Доступ, безопасный и удаленный. Круглый стол вендоров и интеграторов решений

Дистанционный режим работы прочно вошел в нашу жизнь с 2020 г. С тех пор прошло достаточно времени, чтобы заново оценить проблемы и задачи организации удаленного доступа. Редакция журнала “Информационная безопасность" попросила экспертов из числа производителей средств защиты и интеграторов поделиться своим мнением по наиболее актуальным вопросам.

Участники:
Владимир Абрамов, Product Owner продукта PRO32 Getscreen
Сергей Володин, начальник отдела технических решений защиты информации ДИБ АМТ-ГРУП
Дмитрий Овчинников, главный специалист Департамента проектирования, Газинформсервис
Сергей Груздев, генеральный директор компании “Аладдин Р.Д.”
Дмитрий Поливанов, руководитель направления внедрения средств защиты информации АО “ДиалогНаука"
Артем Туренок, руководитель отдела технических решений АО “ДиалогНаука"
Дмитрий Хомутов, директор Айдеко
Виктор Чащин, операционный директор “МУЛЬТИФАКТОР"
Андрей Шпаков, руководитель проектов по информационной безопасности, Компания “Актив"
Сергей Щеглов, руководитель отдела информационной безопасности ООО “ГЕТМОБИТ"

Трансформировались ли запросы заказчиков с 2020 г. в части организации безопасного удаленного доступа сотрудников? Если да, то как? Если нет, то хорошо ли это?

Сергей Груздев, Аладдин Р.Д.: В 2020 г. нам приходили запросы типа "А как нам вообще организовать дистанционную работу сотрудников, хоть както, с учетом практической невозможность купить ноутбуки и отсутствия бюджетов на это?". В начале 2022 г. после ухода многих западных вендоров про дистанционку как-то все резко забыли и переключились на затыкание образовавшихся дыр, хотя многие продолжали работать дистанционно или в смешанном режиме, используя то, что смогли сделать для организации удаленной работы. Как правило, это был "самопал". Сейчас мы видим возвращение интереса к теме дистанционной работы, но уже с акцентом на "как правильно", чтобы соответствовать требованиям ФСТЭК России.

Андрей Шпаков, Компания "Актив": 2020 год в силу внезапно возникшей потребности в удаленном доступе к рабочим местам стал первым шоком для специалистов ИБ. Если ранее компании выстраивали механизмы удаленного доступа поэтапно, то теперь потребовалось оперативно переводить большую часть сотрудников на удаленку. В пандемию ключевой запрос звучал так: нужно максимально стабильное и хорошо масштабируемое решение, которое можно развернуть в продуктовой среде за короткий срок (один-два месяца). 2022 год стал вторым шоком, когда заказчики столкнулись с проблемами: отсутствие технической поддержки, невозможность получить обновления правил, сложности с закупкой нового оборудования и потеря функционала оборудования. Итогом стал запрос рынка на российские аналоги решений зарубежных производителей.

Сергей Володин, АМТ-ГРУП: В начале 2020 г. с началом пандемии возрос спрос на простые в развертывании и стабильные решения удаленного доступа. Потребность в функциональности решений удаленного доступа достаточно быстро возрастали, все больше компаний рассматривали и внедряли инструменты многофакторной аутентификации, контроля состояния удаленного рабочего места, управления привилегированным доступом. На текущий момент мы видим активное тестирование отечественных решений и переход на них, при этом требования к упомянутым расширенным функциям большинством организаций рассматриваются как обязательные.

Дмитрий Овчинников, Газинформсервис: С 2020 г. появился запрос на усиление защиты конечных точек, в том числе и тех, которыми владеют сами пользователи. Вырос масштаб самого удаленного доступа: если раньше он предполагался только для некоторого числа сотрудников, то с началом пандемии и популяризации удаленной работы количество подключений и масштабность решений сильно выросли.

Сергей Щеглов, ГЕТМОБИТ: Пандемия сменилась массовой релокацией офисов и отъездом ИТ-специалистов за рубеж, сохранив потребность в поддержке безопасности удаленного режима работы. При этом требования к безопасности ужесточились как в организационном, так и технологическим аспекте. Так, ФСТЭК России утвердила требования к средствам обеспечения безопасной дистанционной работы в информационных системах, а ФСБ России – требования по применению СКЗИ в ГИС. Поэтому возрос интерес к созданию доверенных, комплексных, централизованно управляемых удаленных рабочих мест со встроенными СКЗИ. С другой стороны, регуляторика часто отстает от уровня развития технологий, ограничивая выбор и тем самым скорость перехода на новые решения. Так, несмотря на готовность ФОИВ и частного бизнеса переходить в облака и инфраструктуру виртуальных рабочих столов, такой переход тормозится избыточными требованиями, например по доверенной загрузке АРМ (к примеру, если заказчику нужна квалифицированная ЭП по классу защиты КС2).

