Ключевой темой прошедшего года является безопасность критической информационной инфраструктуры (КИИ). Сейчас активно идет процесс категорирования объектов КИИ, однако ситуация с реальной защищенностью российских предприятий из перечисленных в законе сфер деятельности оставляет желать лучшего. Вопросы реализации требований по информационной безопасности на российских предприятиях в проектах цифровой трансформации мы обсудили с Александром Новожиловым, генеральным директором компании «АйТи БАСТИОН»
– Какова, на ваш взгляд, сейчас ситуация со следованием требованиям по информационной безопасности в проектах цифровой трансформации российских промышленных предприятий?
Из года в год мы с вами собираемся на конференции АСУ ТП КВО, говорим про защиту КИИ, про Приказ №31 ФСТЭК России, но ничего не меняется. Теперь уже начались разговоры о цифровизации, хотя есть ощущение, что никто не знает, чем она отличается от автоматизации. Отмечу вот что: те, кто занимался автоматизацией, теперь уже продолжают заниматься цифровизацией. Их реально волнуют проблемы безопасности, они реально внедряют новые системы, двигаются вперед. Все остальные сидят и ждут какого-то нагоняя от регулятора. Регуляторы говорят: дорогие организации, вы должны обеспечивать собственную информационную безопасность. Но за этим никаких шагов со стороны организации не следует. В итоге у нас в стране очень многие компании говорят: «Пусть ФСТЭК России или Минтранс, или Минсвязь, или Минэнерго – кто-то возьмет и в самом ведомстве придумает «модель нарушителя» или «модель угроз». Нам все это принесет, мы радостно «отработаем» все на бумаге». Но фактически, скорее всего, никто ничего делать не будет. Это максимально честное описание текущей ситуации.
– Неужели все так пессимистично?
В лучшую сторону отличаются компании, которые реально занимаются бизнесом и которым есть, что терять. Они уделяют огромное внимание безопасности. Они, безусловно, оглядываются на требования регуляторов, но такой бизнес рассматривает угрозы сами по себе, изучает, чем в новое время новые угрозы опасны для его процессов. Такие компании решают проблему безопасности своего бизнеса, чтобы он не остановился, чтобы никто не украл инновации и секретные разработки. Самое смешное, что впоследствии оказывается: такие компании уже соответствуют требованиям регулятора, которые появляются чуть позже. Регулятору требуется время на анализ: необходимо понять, реальная возникает угроза или выдуманная. Ведь маркетинг производителей не стоит на месте: все пугают друг друга. Соответственно, регуляторам, в том числе ФСТЭК России, нужно отфильтровать маркетинговые запугивания от реальных угроз. Поэтому получается, что требования регулятора приходят чуть позже, чем появляются актуальные угрозы. Требования регулятора появляются тогда, когда инструменты уже есть, и они уже используются. А остальные товарищи ждут, когда их заставят заниматься своей работой. Наверное, тем, кто читает это интервью, нужно определиться – кто они? Кто занят делом и реально выполняют свою работу или просто пытается избежать уголовной ответственности на своем рабочем месте?
– Кого вы можете назвать из тех компаний, которые серьезно работают над собственной безопасностью?
Тех, кто занимается реальными задачами, – их много. Наш опыт показывает, что это компании в нефтегазовом секторе, в производстве. Скажем, «Норникель», «Северсталь», уже давно озабочены вопросом информационной безопасности, они растут в этом направлении, более того, они заняты не только защитой производства, много внимания уделяется корпоративным системам, ERP-системам, SAP. Эти компании открыты для сотрудничества, и мы готовы поделиться опытом совместного решения задач. В процессе такого общения рождается нечто новое, в том числе идеи новых продуктов.
Интересно, что в 2018 г. нашим самым продвинутым заказчиком оказалось одно из силовых ведомств. Контроль и защита удаленного доступа для него стали даже более актуальными, чем для бизнеса. Без раскрытия деталей – мы стали «продуктом must have» для всех структур этого ведомства. К сожалению, не могу рассказать про все интересные проекты в силу конфиденциальности.
– Какие планы у компании «АйТи БАСТИОН» на 2019-й?
У нас готовится к выходу на российский рынок новый продукт. Он будет особенно интересен владельцам АСУ ТП. Последние годы очень много разговоров на российском рынке шло о системах типа Data Diode, но «в железе» почти ничего не было. Мы, не изменяя себе, выполняем свою миссию по поиску наиболее перспективных технологий во всем мире и внедрению их в России и сейчас занимаемся адаптацией европейской технологии к русским реалиям, которая позволит реализовать, я бы сказал, Data Transistor. Это управляемая безопасная передача данных между АСУТП и внешней сетью, например корпоративной. Скоро вы увидите этот продукт. О нем мы будем говорить на нашем стенде на выставке АСУ ТП КВО, а также на круглом столе.