[Технологии] Бизнес живет мифами о защите данных в мобильных устройствах

CNews:

Не будет ли более выгодно, удобно и надежно пользоваться специализированными решениями под каждую задачу?

Сергей Орлик:

Когда финальное решение, предлагаемое интегратором, поставщиком или вендором, состоит из энного количества разных кусочков, нередко написанных в разных странах, оргструктурах и подразделениях, между ними всегда существуют зазоры. Представьте, что вы доверите строить ваш дом сразу нескольким подрядчикам. Часть фундамента заливает один, часть – другой. Разные умельцы по очереди прокладывают фрагменты водопровода, канализации. В разных частях дома используются разные конструкционные решения. Такое сооружение скорее напоминает лоскутное одеяло.

CNews:

Насколько серьезно сами компании относятся к актуальным проблемам ИБ? И какова роль регулятора в решении этих вопросов?

Сергей Орлик:

Иногда, первая реакция тех, кто много лет работал в области защиты периметра, но начал осознавать проблему утечек с мобильных устройств, – ограничиться формальными вопросами. Не секрет, что во многих компаниях существует такое явление, как "бумажная безопасность". Сертификат есть? Есть! А то, что он один, поставлен другой, а используется третий – никого не волнует. Формально закрылись, можно даже сказать "прикрылись".

Однако регуляторы, такие как ФСТЭК, отдают себе в этом отчет и предпринимают последовательные шаги, чтобы систематизировать и институализировать процесс обновления сертифицируемых продуктов и отслеживания в них баз уязвимостей. К сожалению, из-за недостатка доступных ресурсов не всегда удается пойти дальше переводов результатов работ различных международных структур и национальных институтов (например, НИСТ США делает огромную работу для всей индустрии и публикует результаты). Да, выпускаются требования к определенным классам ПО, но, в силу недостатка ресурсов, у многих просто нет возможности быстро актуализировать свои рекомендации и требования.

Некоторые требования до сих пор не являются публичными, а "для служебного пользования". Однако тот комплекс наднациональных угроз, который существует и подтвержден WikiLeaks, подталкивает к тому, чтобы ускорить эту работу, особенно для новых классов ПО. И очень радует, что ряд регуляторов, даже не связанных с техническими аспектами, уделяет им серьезное внимание.

Сегодня модна тема финтеха, которая стала одним из фокусов Международного экономического форума в Санкт-Петербурге. Финтех, блокчейн, цифровизация экономики – теперь на устах у высшего руководства финансовых и госструктур. Отрадно, что Банк России сделал огромный рывок в этой области. Учитывая специфику использования мобильных устройств и реалии сегодняшнего дня, он выпустил не просто рекомендации, а подготовил новый стандарт ГОСТ. Возможно, были учтены не все вопросы, но уже сделанные шаги в этой новой для регуляторов области дают основания для оптимизма в отношении перехода от формального бумажного взгляда к более реалистичному и актуальному.

CNews:

Как можно технически предотвратить или снизить риск человеческого фактора в сфере информационной безопасности? Если возможно, проиллюстрируйте кейсами из своей практики.

Сергей Орлик:

Давайте посмотрим на конференции, которые проходят по информационной безопасности. На них присутствуют профильные специалисты, отвечающие за инфраструктуру, за регламенты, за ИБ. А топ-менеджеров, операционных директоров на них нет, к сожалению. Им эта тема не интереса до тех пор, пока они не потеряют свою должность из-за того, что станут причиной утечки информации. Специалисты по информационной безопасности должны централизованно объяснять нюансы директорам. Я не случайно подчеркиваю это в интервью CNews, входящему в холдинг РБК. Специалист должен напомнить директору о рисках, которые связаны, например, с тем, что он просит передать свой планшет через водителя системному администратору, чтобы тот поставил обновления.

Также важно повышать квалификацию специалистов по ИБ, чтобы перейти от практик последних 20-30 лет к сегодняшним реалиям. Ну нет ее, реальной контейнеризации, MDM-агента не будет на мобильном устройстве акционера, бэкап можно взломать брутфорсом, в личный iCloud автоматически отправляются корпоративные данные, и можно не просто сделать копию экрана, а его фото другим устройством и отправить на личную почту – на эти аспекты нужно обращать внимание.

Вполне естественно, что компании не публикуют информацию о своих утечках. Как говорится, грех не беда, молва нехороша. Мы не знаем о многих реальных кейсах в области информационной безопасности, но мы знаем о реальных рисках и должны о них помнить. Поэтому обсуждать такие вопросы нужно не только в узком кругу экспертов, а с бизнесом, который сам должен быть в этом заинтересован.

CNews:

В чем вы видите специфику работы над WorksPad?

Сергей Орлик:

К сожалению, корпоративные пользователи смотрят на решения в сфере мобильности глазами обычных потребителей. А специфика состоит в том, что только огромные целенаправленные инвестиции позволят создать такое решение, как WorksPad: удобное с точки зрения сценариев корпоративной работы с почтой, документами, архивами, множеством календарей, при этом будет отвечать актуальным требованиям информационной безопасности.

Обычная студия, рисующая потрясающе красивый пользовательский интерфейс, не обладает тем опытом, который нужен для безопасной работы с корпоративными системами. Команда, создающая обычный сайт, не будет делать веб-интерфейсы для внутрикорпоративной финансовой системы, потому что требуется интеграция в инфраструктуру предприятия. И мы, "МобилитиЛаб", на сегодня обладаем, наверное, одной из наиболее сильных продуктовых экспертиз в области корпоративной мобильности.

Мы начали развивать решение WorksPad с 2011 года, а весной 2012 года вошли в ИТ-кластер и стали резидентом фонда "Сколково". Изначально мы фокусировались на повышении продуктивности работы корпоративных пользователей, которых уже не устраивают разрозненные приложения: отдельно почта, календарь, контакты, файлы, редактор, браузер, архиватор и так далее. Мы предложили эффективное решение, объединяющее большинство типовых инструментов для обычных и синхронных коммуникаций. Понимая значимость информации, с которой работают наши заказчики, мы уделяем много внимания и сил решению задач информационной безопасности. Еще в 2014 году в тестах Veracode мы достигли общего уровня безопасности VL4, эквивалентного соответствующей градации NIST в отношении работы с критичной для бизнеса информацией. И сейчас активно развиваем сотрудничество с российскими производителями по использованию различных средств анализа уязвимостей.

Поэтому решение WorksPad позволяет адекватно ответить на многие угрозы и вызовы, связанные с повсеместным использованием мобильных устройств, в том числе и личных (в рамках модели BYOD). А что касается функционала, то мы готовы открыто сравнивать наш продукт с такими грандами индустрии как Blackberry и IBM. И, кстати, в 2016 году "МобилитиЛаб" стала одной из 20 компаний, названных CIO Review наиболее многообещающими в мире в области BYOD-решения.

По материалам: Cnews

Страницы: 1 2 3