Артем Туренок, ДиалогНаука: Запросы заказчиков изменились, в них присутствуют:

• поддержка различных ОС (Windows, Linux, в том числе сертифицированные версии, iOS, Android);
• поддержка многофакторной аутентификации;
• одновременная поддержка шифрования с использованием ГОСТов и не ГОСТов;
• возможность подключения с использованием толстого клиента или TLS;
• проверка соответствия подключаемого АРМ корпоративным стандартам.

Дмитрий Хомутов, Айдеко: В 2020 г. массовый удаленный доступ организовывался по принципу "как можно быстрее и без дополнительных затрат". Сейчас же на первом месте безопасность удаленного доступа. Большим спросом стала пользоваться двухфакторная аутентификация, и в Ideco UTM мы добавили несколько возможностей: OTP-токены, СМС, интеграцию с сервисом "Мультифактор". Актуальным оказалось также ограничение входящих подключений по GeoIP, чтобы сразу отсечь трафик из определенных стран, – эта возможность тоже реализована в нашем решении.

Виктор Чащин, МУЛЬТИФАКТОР: Сейчас первым правилом цифровой гигиены стало использование многофакторной аутентификации при входе в любую удаленную систему, даже для рядовых пользователей. При этом уровень мониторинга работы удаленного сотрудника снизился, что говорит о том, что работодатель начал понимать важность идентификации удаленного пользователя, при этом перестав применять жесткий офисный контроль.

Какую ИБ-функциональность запрашивали заказчики для повышения защищенности и управляемости удаленного доступа за последние два-три года? Какие новые продукты и услуги у вас появились или существенно обновились как ответ на эти запросы?

Андрей Шпаков, Компания "Актив": Ключевыми запросами клиентов за последние несколько лет стали:

• доверенная рабочая среда, которая запускается на недоверенном ПК;
• интеграция с каталогом Active Directory;
• решение типа "всё в одном", сочетающее в себе средства защиты от НСД, антивирус, файрвол уровня приложений и VPN-клиент;
• интеграции с механизмами и средствами многофакторной аутентификации.

Направление "Рутокен" Компании "Актив" развивает продукты и решения для электронной подписи (ЭП) и многофакторной аутентификации. В 2022– 2023 гг. мы подготовили целый ряд устройств для ЭП и защиты доступа на базе современных технологий и стандартов (NFC, PKI, OATH TOTP, FIDO2). В частности, это активные токены и смарт-карты линейки "Рутокен ЭЦП 3.0" и устройство для генерации одноразовых паролей "Рутокен OTP".

Сергей Володин, АМТ-ГРУП: Компании запрашивали простые в развертывании решения с поддержкой двухфакторной аутентификации, контролем состояния удаленных рабочих мест и широким списком поддерживаемых платформ. Среди решений, которые мы сейчас активно предлагаем и внедряем, можно отметить системы двухфакторной аутентификации и TLS-шлюзы.

Дмитрий Хомутов, Айдеко: Мы сделали три вещи:

1. Максимально упростили настройку удаленного доступа для заказчиков с помощью собственного VPN-агента.
2. Повысили производительность VPN-сервера путем использования самого современного протокола Wireguard, чтобы сервисом могли пользоваться десятки тысяч пользователей одновременно.
3. Внедрили новые механизмы защиты удаленных подключений: двухфакторную аутентификацию множеством методов, ограничения на подключения по GeoIP, защиту сервиса от DDoS и различного типа атак.

Сергей Груздев, Аладдин Р.Д.: Требования к функциональности средств ИБ для организации безопасной дистанционной работы сотрудников госорганизаций, КИИ и других четко определены в требованиях ФСТЭК России, поэтому места для фантазий здесь практически нет. Cпециализированный продукт Aladdin LiveOffice является самодостаточным и имеет сертификат ФСТЭК России. За пару лет он, естественно, дорабатывался, в первую очередь в аспекте совместимости, чтобы работать везде и стыковаться с разнообразным инфраструктурным, системным и прикладным ПО.

