03 марта 2014
Проект «Мнения». Опрос № 7
На Портале Sec.Ru в рамках раздела Публикации активно развивается рубрика под названием «Мнения».
Идея проекта проста: редакция Портала придумывает вопрос, рассылает его участникам проекта, а те, в свою очередь, дают комментарии на заданную тему. Далее все присланные ответы публикуются на страницах Портала. Вопросы могут касаться как отрасли безопасности, так и общих тем.
Участники седьмого опроса отвечали на следующий вопрос:
Плюсы и минусы "облаков" для систем безопасности. Есть ли перспективы и в чем они?
Катажина Хоффманн-Селицка
Менеджер по продажам HID Global в Восточной Европе
Рынок облачных услуг в России вступает в активную фазу развития, и спрос на облачные сервисы среди российских заказчиков начинает постепенно возрастать. При размещении приложений в облаке компании получают гораздо более высокий уровень производительности и гибкости системы, который им был недоступен ранее. Тем не менее, по мере развития данного тренда все более актуальными становятся вопросы обеспечения безопасности информации, хранящейся в облаке, и контроля доступа к данным. Некоторые компании еще боятся отдавать свои ресурсы в чужую инфраструктуру, поскольку с облачными вычислениями связаны как традиционные, так и новые угрозы в области безопасности. Однако благодаря последним разработкам в сфере защиты данных эти проблемы начинают постепенно решаться.
Одной из первоочередных задач в данной области становится безопасный выпуск идентификационных данных, проверка подлинности и определение личности пользователя при доступе к данным в облаке. В связи с этим широкое распространение получают системы многофакторной аутентификации, которые позволяют пользователям безопасно подключаться к облачным ресурсам в любом месте и с помощью любого устройства. В качестве второго фактора аутентификации, позволяющего осуществлять цифровую подпись и шифрование данных, используются OTP-токены (One-Time Password tokens), смарт-карты, а также софт-токены для мобильных и планшетных операционных систем. Пользователи загружают софт-токены через магазины приложений и с их помощью генерируют на своем устройстве одноразовые пароли для получения доступа к корпоративным приложениям в облаке.
Подобный подход позволяет решить вопросы, связанные с обеспечением безопасности в облаке. С помощью многоуровневых ИБ-систем можно обеспечить большую защиту и лучший контроль облачных инструментов, используемых сотрудниками. Таким образом, организации получают возможность воспользоваться всеми преимуществами облачных сервисов – повышение гибкости бизнеса, сокращение затрат на построение ИТ-инфраструктуры – без ущерба корпоративной безопасности.
Александр Санин
Коммерческий директор компании Аванпост
В последние годы тема перехода в «облака» набирает все большие обороты. Это понятно, ведь плюсы от такого перехода с точки зрения ИТ видны невооруженным взглядом — экономия, эффективность и надежность, мобильность. Тем не менее, есть и минусы, и в первую очередь, они связаны с вопросами информационной безопасности.
Расписывать все минусы «облаков» с этой точки зрения довольно долгое и трудоемкое занятие. Тем более, что придется рассматривать их для различных моделей «облаков» IaaS, SaaS, PaaS, а также отдельно для «облаков» публичных и приватных/частных. Однако можно остановиться на одной из наиболее животрепещущих проблем всех публичных «облаков». Это размытие периметра безопасности и, как следствие, невозможность контролировать безопасность привычными средствами. Данные в облаке могут одновременно храниться на огромном количестве серверов по всему миру. Также есть вопросы доверия и к самому «облачному» провайдеру, и к «соседним облакам», ибо контролировать те процессы, что протекают в облаке на соседних виртуальных машинах, нереально. Тем не менее, в последние годы мировое сообщество активно разрабатывает стандарты по обеспечению безопасности «облаков», причем ряд документов на Западе уже выпущен. Судя по последним сводкам, не за горами и отечественные стандарты в данной области. Так что можно с уверенностью сказать — у безопасности «облаков» светлое будущее.
Валерий Андреев
Заместитель директора по науке и развитию компании ИВК
Все плюсы-минусы систем информационной безопасности для «облачной» парадигмы вычислительного процесса осмыслены и зависят, в первую очередь, от модели «облака». Основным плюсом самых «слабых» моделей является перенос основного акцента в ИБ на провайдера сервисов облака. Считается, что решить проблемы ИБ на центральном объекте (или нескольких объектах) проще и надежнее, чем решать распределенную задачу обеспечения безопасности информации с учетом максимизации СЗИ (СКЗИ) на клиентской стороне.
