Наталья Касперская, InfoWatch: Рынок ИБ должен радикально измениться, в идеале - нужно поделить сферы влияния между игроками

Наталья Касперская: Принято считать, что рост рынка – это хорошо, а падение – плохо. Падение объема закупок в ИТ, безусловно, случится, но хорошо это или плохо в данном случае? Скорее, хорошо, потому что рынок ИТ был в значительной степени перегрет, а закупки состояли по большей части из дорогих западных продуктов.

Перегретости рынка способствовало три фактора. Первый – макроэкономический. Это постоянный рост курса доллара по отношению к рублю. Соответственно, за счет значительных – и дорогих – закупок продуктов из-за рубежа наш замечательный рынок рос. Второй фактор – государственная программа цифровизации, когда цифровизовалось всё, что нужно и не очень. И третий, прямо связанный со вторым – мода на создание цифровых продуктов. Государство взяло курс на цифровизацию и все остальные, в том числе, крупный бизнес, тоже стали делать что-то «цифровое». Каждый банк и мобильный оператор стал делать свою голосовую колонку или мессенджер. А также строить «экосистему».

В результате, например, рост зарплат разработчиков программного обеспечения в последние годы был просто чудовищным, на 30-40% в год. С такой динамикой невозможно ни планировать, ни удерживать людей, потому что доходы ИТ-компаний с такой скоростью не растут. Когда мы в InfoWatch планировали 2022 год, в качестве самого большого риска мы отметили именно дальнейший рост зарплат разработчиков.

Наталья Касперская: В частности. Зачастую крупные корпорации нанимали ИТ-сотрудников без оглядки. Яркий пример – наши крупнейшие банки, которые соревновались, кто из них более цифровой. Один нанял 10 000 человек, другой 7 000. Потом один купил одну ИТ-компанию, другой – другую и т.д. Такая цифровизация в значительной степени реализовывалась на деньги населения и бизнеса, банковских клиентов. Нормальные ИТ-компании, конечно, не могут конкурировать с крупными банками, потому что у них нет доступа к банковским счетам клиентов.

Наталья Касперская: Если банки оцифровывают свои банковские сервисы – это хорошо и даже отлично. Но когда они делают десятую голосовую колонку, без малейших шансов занять заметную долю на этом странном рынке, или покупают рыночные компании и убивают их своей бюрократией – это неправильно. Каждый должен заниматься своим делом. Хотя надо сказать, что в текущей ситуации те же банки быстро пересмотрели свои стратегии и начали резко сокращать ИТ- направления, что тоже не очень хорошо. Но это в целом означает, что «пузырь» потихоньку начал сдуваться. В результате на рынке произойдут структурные изменения.

Наталья Касперская: Примерно две трети программного обеспечения, которое закупалось российскими заказчиками, было иностранным. По «железу», я думаю, доля иностранной продукции вообще была процентов 90. Сейчас должно произойти перераспределение в пользу отечественных производителей. Это и есть изменение структуры рынка. Поэтому, когда TAdviser в своих прогнозах говорит, что падение на 10% — это оптимистичный сценарий, а на 20% — пессимистичный, получается, что если «пузырь» сдулся меньше, то это – оптимизм. На мой взгляд, дело не в процентах, а в структуре самого рынка. Оптимистичный сценарий – это значительное перераспределение бюджетов в пользу отечественных продуктов.

Наталья Касперская: Такая трактовка мне близка. Хотя снижение расходов, которое вы называете «падением рынка», далеко не всегда плохо, как я уже сказала выше.

Наталья Касперская: Они начинают сокращать персонал, не связанный с внутренней цифровизацией. Речь об около ИТ-шных, небанковских бизнесах. Мы слышали это уже от нескольких кадровых агентств.

Наталья Касперская: Мы видим, что пошло снижение зарплат на специальности нижнего уровня – младших разработчиков, стажеров. По средним специальностям – пока такого нет. Должно пройти время. По категории Senior я вообще не думаю, что будет снижение, потому что их всегда не хватает.