Дмитрий Овчинников, Газинформсервис: Заказчики особенно интересуются инструментами слежения за работой удаленных сотрудников, разного рода усилением DLP-систем, защитой вебресурсов, вынесенных в Интернет, и решениями класса EDR.

Сергей Щеглов, ГЕТМОБИТ: Несмотря на очевидность проблем с информационной безопасностью удаленных рабочих мест, часть клиентов продолжают латать дыры. Другие же смотрят в сторону комплексных интегрированных решений, особенно производственный сектор, банковский и телеком. Наиболее востребованный функционал лежит на стыке ИТ и ИБ: это прежде всего возможность запуска удаленного рабочего места "из коробки", то есть максимально простая инициализация VPN-клиента. Во-вторых, возможность централизованного управления и обновления таких удаленных рабочих мест. Все больше запросов на мониторинг поведенческой активности пользователей, устройств со встроенной защитой. Со своей стороны, мы предлагаем смотреть на задачу системно и даем цельное решение, предусматривая оснащение рабочего места оригинальным устройством со встроенными механизмами контроля доступа, интегрированными интерфейсами мониторинга активности пользователей.

Владимир Абрамов, PRO32: В основном стандартные функции: многофакторная аутентификация, SSO, распределение по ролям и полное логирование данных. Сейчас запросы идут более интересные, например поддержка mTLS-сертификатов. Мы ведем разработку в данном ключе и надеемся, что в ближайшее время выпустим версию PRO32 Getscreen с поддержкой этого протокола.

Виктор Чащин, МУЛЬТИФАКТОР: Все развитие продукта многофакторной аутентификации MULTIFACTOR продиктовано рынком и запросами наших клиентов. Более того, текущая реализация сама по себе, протоколы и схемы интеграций точно так же выросли из диалога с клиентами. Из больших продуктов, которые появились за последние пару лет: вход в ОС со вторым фактором через Windows logon, портал самообслуживания для управления своими аутентификационными данными. Сейчас разрабатываем отечественный сервис доставки пуш-уведомлений, это тоже часть инфраструктуры безопасности.

Какой функциональности по-прежнему не хватает на рынке для повышения защищенности удаленной и гибридной работы? Какие новые классы решений стоит ожидать в перспективе двух-трех лет?

Дмитрий Хомутов, Айдеко: В связи с уходом иностранных вендоров рынку не хватает мощных решений, реализующих технологии нулевого доверия, ZTNA. Некоторые ее особенности мы реализовали с помощью собственного VPN-агента, который активно продолжаем развивать.

Андрей Шпаков, Компания "Актив": Выделю четыре основные проблемы пользователей:

• дефицит сертифицированных высокотехнологичных решений (типа XDR) российских разработчиков;
• отставание функционала мобильных продуктов от десктопных;
• недостаточное удобство разворачивания и использования решений;
• несовершенная поддержка различных вариантов многофакторной аутентификации пользователей.

Я ожидаю развития решений отечественных производителей именно в этих направлениях.

Сергей Володин, АМТ-ГРУП: На наш взгляд, в ближайшее время активно будут развиваться решения на базе новых российских алгоритмов шифрования и TLS-шлюзы, позволяющие без использования толстого клиента предоставлять доступ к внутренним порталам и приложениям.

Дмитрий Овчинников, Газинформсервис: Не хватает решений корпоративного уровня типа Microsoft RDS. Отечественные решения на сегодняшнем рынке либо не имеют необходимой стабильности, либо сложны при развертывании и для них нет достаточного количества опытных сотрудников на рынке труда, либо имеют серьезные ограничения по количеству удаленных пользователей без возможности нормального масштабирования решений.

Сергей Щеглов, ГЕТМОБИТ: Мы видим на рынке запрос на обеспечение привычного офисного рабочего места при удаленном режиме работы. К этому относится не только пользовательская функциональная насыщенность в виде доступа ко всем привычным сервисам, но и идентичность инструментария администрирования: централизация, управляемость и контроль. Остро стоит проблема управления несколькими средствами защиты информации из одного центра управления.

Сергей Груздев, Аладдин Р.Д.: Требования к средствам обеспечения безопасной дистанционной работы определены ФСТЭК России, их надо просто выполнять. С начала 2022 г. остро встал вопрос противодействия внутренним нарушителям. Для развития продукта Aladdin LiveOffice мы планируем добавить в него биосенсор, чтобы воспользоваться устройством смог бы только его владелец, а организация, предоставляя удаленный доступ, могла четко понимать, что подключиться к ее ИС может только ее сотрудник.