На этом весь «плюс», собственно, и заканчивается, так как решение этой задачи на сегодняшний день не завершено. Нет универсального (стандартизованного) решения, недостаточна нормативно-правовая база, мало реальных продуктов, высоки затраты на внедрение и поддержку защищенных облачных сервисов. Словом, весь необходимый путь здесь еще не пройден, поэтому плюсов пока существенно меньше, чем минусов...
Рустэм Хайретдинов
CEO компании Appercut Security
«Облачные» сервисы информационной безопасности существуют давно и количество их постоянно растет. Есть сервисы, «облачное существование» которых дает им сильное преимущество – например, защита от DDoS-атак. Различные облачные сканеры уязвимостей веб-приложений – от бесплатных до самых “навороченных” тоже появляются чуть ли не каждый месяц. Многие корпоративные продукты становятся доступны в облегченной версии в “облаках” через веб-интерфейсы.
Пока ими пользуются, в основном, небольшие компании, считающие деньги и экономящие на инфраструктуре. Для проникновения на корпоративный рынок «облачным» сервисам предстоит решить еще одну задачу.
Передача данных в «облако», будь то логи системных событий для анализа «облачными» системами противодействия таргетированным атакам или информация об установленных обновлениях для сканеров уязвимостей – большой стресс для служб информационной безопасности. Требуются более надежные, чем дисклеймер на сайте, гарантии того, что эти данные не попадут в чужие руки – они вполне себе могут быть использованы против компании. Что тогда говорить об «облачных» системах анализа исходных кодов приложений – ведь для получения отчета об уязвимостях в коде надо загружать весь код на сайт, а это чревато не только тем, что кто-то еще может получить доступ к информации о найденных уязвимостях, но и нарушить права интеллектуальной собственности разработчиков приложения.
Пока компромиссом при внедрении «облачных» сервисов информационной безопасности является их развертывание в доверенном «частном облаке» - своем собственном или проверенного, надежного партнера. Такое облако контролируется гораздо жестче, чем публичное, компаниям понятно, куда попадают данные и с кого спрашивать за возможные нарушения их конфиденциальности. Такие внедрения иногда лишают сервисы некоторых функций, особенно связанных с «большими данными», получаемыми со всего мира, поэтому такие внедрения не полностью удовлетворяют клиентов. Скорее всего, «облачные» сервисы информационной безопасности будут развиваться в сторону «гибридных облаков», состоящих из двух связанных между собой облачных сервисов. Модуль для частного облака будет работать с первичной чувствительной информацией (логами, патчами, кодами), передавая ее после обезличивания и хеширования в «облако» публичное. Такая архитектура должна позволить соблюсти баланс требуемой функциональности и конфиденциальности чувствительной информации о событиях в корпоративной сети и найденных уязвимостях.
Иван Медвед
Директор по развитию бизнеса в области хостингового видеонаблюдения Axis Communications
Сегодня всё больше и больше ИТ-предприятий перемещают свои решения в "облако", и индустрия безопасности тоже готова представить своим заказчикам преимущества использования облачных решений или услуг, размещаемых во внешней инфраструктуре. Цифровые сети камер IP видеонаблюдения не только обеспечивают намного более качественное изображение, но предусматривают возможность удалённого доступа, в частности, поддерживают работу сразу нескольких авторизованных пользователей, которые могут просматривать живое видео или записи видеонаблюдения в любое время и практически из любой сети в любой точке мира. Это фактор является особенно привлекательным, если заказчик нуждается в том, чтобы предоставлять доступ к видеонаблюдению сторонним компаниям, например, фирмам, занимающимся обеспечением безопасности.
Сетевая система видеонаблюдения может развиваться вместе с ростом потребностей пользователей. Благодаря использованию протокола IP многочисленные сетевые камеры и кодеры сигнала изображения, а также другие виды устройств могут задействовать для передачи своих данных одну и ту же проводную или беспроводную сеть. В результате в систему можно добавить любое количество сетевых видеокамер, без значительного изменения топологии сети или удорожания сетевой инфраструктуры.
В результате, система видеонаблюдения, работающая на базе протокола IP, обычно отличается меньшей стоимостью владения по сравнению с традиционными аналоговыми системами видеонаблюдения. Зачастую инфраструктура IP сети уже развёрнута, и система видеонаблюдения может быть построена на базе уже существующей сети. Как правило, IP сети и беспроводные решения являются значительно менее дорогой альтернативой традиционным коаксиальным и оптико-волоконным сетям, использующимся для создания аналоговых систем видеонаблюдения.