Наталья Касперская: Я полагаю, ответ зависит от того, что именно делают госкорпорации. Если они тратят государственные деньги, к которым имеют доступ, на производство операционных систем, систем управления базами данных (СУБД) и другого ПО общего назначения, то это приводит к ненужной конкуренции с имеющимися на рынке игроками, и низкому качеству непрофильной и избыточной разработки. Если же им нужна какая-то специфичная система, например, для своих внутренних промышленных расчетов, и они не нашли ее на рынке, это другое дело. Тут надо делать свою. Но писать 44-ю операционку на основе Linux точно не нужно (это число – не выдумка, а реальное количество разработок «отечественных ОС» в Реестре отечественного ПО).

Наталья Касперская: Мы проводили опрос членов ассоциации разработчиков программных продуктов (АРПП) «Отечественный софт» в апреле 2022 года, и на тот момент в основном настрой был оптимистичный. Более 85% респондентов сказали, что ждут роста заказов. Особенно серьезного роста ждали в тех классах продуктов, где было много импорта. А, например, по основному направлению нашей группы компаний - защите от утечек - мы не ожидаем скачка. В нашем сегменте доля импорта была изначально маленькой, поэтому на нас импортозамещение не должно сказаться.

Наталья Касперская: У нас тоже есть проблемы с импортозамещением. Мы же не в воздухе болтаемся. Например, отзыв сертификатов Microsoft у российских разработчиков. Это довольно сильный удар по всем, кто создает приложения для Windows, т.к. выпуск новых версий стал невозможным. Придётся спешно переходить на отечественные операционки. С другой стороны, это – сильный удар по репутации самой Microsoft, показывающий политическую ангажированность компании.

Наталья Касперская: Представьте, да. Но это хороший сигнал к импортозамещению. Например, мы у себя уже поменяли местами приоритеты в разработке и поставили проекты по импортозамещению, которые были запланированы на следующий год, на ближайшие месяцы. И многое уже реализовали. Из последних таких проектов – совместимость с РЕД ОС.

Наталья Касперская: Нет, ранее мы обеспечили совместимость с Astra Linux. Больше пока не планируем, поскольку любой перенос наших продуктов на альтернативные операционные системы означает необходимость поддерживать все эти системы в дальнейшем, а это довольно дорого.

Наталья Касперская: Она на порядки больше. Я могу сказать, что в реестре отечественного ПО софт для Windows доминирующий. Процентов 90.

Наталья Касперская: Я считаю, что нас уже очень хорошо поддержали. Из самых эффективных мер я бы отметила освобождение от налога на прибыль, потому что за прошлый год все поднакопили жирка. И освобождение от всех проверок. Отсрочка от армии – тоже мера хорошая.

Наталья Касперская: Отсрочка от армии оказалось эффективной даже не в прямом смысле, ей воспользовалось не так много людей. Это, скорее, сработало, как моральный, психологический фактор. Не секрет, что большинство разработчиков – это молодые мужчины призывного возраста, и они нервничают из-за того, что их могут призвать. Введение отсрочки сработало как хороший успокоительный момент. Поэтому да, это была эффективная мера. И главное, очень своевременная.

Льготная ипотека – тоже отличная мера. Я всегда за это выступала, потому что это настоящая мера поддержки, реальная. Она важна не для компаний, а непосредственно для людей.

Наталья Касперская: Я, если честно, не очень понимаю, что имеется в виду. У нас уже есть ГосСОПКА – государственная система обнаружения, предупреждения и ликвидации последствий компьютерных атак. Она, в принципе, работает нормально. Компании, которые хотят с ней взаимодействовать, подписывают договор, и начинают передавать информацию о своих угрозах, а в ответ получают информацию от других. Координацию работы с ГосСОПКА осуществляет Национальный координационный центр по компьютерным инцидентам (НКЦКИ).