Дмитрий Поливанов, ДиалогНаука: В существующих VPN-клиентах от отечественных разработчиков отсутствует механизм контроля защищенности рабочей станции перед ее подключением к инфраструктуре на предмет наличия включенного антивируса с актуальными базами, обновлений ОС и др. На мой взгляд, данный механизм необходим, ведь даже один незащищенный компьютер несет потенциальную угрозу компрометации всей сети предприятия. Со стороны заказчиков есть также потребность в интеграции VPN-решений с внешними MFA-средствами, позволяющими усилить контроль за подключениями извне.

Артем Туренок, ДиалогНаука: На текущий момент на рынке представлены различные ИБ-решения для организации безопасного удаленного подключения (VPN, 2FA, клиентские СОВ и МЭ, контроль удаленных рабочих мест и активного реагирования на несоответствие профилям безопасности). Основная проблема заключается в том, что не все решения могут быть совместимы между собой или имеют пересекающийся функционал, который может влиять на работу АРМ и на настройку СЗИ.

Виктор Чащин, МУЛЬТИФАКТОР: В целом рынок уже вполне сложился в плане инструментария. Другое дело, что достойных отечественных решений для организации удаленной работы не так уж и много. И мне кажется, что это недооцененная ниша, которая сильно выстрелит в ближайшие год или два. Я уже упоминал про сервис доставки пушей: не хватает ПО и сервисов для построения базовой ИТ-инфраструктуры компании, даже если не задумываться об удаленной работе.

Владимир Абрамов, PRO32: На рынке все еще не хватает удобных комплексных решений для управления устройствами, защиты от кибератак и утечки данных. В перспективе пары лет, я считаю, должны появиться решения для защиты от социальной инженерии и атак на уровне приложений.

В 2020 г. компании "потеряли" периметр доверенной корпоративной сети. Удалось ли его "найти" к 2023 г.? Если да, то где периметр теперь проходит? Если нет, то во что он трансформировался?

Владимир Абрамов, PRO32: В 2023 г. периметр корпоративной сети не определен в традиционном понимании этого термина, его границы размыты. Компании используют более распределенные и гибкие системы защиты, которые основываются на облачных решениях, микросегментации сетей и управлении доступом на основе политик. Периметр трансформируется в более абстрактное понятие, которое определяется политиками безопасности и контролируется с помощью инструментов управления доступом и мониторинга активности пользователей.

Виктор Чащин, МУЛЬТИФАКТОР: Периметр, на мой взгляд, никуда не терялся, просто сотрудники из него очень бодро выскочили во время локдауна. И да, многие из них работают на домашних рабочих местах со своим оборудованием, поэтому последние три года для безопасников были временем решения головоломки: как в недоверенной среде устроить работу сотрудника так, чтобы избежать ненужных рисков? Как всегда, приходилось искать баланс между удобством и безопасностью, но каждый в этом вопросе нашел для себя свой собственный ответ, в зависимости от профилей пользователей и специфики работы.

Сергей Володин, АМТ-ГРУП: Периметр трансформировался из явных границ межсетевого экрана в потоки отдельных приложений, для контроля безопасности которых требуются новые решения (WAF, PAM) и новые функции (2FA, ZNTA).

Дмитрий Хомутов, Айдеко: Слухи о смерти сетевого периметра сильно преувеличены, тем более что даже в облачной инфраструктуре ее защита тоже основывается, как правило, на NGFW-решениях, только развернутых непосредственно в облачной среде. Мы подтвердили правильность выбора архитектуры нашего решения, основанной на программной обработке трафика, без использования специализированного железа, что позволяет использовать решение в облаках или на гипервизорах без потери производительности.

Дмитрий Овчинников, Газинформсервис: Периметр никуда не терялся, просто увеличилось количество удаленных подключений и часть сервисов переместилась из внутренней части сети в сегмент ДМЗ. В связи с этим просто выросла поверхность атаки для злоумышленников. Все это купируется просто более строгой регламентацией удаленного доступа и безопасными настройками серверов в ДМЗ-сегменте.

Сергей Щеглов, ГЕТМОБИТ: Несмотря на необходимость оперативного ответа на вызовы пандемии, отделы ИБ работали не меньше ИТ-подразделений. Безусловно, приходилось идти на отдельные компромиссы, но говорить о "потере" периметра некорректно. В настоящий момент четко отслеживается тенденция, когда система удаленного доступа к КИС рассматривается как неотъемлемая компонента с четким набором требований.

