНИИИ ПТЗИ) наряду с ИСП РАН обладают компетенцией сертифицировать СЗИ, программные продукты и аппаратные комплексы. По словам Виталия Лютикова, выдано шесть сертификатов и еще восемь находится на рассмотрении. Следует заметить, что сертификация безопасной разработки не является обязательной. Это вопрос к заказчику, прописывающему такие требования в ТЗ, так как он старается «подстраховаться с точки зрения рисков». Это не значит, что у сертифицированных продуктов нет уязвимостей, но есть гарантия, что процессы работы с угрозами налажены.

Глава подразделения Минпромторга «Цифровые индустриальные технологии» Эдуард Шантаев уделил внимание такому сервису, как Цифровой паспорт промышленного предприятия, который размещен в Государственной информационной системе промышленности (ГИСП). Собранные сервисом данные позволяют регулятору видеть картину не отдельных предприятий, а отрасли в целом, получить живую аналитику, необходимую для корректировки стратегии цифровой трансформации. По словам Шантаева, общий уровень цифровой зрелости промышленности на сегодня оценивается на уровне 44%, а лидерами являются металлургия и химическая отрасль.

В ходе сессии «Диалог с бизнесом» представители системообразующих предприятий («Росатом», «Почта России», «Мосбиржа», «Сбер») поделились своим опытом выстраивания ИБ-систем и рассказали о своих подходах к выполнению стратегических задач в этой сфере. Как отметил модератор, директор Центра компетенций по импортозамещению в сфере ИКТ, АНО «ЦКИТ» Илья Массух, если у кого-то из представленных здесь компаний что-то «сломается», то сразу негативные последствия могут почувствовать на себе миллионы наших граждан. Вот почему так важно выстраивать грамотную информационную защиту, что в последние годы приходилось делать в форс-мажорных условиях внезапного бегства с нашего рынка иностранных вендоров.

Предприятия могли оказаться в ситуациях разной степени критичности в зависимости от их истории и отраслевой направленности. Так, заместитель директора департамента технологической независимости объектов АСУТП и КИИ «Росатома» Степан Клятецкий считает, что госкорпорация была в выигрышной позиции, благодаря «советскому наследию»: вопрос безопасности заложен в ее культурный код. Проблемы больше были не в «ядре» отрасли, а в общегражданском секторе. Спасло то, что программу импортозамещения они запустили задолго до известных событий, плюс активное развитие портфеля продуктов внутри корпорации.

Управляющий директор — начальник управления развития технологий кибербезопасности Центра киберзащиты «Сбера» Дмитрий Рюпичев, вспоминая пройденный путь, посетовал на дороговизну отечественных решений, их высокую ресурсоемкость, расхождение между ожиданиями и реальностью, а также недостаток ответственности со стороны разработчиков. «Когда есть критичные требования, ответственность должна быть двухсторонней. Хочется, чтобы игроки, которые разрабатывают решения, тоже понимали, что нужно немного соответствовать потребностям рынка», — заключил эксперт «Сбера».

Выводы, представленные участникам конференции директором департамента операционных рисков, информационной безопасности и непрерывности бизнеса Московской биржи Сергеем Демидовым, звучали куда более оптимистично. Что ни говори, коллапса не произошло, и если захотеть, то всё получится. По сути, ИБ стала «соревновательной дисциплиной» между средствами нападения и защиты, поэтому важно анализировать и понимать, как ситуация будет дальше меняться. Чтобы наш рынок ИБ развивался, не впадая в состояние самоизоляции, возможно, настало время «открыть занавес» с дружественными странами БРИКС, полагает Демидов.

Участники дискуссии допустили возможность того, что при определенных обстоятельствах в будущем иностранные вендоры вернутся на российский рынок. Понятно, что риск однажды реализовался, и его нельзя игнорировать. Ведь в январе 2022 года вряд ли кто в здравом уме мог предсказать массовый уход основных вендоров из России. Прогнозируя такой поворот событий, руководитель дирекции ИБ «Почты России» Роман Шапиро привел выражение «Бабло побеждает зло». Для наших производителей сложился удачный момент с достаточно большим лагом по времени, если только они сумеют воспользоваться своим преимуществом и завоевать рынок действительно качественным продуктом.