У Центрального банка России есть своя система – называется ФинЦЕРТ, которая очень сильно развилась в последние годы. Нечто подобное сейчас пытаются строить в транспортной отрасли. Вероятно, такие центры должны появиться в каждой сфере. Возможно, объединение их и станет той самой государственной системой защиты информации.Витрина данных НОТА ВИЗОР для налогового мониторинга

С другой стороны, если мы посмотрим на модель угроз с точки зрения государства, то она окажется очень сложной, потому что у нас очень большое количество инфраструктуры, софта и «железа» – и все это иностранного производства. И как ни применяй мы внешние, так называемые «наложенные средства безопасности» для чужих продуктов, эффективность их будет невысокой. Самый простой пример – с Microsoft, который мы обсуждали выше. Сертификаты отозвали и всё. И это никак не решается «наложенной» безопасностью. Только импортозамещением.

Некоторые руководители думают, что не будут покупать отечественное, а продолжат использовать иностранный софт, только теперь бесплатно - такое легальное пиратство. И государство на такую тактику «подмигивает», мол, «мы проверять не будем». Но этот подход мне кажется неправильным, потому что даже в таком софте могут быть «закладки», которые все равно можно удаленно использовать.

Поэтому, когда мне говорят «государственная система защиты информации», я не вполне понимаю, о чем идет речь. Может быть, у Совбеза есть какая-то модель.

Наталья Касперская: Может быть, кого-то вовлекают, но не нас. Мы же занимаемся «контентной» безопасностью. Есть компании, работающие с вирусными угрозами, возможно, привлекают их.

Наталья Касперская: С одной стороны, привлекать бизнес правильно, так как лучшие кадры в среднем все-таки работают в коммерческих компаниях, а не в государственном секторе. Но, с другой стороны, привлекать тоже нужно аккуратно... Я много лет наблюдаю, например, взаимодействие государства и бизнеса в рабочей группе по информационной безопасности (ИБ) нацпрограммы «Цифровая экономика», руководителем которой я являюсь. Есть ситуации, когда люди явно проталкивают свои интересы, и не всегда это полезно государству.

Наталья Касперская:Указ очень правильный и своевременный. Объясню, в чем проблема с критической информационной инфраструктурой (КИИ). 187-ФЗ о безопасности объектов КИИ был принят в 2017 году, и к 2021 году предприятия должны были присвоить своим объектам критической инфраструктуры определенную категорию в зависимости от значимости объекта, определение которой прописано в законе. Но все старались либо отложить эту задачу, либо просто не признать себя объектом КИИ. А сейчас стало понятно, что шутки закончились, тряхануть может серьезно. Этот указ, по сути, вводит персональную ответственность за безопасность КИИ. То есть, наконец-то будет с кого спросить. Причем, повесить ответственность на кого попало будет нельзя. Это очень правильно.

Мы заметили, что сообщество информационной безопасности сразу оживилось, пошли запросы на продукты, консультации. Хотя есть ситуации, когда, например, главврач поликлиники, которая, безусловно, относится к объектам КИИ, хватается за голову и говорит: «у нас ИТ-шников-то толком нет, какие безопасники!». Но если вы хотите хранить медицинские персональные данные в электронном виде, значит, придется открывать эту штатную позицию. Ну, либо все данные хранить на бумаге.

Наталья Касперская: Почему невозможно? Так делали последние сотни лет. Но это вопрос цели. Если Минздрав подталкивает медицинские организации к электронному документообороту, значит, пусть он дает штатную единицу по информационной безопасности каждому объекту КИИ, выделяя на это финансирование. Прежде, чем цифровизоваться, надо сначала обеспечить безопасность.