Дмитрий Поливанов, ДиалогНаука: Есть компании, вовремя очертившие пул возникших проблем и приступившие к их методичному устранению, а есть и такие, которым в силу различного рода обстоятельств (бюрократия, ограниченный бюджет, отсутствие достаточного количества подкованных специалистов) не удалось в полной мере решить задачи, преподнесенные двадцатым годом. В нынешних реалиях уместнее говорить именно о трансформации: если раньше в большинстве случаев периметром была граница между локальной и внешними сетями, то сейчас в дополнение к классическому представлению стали чаще реализовываться периметры на уровне хостов.

Артем Туренок, ДиалогНаука: Заказчики стараются поддержать контролируемый периметр ЛВС, внутри контролируемой зоны. Но, к сожалению, текущие реалии заставляют заказчика переносить ресурсы в облако и организовывать удаленные подключения для своих сотрудников. Поэтому периметр становится очень размытым. Заказчикам необходимо помнить о необходимости защиты ресурсов, расположенных в облаке, а также о защите АРМ сотрудников, работающих удаленно.

Андрей Шпаков, Компания "Актив": За последние два-три года концепция нулевого доверия (Zero Trust) приобретает все большую актуальность. В задачах обеспечения безопасности удаленного доступа такая концепция используется в большинстве решений достаточно давно. Технологии "Рутокен" Компании "Актив" обеспечивают реализацию концепции Zero Trust для информационных систем и средств защиты информации на разных уровнях за счет строгой двухфакторной аутентификации. При этом одним из факторов выступает физическое владение токеном или смарт-картой, а другим – знание владельцем простого для запоминания ПИН-кода.

Сергей Груздев, Аладдин Р.Д.: Классический служебный ноутбук с набором установленного ПО и обрабатываемыми/хранящимися на нем данными является частью ГИС, входит в его контур (периметр), имеет достаточно большую поверхность атаки, требует аттестации и организации так называемой контролируемой зоны, и не очень понятно, как ее организовать при удаленном доступе. Устройство Aladdin LiveOffice локально данные не хранит, вся обработка производится в защищенном контуре (периметре) организации, поэтому поверхность атаки здесь существенно меньше, решение более безопасно, а требования к контролируемой зоне упрощаются и переходят в ответственность самого сотрудника – он лишь должен обеспечить, чтобы за его работой из-за спины никто не наблюдал.

Стали ли облачные решения универсальным ответом для организации безопасной удаленной работы?

Сергей Щеглов, ГЕТМОБИТ: Несмотря на популярность облачных технологий в мире, их проникновение на российский рынок сдерживается рядом причин: недоступностью решений в связи с уходом иностранных поставщиков, ограниченной функциональностью и производительностью российских аналогов. Тем не менее на рынке заметно повысился интерес к службам виртуальных рабочих столов и можно спрогнозировать бум перехода на VDI концу 2025 г.

Андрей Шпаков, Компания "Актив": Перенос ИТ-инфраструктуры компании в защищенные облака может повысить уровень ее информационной безопасности. Но панацеей облака стать не могут, поскольку не могут решить вопросы защиты рабочих мест пользователей, так как на рабочих устройствах нужно использовать локальные средства защиты. То есть при доступе к чувствительным ресурсам в облаке аккаунты стоит защитить по максимуму – использовать аппаратные устройства (токены или смарт-карты) и отказаться от использования парольной защиты.

Сергей Груздев, Аладдин Р.Д.: Нет, облачные решения не стали универсальным ответом для организации безопасной удаленной работы, ведь не все сервисы могут работать в облаке. А для подключения к облачным сервисам все равно требуется двухфакторная аутентификация пользователя и защита канала.

Дмитрий Хомутов, Айдеко: Спрос на облачные варианты развертывания VPN-серверов усилился, но все же не настолько, чтобы стать доминирующим вариантом. Большое число Enterprise-клиентов мало использует публичные облака и сервисы. Но все больше клиентов использует облачные сервисы в целях организации двухфакторной аутентификации и защиты от DDoS.

Дмитрий Овчинников, Газинформсервис: Многие компании не могут вынести в облака свои данные: у одних это запрещено, а другие просто не хотят размещать свои чувствительные данные на сторонних серверах. Облачные решения очень хороши для небольших и средних компаний. Для крупных компаний тоже есть своя ниша, но часть данных, содержащих коммерческую тайну, просто не вынесешь в облако.

