Казахстанская система информационной безопасности страдает от нехватки кадров. Региональный директор Fortinet Еркебулан Туткабаев рассказал о проблемах отрасли и о том, какое положение занимает сейчас ИБ в структуре разных видов бизнеса и госорганах.
— Какие проблемы в области информационной безопасности (ИБ) есть в Казахстане?
В Казахстане существует дефицит кадров в области информационной безопасности. Далеко не каждая организация может позволить себе содержать штат, который был бы адекватным и соразмерным тому перечню решений по ИБ, который они на сегодняшний день используют. По нашей статистике, организации используют от 6 до 30 решений так или иначе связанных с информационной безопасностью и отсюда прямо вытекает проблема кадров. В идеале, люди отвечающие за ИБ должны быть узкими экспертами, конкретно в той системе на базе которой работает то или иное решение.
Кроме этого, формы бизнеса, чьи процессы напрямую связаны с информационной безопасностью хотят видеть централизованную систему мониторинга, иметь возможность централизованного управления всеми этими элементами безопасности.
— От каких компаний поступают эти запросы?
Мы видим, что такой запрос имеется у производственных компаний, ритейла, организаций так или иначе завязанных на информационных системах. Попробуйте лишить любую организацию телефонии и почты, бизнес фактически перестанет работать.
— На ваш взгляд почему возникла необходимость в такой интеграции?
Если говорить исключительно в разрезе угроз в области информационной безопасности, то мы видим, что порядка 70% атак, которые успешно осуществляются на сегодняшний день являются автоматизированными. Они сканируют перечень ИТ-адресов и самостоятельно пытаются их атаковать набором вредоносов. Говорить о том, что Казахстан является тихой гаванью интернета и наши заказчики никому не интересны, с точки зрения злоумышленников, не приходится.
Поэтому, в течении последних двух лет мы были свидетелями громких событий, связанных с компрометацией тех или иных информационных систем.
— Что касается темы атак, они возникают и в системах государственных органов? Какие проблемы есть в этом сегменте?
В этом направлении работа ведется, уполномоченными ведомствами вырабатывается ряд нормативных актов, которые являются обязательными для выполнения госорганов. Но ключевая проблема в том, что во-первых, существует дефицит кадров и во-вторых, ИБ для госорганов является относительно новой сферой деятельности. В отличии от ИТ-бизнеса, который уже поставил эти процессы на поток. Проблема еще и в том, что единого хозяина у государственных ресурсов на сегодняшний день нет, что-то находится у МИК РК, что-то у правительства для граждан и т. д.
Соответственно, с учетом разного уровня подготовки людей единого какого-то стандарта не имеется. Но Комитет национальной безопасности работает над системой «Киберщит Казахстан», посмотрим, как это будет имплементировано.
— Вернемся к бизнесу. Как вы работаете с банками в области ИБ?
У нас есть успешно реализованный проект с одним из БВУ по биометрии, удаленному распознаванию лиц и верификации подлинности документов. У нас нет прямого взаимодействия с Нацбанком РК, но уже есть ряд серьезных подвижек, в частности с Народным банком.
— Как это взаимодействие отражается на потребителе банковских продуктов?
Говоря о банках, мы в первую очередь подразумеваем конфиденциальность данных, о защите критичных информационных систем банков. У нас были прецеденты два-три года назад, когда определенные банки становились жертвами и было прямое хищение денежных средств со счетов физлиц. В последствии акционеры за счет собственного капитала дофинансировали банки, чтобы избежать санкций со стороны регулятора.
— К слову. На ваш взгляд, насколько правильно то, что банки или иные компании скрывают факты мошеннических атак на них?
Вполне понятны причины, по которым организации избегают раскрытия подобного рода фактов. Это негативно влияет на их имидж, и порой может сильно пошатнуть бизнес. На западе действует законодательная практика, которая обязывает публичные компании информировать общественность об успешно завершенных проблемах, связанных с кибератаками. Статистику вести они не обязаны, но в тех случаях, когда личные данные пользователей могли бы быть скомпрометированы они должны об этом сообщить. У нас такого требования нет, поэтому очень многие инциденты остаются «под сукном».
— А нужно ли такое требование и что делается в этом направлении?
Насколько мне известно такого рода регулятивные акты не прорабатываются. Но безусловно, если бы они существовали, то в этом случае мы уже говорили бы о совершенно другом уровне, как корпоративной, так и личной ответственности. Но на мой взгляд, в принципе, это должно быть.
— Помимо банковской сферы, промышленных предприятий, телекома, ритейла, для каких компаний тема ИБ также актуальна?
Если проанализировать структуру наших продаж, то приблизительно треть приходится на малые и средние предприятия, организации с численностью персонала до 50 человек. Например, при проблемах с бухгалтерией, если лишить организацию доступа к этой информационной системе, то компания сложностей не оберется, особенно в период сдачи налоговой отчетности.
— И последний вопрос, каким вы видите будущее рынка ИБ решений?
Сегодня мы видим, что слабейшие игроки рынка постепенно выбывают, происходит активное замещение ряда продукции. По нашим данным на сегодняшний день объемы продаж по ИБ решениям растут. То есть сейчас, мы уверенно говорим о признания рынка ИТ-решений. Есть проекты, когда целые комплексы знаний строятся на базе таких решений.