До недавнего времени подход был такой – мы занимаемся цифровизацией, а как обеспечить безопасность – потом разберемся. И мы сейчас пожинаем плоды этого вредного подхода. Принципы безопасности должны сразу закладываться в проектируемые системы, а не наоборот. Иначе мы получаем ситуации, когда к нам приходит предприятие, у которого вся инфраструктура – западного производства – фактически уже скомпрометирована, а для исправления нужно переделывать все ИТ-системы. И как спасти такого клиента? В некоторых ситуациях это просто невозможно или крайне сложно и дорого.

Наталья Касперская: Искать на рынке либо откладывать цифровизацию.

Наталья Касперская: Я считаю, что в текущих условиях более правильным решением будет – заморозить цифровое развитие до тех пор, пока не удастся найти специалистов по информационной безопасности. Возможно, это приведет к замедлению роста каких-то показателей (скажем, показателей «цифровой трансформации»), возможно, не позволит повысить эффективность какой-то деятельности. Но это лучше, чем потеря сверхчувствительных данных или остановка критических информационных систем.

Мы же утечки данных наблюдаем много лет. В большинстве случаев предприятия не признают утечку. И отговорки там всегда стандартные: «утечка произошла не у нас», «утечка была незначительной», «данные, которые утекли, старые, неполные, негодные, плохие, ни на что не повлияют». Четвертый пункт мне особенно нравится – «виновные наказаны». То есть утечки не было, данные нерелевантные, а почему тогда вы наказали виновных? В реальности, как мы понимаем, за утечки данных просто никто не отвечает – вы же не слышали о судебных процессах над руководителями компаний по статьям о халатности или краже данных? Вот и я не слышала.

Поэтому, я считаю, что с этим нужно что-то сделать. И назначение персональной ответственности – это не всё. Это первый шаг, но он очень важный. Хотя бы будет шанс, что кого-то начнут наказывать.

Наталья Касперская: Я думаю, что игрокам рынка информационной безопасности надо кардинально корректировать подходы. От привычных и стандартных «наложенных» средств надо переходить к адаптации под конкретные отрасли, под конкретные модели угроз. На стыках отраслей должны рождаться альянсы по защите информации, по специфическим видам данных. Альянсы должны создаваться с представителями отраслей, которые могут объяснить специфику отрасли специалистам по ИБ, чтобы те смогли разработать продукты по защите этих специфических данных от специфических угроз. Сейчас мы обсуждаем два таких альянса, и надеюсь, они вырастут во что-то системное.

Наталья Касперская: Например, защита систем управления производством (АСУ ТП) в энергетическом секторе. Там крайне специфические контроллеры, структура сетей, процессы обработки данных, и, соответственно, особые модели угроз. Наш продукт по защите АСУ ТП мы специально «затачивали» под энергетический сектор. Это означает, что мы на любом следующем предприятии энергетики можем развернуть его относительно быстро. А для других секторов потребуются серьезные переделки, либо вообще новая разработка.

Наталья Касперская: Да, конечно. В медицине важна защита персональных медицинских данных, тогда как для энергетических объектов важна устойчивость. У транспорта – свои требования. Покрыть все требования всех индустрий никакая отдельно взятая российская компания-разработчик ИБ не сможет. В идеале было бы нужно поделить сферы влияния между игроками, чтобы каждый взял себе 2-3 отрасли и смог бы покрыть все их требования к ИБ.

Наталья Касперская: Я не очень понимаю, чем должно заниматься это новое министерство. Сейчас регулирование ИБ поделено между ФСТЭК и ФСБ. И использование ИБ-систем для госпредприятий уже крайне зарегулировано. Но по моему опыту, жёсткая регуляторика всегда затрудняет движение на рынке, а не упрощает его. Тут, видимо, надо самим игрокам договориться между собой.

Наталья Касперская: Когда я об этом услышала, то тоже подумала, что это будет хорошая возможность с точки зрения обеспечения контактов. Не секрет, что проинтервьюировать крупного заказчика – задача непростая. Если такие заказчики сами смогут формулировать свои потребности, да ещё не индивидуально, а для целых отраслей, это сильно упростит задачу для разработчиков.