Артем Туренок, ДиалогНаука: Не все компании готовы размещать СЗИ и системы в облаке. С другой стороны, не все облачные провайдеры могут обеспечить требуемый уровень защиты. Нужно также не забывать про организацию защиты канала между облаком и внутренними сегментами сети заказчика.

Виктор Чащин, МУЛЬТИФАКТОР: Большая часть компаний предпочитает держать все данные под контролем на своей территории, но сдвиг в сторону облачных решений заметен, особенно в среде вспомогательного ПО и сервисов.

Сергей Володин, АМТ-ГРУП: Облачные решения позволяют выполнить только часть функций безопасности. Для крупных компаний основным решением остается строительство частных облаков. Насколько острой осталась проблема совместимости различных классов иБ-решений при организации удаленного доступа?

Сергей Володин, АМТ-ГРУП: Основной вопрос совместимости решений, на наш взгляд, лежит в области поддержки операционными системами сертифицированных версий СЗИ. Если для компании критично использование сертифицированной версии СЗИ, возникает ограничение по применимости.

Артем Туренок, ДиалогНаука: В последние годы мы наблюдаем тесную интеграцию различных ИБ-решений между собой для организации защищенного удаленного доступа. Для примера: удаленное подключение к офису по VPN уже нельзя представить без использования двухфакторной аутентификации. Наблюдается также спрос на решения для контроля удаленных рабочих мест и активного реагирования на несоответствие профилям безопасности.

Виктор Чащин, МУЛЬТИФАКТОР: Внешние инженеры внедряют решения и уходят, оставляя наедине с результатом заказчика, которого в процессе эксплуатации может ждать серия увлекательнейших квестов какой угодно глубины, обширности и продолжительности. В целом приятно видеть, что документация на технические продукты понемногу перестает вызывать отторжение и наполняется как теоретическими, так и сугубо прикладными аспектами эксплуатации.

Дмитрий Овчинников, Газинформсервис: Проблемы совместимости СЗИ с прикладным и системным ПО, другими СЗИ были, есть и будут. Однако при правильном проектировании систем защиты информации остроту таких проблемы всегда можно снизить до приемлемого уровня.

Андрей Шпаков, Компания "Актив": После ухода большей части зарубежных производителей с рынка мы можем констатировать улучшение ситуации по совместимости различных ИБ-решений. Сокращение количества игроков на рынке заставило оставшихся российских производителей активно сотрудничать между собой, предлагая совместные решения своим заказчикам. Например, продукты и решения "Рутокен" имеют официально подтвержденную сертификатами совместимость с решениями более чем 60 российских разработчиков СЗИ. Каждый продукт тестируется в совместных сценариях с технологическими партнерами, среди которых ведущие отечественные разработчики операционных систем, решений для ЭДО, удаленного банкинга и СЗИ.

Дмитрий Хомутов, Айдеко: Проблема совместимости остается, но производители ее понимают и занимаются ее решением. Например, в решении Ideco UTM мы стремимся сделать максимальную универсальность: наше решение может по протоколу IPSec объединять офисы с оборудованием Cisco, CheckPoint, Fortinet, Mikrotik и других вендоров, что на самом деле редкость как для отечественных, так и для зарубежных решений.

Сергей Груздев, Аладдин Р.Д.: Массовый переход на удаленку предполагает использование виртуальных рабочих мест, а с российскими системами VDI пока не все так хорошо, как многим хотелось бы.

Назовите топ-3 ошибок с точки зрения ИБ при организации и настройке удаленных рабочих мест, согласно вашему опыту за последние два–три года.

Дмитрий Хомутов, Айдеко:

1. Использование небезопасных устаревших VPN-протоколов и протоколов шифрования – PPTP, DES, L2TP/IPSec.
2. Одинаковые настройки доступа пользователей, подключившихся изнутри сети и извне.
3. Отсутствие двухфакторной аутентификации, когда полагаются на сертификаты или учетные данные, риск утечки которых очень высок.

Андрей Шпаков, Компания "Актив":

1. Ожидание, что российское СЗИ будет иметь такой же функционал, как СЗИ ведущего мирового производителя. Необходимо определить основные потребности, которые нужно закрыть сейчас, и дополнительные, которые можно будет обеспечить в следующих версиях продукта.
2. Отсутствие качественного пилотирования решения перед закупкой.
3. Использование только ненадежной связки "логин-пароль" для аутентификации в информационных системах вместо средств многофакторной аутентификации. Пароли – уязвимое место даже самой защищенной информационной системы.