Преимущества IP систем видеонаблюдения позволяют фирмам, специализирующимся на решениях безопасности, предоставлять размещаемые видео услуги, известные под такими аббревиатурами как VSaaS (Video Surveillance as a Service – видеонаблюдение в виде услуги) или MVaaS (Managed Video as a Service – управляемое видео в виде услуги). Какое бы название ни использовалось, суть предложения сводится к тому, что поставщики услуг теперь могут предоставлять дополнительные облачные сервисы, обеспечивая при этом дополнительную ценность, что было бы неосуществимо при локальной установке системы наблюдения.
Для любого небольшого предприятия, в распоряжении которого имеется доступ к сети с достаточной пропускной способностью и которое нуждается в установке некоторого небольшого числа камер видеонаблюдения для защиты своих наиболее важных территорий, например, входов или других зон, имеющих особое значение для деятельности компании, установка IP систем является наиболее оптимальным выбором. Системы IP видеонаблюдения настолько просты, что установка камер может осуществляться силами самой компании, в то же время, компания может приобрести систему видеонаблюдения и прочие услуги у поставщика услуг. Такое решение окажется идеальным для любой компаний со штатом численностью менее 10 сотрудников, с арендуемыми офисными площадями и подключением к сети Интернет.
Установка системы также не составит особого труда. Для подключения системы видеохостинга к службе веб-хостинга поставщика IP услуг потребуется примерно 15 минут. Чтобы запустить систему, не требуется быть экспертом в области ИТ, а любые первоначальные затраты на её настройку существенно сокращаются за счет отсутствия расходов на локальное администрирование и настройку локальной системы хранения данных.
Что касается тех пользователей, у которых уже имеются действующие аналоговые системы видеонаблюдения, то у них есть возможность сохранить эти инвестиции. Например, компания Axis Communications предлагает целый спектр кодировщиков видео, позволяющих преобразовывать сигнал аналоговых систем в цифровой. Дополнительные сетевые устройства хранения данных могут использоваться для размещения видеозаписей, что позволит сэкономить пропускную способность и повысить общую производительность системы. Всё это означает, что решения являются масштабируемыми, а затраты контролируются пользователями, при этом вместе с ростом пользовательских потребностей могут изменяться и сетевые решения для видеонаблюдения.
Многие сомнения относительно механизмов доступа и надежности облачных решений развеиваются по мере того, как всё больше компаний объединяют облачные сети, а также с учётом распространения систем резервного копирования на базе сетевых хранилищ данных или NAS-устройств. Эти устройства могут использоваться для записи видеопотоков в случае сбоя в работе сети или для увеличения производительности системы в случае ограничения пропускной способности сети, предоставляя пользователям возможность просматривать и записывать высококачественное видео в формате HDTV.
Как и всё вокруг нас, в современной жизни технологии и решения продолжают развиваться и совершенствоваться. Размещаемые во внешней инфраструктуре системы позволяют создавать удалённые интеллектуальные решения, которые полностью удовлетворяют пользовательские потребности. В сравнении с традиционными аналоговыми системами, внешние размещаемые системы видеонаблюдения не только выполняют ставшие уже традиционными задачи мониторинга и записи видео, но и могут служить платформой, обеспечивающей новые возможности для эффективного управления бизнесом, позволяя заказчикам подписываться на широкий спектр новых услуг, в основе используется видеоизображение. Помимо систем видеонаблюдения, камеры могут применяться, например, для удалённой обработки ложных срабатываний сигнализации, подсчета количества покупателей в магазине, или для контроля за эффективностью промо-мероприятий. Возможность для поставщика услуг видеонаблюдения при необходимости физически направить специалиста в магазин к заказчику также обеспечивает новый уровень безопасности. Абонентская модель с использованием подписки дает пользователю дополнительные механизмы контроля и позволяет ему с помощью таких услуг эффективнее управлять своим бизнесом.
Сергей Громов
Компания ООО "Интек", Магнитогорск, директор филиала
Касаемо данной тематики, наша компания довольно активно использует «облачные» технологии. Мы полагаем, что удобство их использования заключается прежде всего в том, что владельцу бизнеса не требуется наращивание собственных серверов в своем офисе. К примеру, можно хранить довольно-таки большие объемы информации с помощью сторонних компьютерных мощностей. Особенно это удобно для сферы малого и среднего бизнеса. Кроме того, «облачные» технологии прекрасно находят себе применение в сфере создания резервных копий, на случаи утраты и других форс-мажорных ситуаций. Однако минусом здесь является то, что «облако" находится где-то там и, по сути, в любой момент может исчезнуть. Во всяком случае, нельзя этого отрицать.
Павел Юдаев
Генеральный директор ООО НТКФ «Си-Норд»
Плюсы и минусы публичного и частного облака отличаются.
