Сергей Добриднюк: Вопрос выживаемости надо обязательно проверять в любом архитектурном решении
Вчера в Москве, в зале Конгресс-Центра МГТУ им. Н. Э. Баумана прошла конференция по вопросам использования СКЗИ в Платформе Цифрового рубля. Она организована при поддержке Банка России, ФСБ России и Ассоциации российских банков, оператором является Медиа Группа «Авангард». На полях мероприятия мы задали несколько вопросов по актуальной теме одному из его участников — заместителю директора департамента «Операционная деятельность» компании «Диасофт» Сергею Добриднюку.
— Вы выступаете на конференции в качестве спикера. Какие основные идеи вы бы хотели донести до аудитории?
— Начну с того, что наша компания не является разработчиком средств криптографической защиты информации, мы используем те решения, которые разработаны лицензированными российскими компаниями. Если говорить образно, нас можно сравнить с неким шеф-поваром, который готовит блюда, подбирая хорошие продукты, чувствует потребности своего клиента и занимаемся его здоровым питанием. В этом смысле у нас очень интересная, уникальная история, так как мы равноудалены от тех или иных внутренних корпоративных стандартов, технологий или стратегий этих компаний. Сегодня неожиданно это стало очень ценным. У трех основных разработчиков удостоверяющего центра, действующих на рынке, какие-то компоненты сделаны очень удачно, а какие-то имеют свои слабые места. И в цене точно так же может быть разница. В этой ситуации мы выступаем с инициативой открытой технологической нейтральности, в том числе и в части информационной безопасности.
У нас есть такой опыт, что, допустим, в мобильном приложении применяем решение, например, компании «ИнфоТеКС», на стороне банка — «Валидата», в удостоверяющем центре — «КриптоПро». И все это оборудование и все компоненты должны научиться между собой «разговаривать». Ведь не секрет, что часть корпоративных протоколов являются закрытыми, и это понятная история некой линейки. И она была бы нормальной, если бы мы рассматривали вопрос рисков функциональности. Любой специалист желает взять в свой проект самое лучшее оборудование от одного вендора, потому что тогда будет единая точка ответственности.
Мы же предлагаем действовать немного иначе. Для крупных банков стоял вопрос большей функциональности, стабильности сопровождения при передаче таких технологий. Но для банков средних и маленьких этот аспект стоит уже на втором месте, а на первом — вопрос цены. И когда приоритетом №1 становится стоимость, то выбор стратегии и компонентов будет совсем другим. Мы предлагаем схему, наверное, чуть-чуть сложнее, потому что в нее ситуативно включены уже разные вендоры, но она позволит вписаться в ограниченный бюджет банка при полном соответствии законодательству.
Сейчас цена для многих банков — это просто стоп-фактор. На самом деле речь идет о вопросе выживаемости, который надо обязательно проверять в любом архитектурном решении. В отношении СКЗИ полезно будет посчитать стоимость как покупки, так и владения. Не будем применять, допустим, какую-то сложную систему кластеризации, а найдем обходное решение попроще, которое соотносится с оборотами средних и маленьких банков и одновременно учитывает потенциальные риски.
И, возможно, даже стоимостной критерий будет хорошим драйвером для того, чтобы производители сложных, дорогих изделий были заинтересованы выпускать «лайтовые» решения, чтобы они озадачились вопросом эффективности, снижая стоимость продукта, убирая какие-то функции и компоненты, которые нужны, скажем, Минобороны или спецслужбам, а в гражданском секторе выглядят избыточно.
— Что бы вы сказали по поводу информационной безопасности решений? Какие ее аспекты представляются вам самыми важными в этой сфере?
— Я бы сказал, что инфобез — это вещь комплексная, и она должна быть «по дефолту». Если во всей цепочке окажется хоть одно слабое звено, то оно может обрушить всю систему. Поэтому там не может быть неважных вещей, незначимых. Другое дело, как к ним подходить. Нерационально защищаться от риска на рубль решением стоимостью в 100 рублей — при таком перекосе проще не заниматься этим бизнесом. Правда, иногда угрозы могут быть наведенными, даже выдуманными и так далее.
Информационная безопасность зависит от комплексного сочетания факторов — технологических, организационных, административных, регуляторных. Исходя из этого, важен системный подход к ИБ. С этой точки зрения, интересна история с компонентой, которая называется «Система автоматизации выпуска сертификатов», где не предусмотрена личная явка клиента. В текущих сервисах, на госуслугах, была попытка сделать подобную систему, но там были некие ограничения: не на всех телефонах и операционках это работало, были проблемы с криптографией. А вот в цифровом рубле мы, по сути, получим более 100 млн клиентов, у которых на телефонах будет российская криптография с правильной технологией вызова. То есть получится реально обеспечить юридическую значимость большого числа сделок. Поэтому мы можем перейти к воплощению идеи «электронного правосудия», что могло бы ускорить процедуру арбитража и сэкономить время граждан.
— В своем совместном докладе с экспертом из компании «Информзащита» вы говорите об архитектуре ИБ цифрового рубля без «черных дыр». Как бы вы пояснили такой неожиданный образ?
— В отличие от черных дыр, которые представляют собой большую непрозрачную массу какого-то космического вещества, документы по инфобезопасности цифрового рубля Банка России очень хорошо проработаны. Действительно, на все есть документы, технологии, рекомендации. Но это одна сторона процесса, где находится регулятор, являющийся оператором платформы цифрового рубля. При этом вопросы, как это реализовать — не организационно, а технологически, — этими документами не оговариваются. А их много: «Как изолировать контуры? Какое выбирать оборудование, каких производителей? Как это потом эксплуатировать? Как обновлять систему в закрытом контуре?». Мы бы хотели перевести эту сферу практических вопросов из некой зоны «черной дыры» на светлую сторону.
Ведь в чем еще особенность? Первые учреждения, которые запустили цифровой рубль, это были крупные банки. У них были серьезные бюджеты и ресурсы, они вкладывались в инновации, готовились к этому. У них, вообще, такая ДНК — всегда что-то новенькое придумывать. Но этот опыт нерелевантен для маленьких и средних банков, которые и близко не обладают подобными ресурсами, поэтому единственным источником опыта для них становятся вендоры. Таким образом, мы вынужденно становимся некими «евангелистами» хороших практик: каждый день обследуем, внедряем, проводим пресейлы и так далее.
Мы понимаем как бы на кончиках пальцев, чем живет эта история, которая, может быть, регулятору не очень интересна или фигурирует в абстрактных формулировках и цифрах отчетности. Мы как вендор активно занимаемся поиском решений, предлагаем пакет методологий, который оказывается очень востребованным. И банки говорят: «Это то, что нам надо. Наконец-то у нас появился один подрядчик, которому можно доверять, кто от нашего имени может выстроить процессы, помочь с соблюдением правовых норм и обучить сотрудников» и так далее. В итоге вендоры вынужденно становятся во всей этой деятельности и поставщиком продуктов, и носителем методологий, и, может быть, даже немножко хранителем смыслов.
Вопросы задавал Усам Оздемиров