Сергей Володин, АМТ-ГРУП:

1. Отсутствие строгой парольной политики для учетных записей удаленного доступа.
2. Публикация RDP-серверов вовне без применения VPN-шлюзов.
3. Предоставление полного доступа к внутренней сети удаленным пользователям.

Дмитрий Овчинников, Газинформсервис:

1. Вера в защиту данных посредством VPN. VPN – это только часть ИБ, и данные надо защищать комплексно.
2. Вера в то, что переезд в облако сразу же решит все проблемы с доступом к данным и их утечками. Облака надо тоже защищать.
3. Пренебрежение обучением персонала. Персонал всегда надо было учить, а с переходом на технологии удаленного доступа его надо учить основам безопасности и работам с данными еще более усердно, чем раньше.

Дмитрий Поливанов, ДиалогНаука:

1. Предоставление сотруднику компьютера, на котором из средств защиты настроен только VPN-канал, а все остальное (антивирусные средства, средства удаленного управления, локальный межсетевой экран и далее по списку) оставлено без внимания.
2. Установка VPN-клиента на домашний компьютер сотрудника без возможности его администрирования и контроля.
3. Разрешение неконтролируемого взаимодействия с ресурсами сети "Интернет" при поднятом VPN-канале до сети организации.

Артем Туренок, ДиалогНаука:

1. Отсутствие двухфакторной аутентификации при организации удаленного доступа.
2. Отсутствие контроля удаленных рабочих мест и активного реагирования на несоответствие профилям безопасности.
3. Отсутствие контроля передаваемой (обрабатываемой) информации с удаленных АРМ и на них.

Владимир Абрамов, PRO32:

1. Неправильная настройка удаленного доступа и отсутствие контроля над активностью пользователей.
2. Отсутствие многофакторной аутентификации и слабые пароли.
3. Слишком уверенные в своих силах системные администраторы.

Сергей Груздев, Аладдин Р.Д.: Вместо трех назову одну – горе от ума. Многие пытаются креативить и навязать специалистам, что и как надо сделать. Ни к чему хорошему это, как правило, не приводит. Есть готовое сертифицированное решение, выстраданное, протестированное, проверенное, наработаны лучшие практики – просто бери и пользуйся.

По вашему мнению, пройдена ли нижняя точка кризиса, связанного с уходом большинства иностранных вендоров с российского рынка, в аспекте организации безопасной удаленной работы?

Андрей Шпаков, Компания "Актив": С момента ухода зарубежных производителей с рынка прошло больше года. За это время заказчики осознали новую реальность и начали выстраивать долгосрочные отношения с российскими производителями. Такие отношения стали существенным драйвером развития для многих компаний на рынке ИТ и ИБ. Таким образом, считаю, что мы прошли нижнюю точку. Со временем заказчики будут получать все более и более совершенные продукты для решения своих задач.

Дмитрий Поливанов, ДиалогНаука: Еще до ухода иностранных вендоров на рынке были представлены отечественные аналоги практически всех средств для организации удаленной работы. Да, порой с менее богатым набором функций, но сейчас ведутся активные работы по нивелированию этого отставания, поэтому мой ответ скорее "да": паника позади и многие с холодной головой либо уже осуществили переход на отечественные решения, либо на пути к этому.

Сергей Груздев, Аладдин Р.Д.: На регулируемых рынках можно сказать, что "отряд не заметил потери бойца". В коммерческом сегменте образующиеся пустоты заполняются достаточно быстро.

Артем Туренок, ДиалогНаука: На текущий момент на российском рынке существует пять-шесть крупных вендоров для организации VPN. После ухода зарубежных вендоров наблюдается сильное развитие функциональных возможностей продуктов и интеграции их с другими ИБ-решения (этого или другого вендора), что позволяет им встать в одну линию с зарубежными решениями. Если организация не использовала VPN с использованием ГОСТов, а строила VPN с использованием зарубежных алгоритмов, то можно сказать, что нижняя точка кризиса ею не пройдена.

Дмитрий Овчинников, Газинформсервис: Вот сейчас мы как раз и находимся в нижней точке кризиса. Старые решения по-прежнему работают. Их нельзя обновить, и для них не купить техническую поддержку, но они функционируют. При этом важно понимать, что развертывание новых инсталляций в старой парадигме невозможно. Если в будущем появятся стабильные и масштабируемые решения от отечественных производителей, тогда и можно будет говорить об успешном прохождении кризисной ситуации. Предлагаю вернуться к этому вопросу через пару лет, чтобы посмотреть на результат.