Плюсы публичного облака для систем безопасности - удобство и экономичность. Для работы достаточно компьютера или мобильного телефона с интернетом. Бюджет IT-подразделения в этом случае меньше, чем когда компания закупает и обновляет ПО, содержит обслуживающих его сотрудников. Пользователь платит только за используемые функции. Или не платит, как, например, пользователи бесплатных облачных сервисов “Си-Норд”.
Минусы публичного облака - финансовая зависимость от облачного провайдера и хранение важной информации на чужой территории. Провайдер может внезапно для компании поднять стоимость сервисов, а недобросовестные сотрудники предоставить данные заинтересованным лицам. Вероятность этого, конечно, крайне мала.
Этих проблем можно избежать, если завести собственное, частное облако. Для этого компания устанавливает собственную систему серверов и копирует на нее облако публичное. Так ЧОП получает полную независимость и исключает возможность утечки данных. Единственный минус такого решения - увеличение затрат.
В перспективе российские охранные предприятия пойдут по западному пути, где крупные ЧОПы работают в частных облаках. Малые и средние - в публичных.
Сегодня ЧОПы узнают об удобствах, которые дает облако. Клиенты ЧОПов знакомятся с новым уровнем сервиса. Поэтому завтра сервис, в котором облако не задействовано, будет неполноценным. Облачные сервисы станут бизнес-критичными, и неработающие в облаках компании не смогут бороться за клиентов.
Сергей Александрович Хилькевич
Технический директор компании “Синезис”
Все мы наблюдаем, как растет популярность “облаков” во многих сферах, не только в системах безопасности. Прежде всего, сегодня это модно. Моду эту можно объяснить, в первую, очередь, удобством облачных серверов, поскольку воспользоваться ими может и не самый подкованный пользователь. Конечно, “облака” не такие гибкие и мощные, как нативные сервисы, но, как мы знаем, редкий пользователь применяет не то, что дополнительные функции того или иного программно-аппаратного продукта, но и некоторые базовые возможности остаются неиспользованными.
Говоря о плюсах, стоит отметить перспективу использования клауд-решений в сфере обеспечения безопасности: при переносе охранной системы в “облако” появляется отдельный сервисный бизнес – call-центр нового типа, в котором слежением за объектом и обработкой информации может заниматься работник, не имеющей особой квалификации. Простота “облаков”, таким образом, может значительно сэкономить средства на построение системы безопасности.
Еще один плюс – простота интеграции “облака”, его открытость. Учитывая популярность социальных сетей и их аналогов, туда можно отправлять, например, тревожные кадры с охраняемого объекта. Но именно открытость является и минусом клауд-решений для закрытых корпоративных систем: введение “облака” потребует принятия таких дополнительных мер, как построение интернет-сетей, что неэкономично и в принципе нецелесообразно.
Юдников Андрей
IVIDEON, Генеральный директор
Дискуссии о применимости и перспективности облачных технологий в отрасли безопасности напоминают мне споры о борьбе аналогового и IP-оборудования. Скоро эти споры стихнут - это вопрос времени.
Перспективы динамичного развития и роста отрасли безопасности напрямую связаны с функционалом и возможностями, которые кроют в себе облачные технологии. Для отрасли видеонаблюдения облачные сервисы становятся главным драйвером роста, который открывает для систем безопасности новые рынки, новые каналы продаж и новые ниши клиентов.
Основным минусом облаков является плохое понимание этого термина и стоящих за ним технологий и возможностей в среде рядовых специалистов отрасли безопасности.
Нужно также сказать, что компании, занимающиеся созданием облачных сервисов, пока развиваются с оглядкой на массовый сектор и в прямой фокус их внимания еще не попал рынок крупных корпоративных клиентов, где конкуренция итак слишком велика. Но следующим шагом развития облачных систем станет удовлетворение потребностей именно этих клиентов, где облачные технологии уже сейчас находят свое применение, не как замещение, а как необходимое дополнение к устанавливаемым системам.
Чтобы стать участником проекта, нужно выслать на почту uma@sec.ru ФИО отвечающего, название компании, в которой он трудится, должность (не ниже заместителя генерального директора) и качественную фотографию. После этого Вам на e-mail будет выслан вопрос. Ответы будут размещаться в авторской редакции (если они не противоречат нормам закона и морали). Если присланный вопрос будет Вам не интересен, отвечать на него не обязательно. Вы сможете принять участие в следующем опросе.
Все предложения и пожелания можно озвучить по телефону: 8 (495)725-65-65 (Уманец Олеся)