Наталья Касперская: Я вижу, что сейчас у крупных компаний есть явная потребность в отечественных решениях по защите. Они немного растеряны, они не знают, как быть в текущих условиях, не понимают, как им быстро заменить иностранные решения на отечественные. Поэтому, конечно, было бы хорошо, чтобы кто-то пришел и дал им решения «под ключ». И здесь у нас, как разработчиков, и у крупных предприятий, как у заказчиков, интересы совпадают. Собственно, АРПП «Отечественный софт» пытается этим заниматься. У нас есть комитет по интеграции, который начал прорабатывать отраслевые решения.

Наталья Касперская: Уходить с рынка не нужно. Задач на всех хватит. Кто-то лучше ловит вирусы, кто-то – делает лучший мониторинг информации, а кто-то, например, создает центры управления безопасностью, которые могут собирать данные и с антивируса, и с систем мониторинга. Раньше все старались расширять свои продуктовые линейки, иногда жертвуя качеством. Сейчас же от дублирования надо переходить к решению ещё нерешённых задач. Именно это я пытаюсь донести.

Наталья Касперская: Да, мы ведем такие переговоры, и я надеюсь, что у нас что-то получится. Разумные руководители компаний по ИБ понимают, что надо объединяться, потому что скорость и натиск компьютерных атак резко выросли, задач по защите сейчас сильно больше, чем все игроки рынка в отдельности могут решить. И этими задачами нужно заниматься. Может быть, даже в порядке «субботника».

Наталья Касперская: Да, например. Скажем, чтобы каждый сильный игрок брал на себя несколько сфер, которые пока никому не интересны и поэтому остаются не защищены. Возможно, в этом направлении как раз и необходимо регулирование сверху.

Наталья Касперская: Например, медицина, которая сильно раздроблена, при этом у каждого отдельного учреждения мало денег, но каждое отдельное учреждение – это объект КИИ. И все это помимо того, что эта сфера не централизована – медучреждения находятся в подчинении регионов, то есть нужно договариваться с каждым регионом отдельно. При этом в каждом регионе несколько своих «самописных» систем. Как они защищены и защищены ли – большой вопрос.

Наталья Касперская: Минздрав должен, но пока получается не очень хорошо. Медучреждения упираются, потому что подчиняются региональному правительству. Но из-за такой раздробленности они оказываются неинтересными для игроков рынка ИБ, а следовательно, незащищёнными. Возможных решения два. Либо переход к централизованному управлению ИТ всех медучреждений со стороны Минздрава (лучший вариант), либо выбор ответственных игроков рынка за несколько регионов.

Наталья Касперская: Мы сейчас пытаемся придумать выгодную для всех конструкцию, и я надеюсь, что у нас что-то получится. Возможно, отраслевые альянсы этому помогут.

Наталья Касперская: Да, это верно. Но с чего-то надо начинать.

Наталья Касперская: Судя по запросам в рабочую группу по информационной безопасности нацпрограммы «Цифровая экономика», быстрая цифровизация транспорта создала в этой отрасли много новых проблем с ИБ. То же самое касается сельского хозяйства – оно цифровизовалось в последние годы довольно энергично, но защищённость этих внедренных систем вызывает сомнения.

Наталья Касперская: Не много, да. Там совершенно другая модель угроз, но и последствия могут быть критическими. Представьте, если внешняя атака или удалённое воздействие иностранного производителя приведут к ошибкам с расчетом удобрений или кормов, и потом из-за этого погибнет урожай или начнётся падёж скота… Эту модель угроз надо отдельно прорабатывать, а под неё адаптировать системы защиты.

Цифровизация отраслей полностью меняет ландшафт рынка ИБ. Раньше информационная безопасность существовала как вещь в себе. InfoWatch делала средства защиты от утечек, Лаборатория Касперского – антивирус, Positive Technologies – анализ исисходного кода и т.д. С массовой цифровизацией стало понятно, что этих средств недостаточно. Возникло огромное количество устройств, узлов инфраструктуры, число которых постоянно растёт. Они управляются алгоритмами, которые зачастую нельзя проверить, и ко многим из них имеется возможность удалённого доступа, который пользователь не может контролировать.