Сергей Володин, АМТ-ГРУП: На текущий момент далеко не все компании определились с вариантами замены ушедших с рынка решений. Соответственно, повсеместно продолжают применяться ранее используемые зарубежные решения при отсутствии поддержки ушедших вендоров. Кроме того, не всегда существующие отечественные решения могут обеспечить требуемую функциональность. Таким образом, осознание проблематики и необходимости замены решений у организаций в полной мере есть, но непосредственно замена и настройка решений для большинства еще впереди.

Дмитрий Хомутов, Айдеко: Нижняя точка кризиса по-прежнему не пройдена, ведь большая часть западных решений все еще продолжает работать, хотя уже без подписок на обновления, устранения уязвимостей, поддержки и сигнатур, что существенно снижает защищенность отечественной инфраструктуры. Многие только готовятся к переходу на отечественные решения, откладывая его на 2024 г.

Как скажется прогнозируемый дефицит микроэлектроники на архитектуре удаленного доступа, используемой российскими заказчиками, в перспективе двух лет?

Андрей Шпаков, Компания "Актив": Мы столкнулись с двумя волнами дефицита – во время пандемии в 2020 г. и в начале 2022 г. Производители средств защиты перенесли их довольно болезненно. Но на текущий момент уже произошел переход на аппаратную базу производителей из дружественных стран, а в ряде случаев обеспечена локализация производства. В результате сейчас заказчик может приобрести подходящее оборудование. Но нужно понимать, что оно будет несколько дороже, а сроки поставки будут несколько дольше, чем были раньше.

Дмитрий Хомутов, Айдеко: Существенного дефицита электронных компонентов на рынке сейчас нет. Да, в основе серверов и оборудования лежит микроэлектроника зарубежного происхождения, но с ее доступностью проблем мы не видим. Что же касается 100%-ных российских решений, то их появления в ближайшие годы я не ожидаю, это утопия.

Дмитрий Овчинников, Газинформсервис: Удаленный доступ – это просто один из сегментов ИТ-области. Нехватка новых серверов и оборудования скажется на нем ровно так же, как и на всей ИТ-отрасли, то есть произойдет уменьшение объемов и предоставляемого функционала. Это, в свою очередь, приведет к тому, что к проектированию и закупкам будут подходить более реалистично и взвешенно, сокращая горизонт использования текущих решений до двух-трех лет.

Сергей Щеглов, ГЕТМОБИТ: Непосредственно на архитектуру решений для удаленного доступа дефицит микроэлектроники если и окажет, то весьма несущественный эффект. Это связано с тем, что там, где требуется специфическая для ИБ микроэлектроника, удаленная работа пока невозможна. Вместе с этим регуляторы видят риски потенциального дефицита, и ответом видится выделение ПАК по ИБ в отдельный класс со своими собственными требованиями по безопасности.

Сергей Груздев, Аладдин Р.Д.: На ситуацию больше влияет не дефицит микроэлектроники – этот вопрос успешно решается, а санкции на поставку тяжелых серверов, в первую очередь для VDI.

Дмитрий Поливанов, ДиалогНаука: Уже многие отечественные игроки рынка ИБ нашли альтернативные варианты поставок аппаратных платформ для своих решений, поэтому не предвижу каких-то кардинальных изменений в будущем, кроме как, возможно, ценовой составляющей.

Артем Туренок, ДиалогНаука: С конца 2022 г. проблема не стоит слишком остро: российские вендоры решили проблемы с логистикой аппаратных платформ, а также начали выпускать собственные. Не стоит также забывать и о возможности использования виртуальных устройств в качестве VPN-шлюзов.

Сергей Володин, АМТ-ГРУП: Будут применяться программные комплексы, функционирующие на платформах виртуализации, а также будет развиваться функционал криптографических шлюзов для обеспечения возможности замены периметральных межсетевых экранов, что снизит потребности в количестве требуемого оборудования.

Владимир Абрамов, PRO32: Прогнозируемый дефицит микроэлектроники сказался только на ценообразовании. Бизнес – это та сфера, где при наличии малейшего шанса будет приложен максимум усилий к тому, чтобы продолжить расти, развиваться и зарабатывать вне зависимости от накладываемых ограничений.