На конференции BIS Summit 2021 традиционно одна из пленарных сессий была посвящена диалогу с регуляторами, которых представляли заместители руководителей ключевых ведомств - Минцифры и ФСТЭК. Как и прежде, основной акцент делался на защите критической информационной инфраструктуры (КИИ) и импортозамещении. При этом заместитель директора ФСТЭК Виталий Лютиков заявил, что ведомство, которое он представляет, серьезно активизирует продвижение методологий безопасной разработки.
© ComNews
27.09.2021

Конференция BIS Summit, посвященная практическим аспектам обеспечения безопасности бизнеса, прошла в текущем году в 14-й раз. В этот раз форум состоялся в гибридном режиме, однако количество онлайн-участников было почти втрое больше, чем тех, которые участвовали очно.

Главной темой BIS Summit 2021 стала цифровая трансформация и то, как она влияет на киберриски. Не секрет, что цифровой мир, который сейчас строится, представляет собой, по большому счету, бета-версию с большим количеством ошибок и уязвимостей. А использование несовершенных технологий, как напомнил председатель правления Ассоциации руководителей служб информационной безопасности Виктор Минин, неизбежно ведет к росту кибератак и краж информационных активов. Тем не менее начинает появляться опыт того, что компаниям удавалось построить устойчивую и безопасную цифровую инфраструктуру.

Как напомнил заместитель министра цифрового развития, связи и массовых коммуникаций Российской Федерации Александр Шойтин, обеспечению информационной безопасности уделяется значительное внимание в концепции национальной безопасности. Там нашли отражение такие проблемы, как обеспечение киберустойчивости, защита КИИ, импортозамещение, борьба с киберпреступностью и противодействие деятельности зарубежных киберразведок. Также заместитель руководителя профильного ведомства анонсировал изменения в законодательство по защите персональных данных в плане введения регулирования оборота обезличенных данных, необходимых для работы сервисов с использованием искусственного интеллекта (ИИ).

Главной проблемой, по мнению Александра Шойтина, является дефицит кадров. Профильное ведомство ведет соответствующую работу, в частности прием в вузы по профильным специальностям удвоился. Но результаты, по понятным причинам, будут позже. В итоге, как отметил Виктор Минин, имеет место жесткий дефицит сотрудников первой и второй линий в системных центрах обеспечения безопасности (SOC). Также, по его мнению, серьезным вызовом является отставание развития ИБ от ИТ, в итоге нападающая сторона получает преимущество. При этом встраивать механизмы безопасности часто приходится буквально на ходу, и многие при этом начинают воспринимать ИБ в качестве тормоза процессов цифровизации.

Заместитель директора ФСТЭК Виталий Лютиков посетовал, что разработчики решений, поступающих на сертификацию в испытательные лаборатории данного ведомства, очень неохотно внедряют методологии безопасной разработки. Но без внедрения этих методик невозможно добиться сертификации на соответствие более-менее высоким уровням. И в целом культура безопасной разработки должна стать нормой.

Как напомнил Виталий Лютиков, рекомендации применять методологии безопасной разработки появились в 2016 г. В 2018 г. введены проверки применения ряда процедур. В течение двух лет ФСТЭК, что называется, выдерживала паузу, но с текущего года, как предупредил заместитель директора ФСТЭК, количество процедур, связанных с контролем соблюдения процедур методологий безопасной разработки, будет неуклонно расширяться. По мнению Виталия Лютикова, эти меры позволят выявлять уязвимости и критичные ошибки уже на стадии разработки, и это будет быстрее и дешевле, чем потом выявлять эти прорехи. Обратной стороной использования методологий безопасной разработки, как отметила президент ГК InfoWatch Наталья Касперская, является удлинение цикла создания программных продуктов.

Особо Виталий Лютиков отметил риски, связанные с использованием компонентов с открытым кодом. Многие из них содержат множественные уязвимости. Но разработчики уделяют недостаточное внимание экспертизе и аудиту компонентов и библиотек с открытым кодом. В качестве положительного примера адаптации СПО названо создание центра аудита исходных кодов компонентов ОС Linux на базе Института системного программирования РАН.

Новости из связанных рубрик