Как противостоять современным угрозам? Эволюция кибербезопасности.
Денис Прынков.
Заместитель директора по проектной деятельности. Информационные системы и аутсорсинг.

История развития систем защиты информации — это история борьбы. Не с хакерами. Это история борьбы разработчиков с проблемой роста масштаба. Тридцать лет назад мы передавали друг другу информацию на дискетах. Самой актуальной угрозой были вирусы, которые могли содержаться в файлах на этих дискетах. Необходимым и достаточным средством защиты информации были антивирусные программы на каждом компьютере. Но потом компьютеры объединились в локальные сети, а локальные сети получили выход в Интернет. Это многократно увеличило количество вероятных угроз, поэтому нам понадобились межсетевые экраны. Организациям, имеющим территориально-распределённую структуру, понадобилось защищать каналы передачи данных между своими сетями, и производители добавили в межсетевые экраны функцию шифрования трафика.
Постепенно сети всё разрастались. В какой-то момент мы пришли к тому, что стоимость полного блокирования угроз стала сопоставима с ценностью защищаемой информации.
Ситуация усугубилась с ростом числа zero-day угроз. И тогда произошла смена парадигмы. Мы перекрыли наиболее очевидные уязвимости, но отказались от идеи абсолютной защиты. Рано или поздно атака произойдёт. И наша задача — вовремя её заметить и принять меры. Такая смена подхода нашла поддержку со стороны российского государства.
Следующий шаг — внедрение системы анализа угроз. Такая система анализирует многочисленные события, регистрируемые сенсорами, и формирует на их основе сообщения об инцидентах.
Но когда мы имеем дело с zero-day угрозами, система анализа инцидентов может лишь высказать предположение, что обнаруженная аномалия является инцидентом, давая тем самым сигнал для специалиста. И лишь высококвалифицированный эксперт способен принять взвешенное решение, с чем на самом деле мы имеем дело. Для этого в крупных организациях создают собственные центры мониторинга, эксперты которого в режиме реального времени отслеживают сигналы, генерируемые системой анализа инцидентов, и принимают необходимые меры.
Мы решили проблему масштаба технически, но не организационно. Любой инцидент информационной безопасности должен порождать целый комплекс мероприятий. То есть, если выявление инцидентов — это техническая проблема, то вопрос реагирования на инциденты лежит уже в организационной плоскости. Но и этот процесс тоже можно и нужно автоматизировать. Мы используем для этого нашу собственную разработку — систему DocShell 4.0. DocShell разработан как средство комплексного управления информационной безопасностью в любой организации. В частности, система управления инцидентами гибко подстраивается под иерархическую структуру организации, обеспечивая координацию и подотчётность действий сотрудников на всех уровнях управления.
Кроме работы с инцидентами DocShell реализует комплексное управление ИБ в любой организации, в том числе, управление компетенциями сотрудников, организационно-распорядительной документацией и активами информационной безопасности.
Роль информации в обществе всё увеличивается. Растут значение и масштабы информационной инфраструктуры, и вместе с этим растёт количество и уровень угроз информационной безопасности. Прежние методы защиты по-прежнему нужны, но их недостаточно. Пора переходить от «глухой обороны» к активному противодействию компьютерным атакам. Пора перестать рассматривать информационную безопасность как чисто техническую проблему и внедрять в жизнь организационные меры защиты информации. Только симбиоз технически совершенных аналитических средств, квалифицированной экспертизы Центра Мониторинга и систем автоматизации менеджмента ИБ способен противостоять современным угрозам.