Раньше появлялась новая технология или цифровой продукт, через какое-то время выявлялись их слабые стороны, и создавались соответствующие средства защиты. В последние же годы разработка защиты не поспевает за скоростью цифровизации. К примеру, только 20% устройств Интернета вещей имеют хоть какую-то защиту. Или автоматизированные системы управления производством АСУТП – раньше они были автономны. А сейчас они подключены к сети, и не исключено, что в один прекрасный момент производитель (или кто-то ещё – хакер, террорист, военный противник) их может просто выключить и так далее… В этих условиях обсуждать рост или падение рынка – неправильно, потому что он вообще должен радикально измениться.

Наталья Касперская: Да, спрос на средства ИБ сейчас вырастет очень сильно, хотя пока мы до конца не знаем масштаба. Пару месяцев назад представитель одной индустрии решил создать альянс по безопасности. Пригласил всех крупных игроков ИБ-рынка. Мы удивились, потому что такого рода встреча произошла впервые. И когда он нам рассказал о проблемах безопасности в своей отрасли, я была совершенно поражена. Во-первых, мы об этих проблемах не имели представления, во-вторых, на рынке РФ нет решений, которые могли бы их защитить. Перед нами открылась неисследованная бездна.

Наталья Касперская: Они как раз и задумались о безопасности после того, как их начали сильно атаковать. Раньше они, видимо, были никому неинтересны.

Наталья Касперская: Все ушли сильно озадаченные. Полагаю, что каждый разработчик будет разбираться с новой проблематикой с учетом своей ключевой компетенции. И я понимаю, что мне нужно будет выделять отдельную команду, которая будет с этим разбираться.

Если что-то получится, то это будет совершенно другой подход к решению проблем ИБ. Не просто разрозненные решения по защите – DLP, антивирусы, межсетевые экраны, а комплексные типовые решения по защите конкретной отрасли. Пока еще не очень ясно, как это должно работать.

Наталья Касперская: Да... Это непаханое поле. Это новый, пока даже неоткрытый сегмент рынка. И ни мы, ни Лаборатория Касперского, ни кто-то другой в одиночку не сможет решить задачи целой отрасли. Эту глубину еще только предстоит осознать.

Наталья Касперская: Да, годовой оборот группы компаний InfoWatch превысил 1,9 млрд рублей. Отчасти рост был связан с организационными изменениями, в частности, с назначением нового коммерческого директора - Амира Даутова. Он выстроил правильные и прозрачные бизнес-процессы, более эффективную логику продаж, сделал акцент на работу с регионами, и все это дало свой эффект. Безусловно, росту способствовала и мода на ИТ.

Наталья Касперская: Мы запланировали 20% роста, пока мы чуть-чуть опережаем этот прогноз.

Наталья Касперская: Было несколько случаев отъезда «на эмоциях», но сейчас практически все вернулись.

Наталья Касперская: В некоторых странах у нас есть торможение продаж, но зато неожиданно пошли запросы из стран, которые мы, в общем, раньше даже не брали в расчет. Подробностей пока не расскажу, боюсь сглазить.

Наталья Касперская: Мы не торговали с «недружественными» странами. Из Европы мы ушли ещё лет 7 назад – европейское законодательство плохо относится к системам контроля контента. Не было смысла стучать в закрытую дверь. Поэтому мы ничего и не потеряли. А вот на азиатских рынках перспективы есть. И мы работаем в этом направлении.

Наталья Касперская: Практически, нет. Мы всех победили еще лет 7 назад. Суммарную долю иностранцев в нашем сегменте DLP в 2021 году мы оценивали, максимум, в 3%. Сейчас она, очевидно, ещё меньше.