Специалисты отмечают, что отечественный рынок не только справился с шоком от санкций и успешно преодолел их последствия, но и начал активно развиваться, накапливать новую экспертизу. Не остались в стороне и представители финсектора. Опытом внедрения новых решений на прошедшей в рамках CNews FORUM Кейсы 2023 секции «ИТ в финсекторе» поделились представители банков, страховых и инвестиционных компаний. Модератором секции выступил Константин Маркелов, председатель комитета по информационным и интернет-технологиям Ассоциации российских банков.
Алексей Кубарев: Экстраординарные времена требуют экстраординарных решений
Финансовый сектор России острее других ощутил вызовы 2022 г. Практически все возникшие проблемы, как минимум на уровне инфраструктуры, решаются путем миграции информационных систем в облако, рассказал Алексей Кубарев, директор по информационной безопасности T1 Cloud
CNews: С какими сложностями столкнулись финансовые организации в ходе цифровизации в 2022 г.?
Алексей Кубарев: Являясь одним из наиболее цифровизированных и интегрированных в мировое комьюнити, финансовый сектор России, на мой взгляд, острее всех ощутил вызовы 2022 года.
Основные сложности, с которыми пришлось столкнуться: санкции и технологические ограничения, в том числе уход из страны большинства зарубежных вендоров и ИТ-сервисов, прекращение поддержки их ПО, включая обновления, запрет на ввоз в Россию ИТ-оборудования и ПО, беспрецедентные по масштабу и сложности кибератаки, прецеденты внедрения вредоносного кода в OpenSource-библиотеки. Следствием этих событий стали: одномоментный запуск отечественными организациями проектов по импортозамещению, возникновение сложностей с поставками российских аналогов и увеличение их стоимости, обострение кадрового голода на ИТ-рынке и усиление госрегулирования в сферах ИТ и ИБ.
CNews: Какие способы их преодоления существуют?
Алексей Кубарев: Экстраординарные времена требуют экстраординарных решений. Разрешить ситуации, связанные с санкционными и технологическими ограничениями, могут импортозамещение, параллельный импорт, а также аренда ИТ-оборудования и ПО.
Вопрос стоимости и длительности поставок ИТ- и, в частности, ИБ-оборудования носит временный характер. Его урегулирования можно ожидать в перспективе нескольких лет. На данный момент решением может стать перевод расходов на данные задачи из CAPEX в OPEX.
Кадровый вопрос может быть решен в моменте путем привлечения подрядчиков для внедрения и сопровождения информационной инфраструктуры компании или ее компонентов. Важно учитывать риски проведения атак на «цепочки поставок», активно реализуемые в последнее время. Это означает, что привлекать на подряд необходимо организации с высоким уровнем зрелости информационной безопасности.
В отношении компьютерных атак существует лишь две стратегии: защита либо принятие рисков. Стоит отметить, что с 2022 года риски многократно возросли, что требует адекватной реакции – значительного усиления системы информационной безопасности. Принцип «80 на 20» (80% известных угроз закрываются 20% усилий) для российских финансовых организаций сейчас не актуален, необходимо прилагать максимум усилий. Защита в части угроз со стороны вредоносного кода в OpenSource-библиотеках обеспечивается внедрением процедур анализа обновлений и компонентов программного обеспечения в разработке и в эксплуатации.
Важно отметить, что практически каждая из вышеописанных проблем, как минимум на уровне инфраструктуры, решается путем миграции информационных систем в облако. Кроме того, облачные провайдеры предлагают своим заказчикам сервисы Software as a Service, позволяющие решить данные проблемы вплоть до уровня прикладного программного обеспечения. Компания может выбрать необходимые в зависимости от ее задач сервисы, оптимизировав свое функционирование.
CNews: Какие сервисы предлагает T1 Cloud?
Алексей Кубарев: T1 Cloud предоставляет широкий продуктовый портфель, позволяющий закрыть значительную часть потребностей финансовых компаний, в том числе: сервис файлового обмена внутри компании и за её пределами, сервис организации видеоконференцсвязи, операционные и серверные системы, средства виртуализации и системы удаленного доступа.
При построении инфраструктуры облака T1 Cloud мы ориентировались в том числе на потребности организаций финансового сектора. Ключевое программное обеспечение, обеспечивающее функционирование публичного облака T1 Cloud и его сервисов, является отечественным. Особое внимание уделено вопросам обеспечения информационной безопасности, отвечающей всем обязательным требованиям для финсектора, и включающей в себя принцип эшелонированной эффективной защиты.
Кроме того, T1 Cloud предоставляет сервисы по информационной безопасности, позволяющие нейтрализовать большую часть актуальных на сегодня ИБ-угроз. Это защита от DDoS-атак любой сложности (AntiDDoS); межсетевой экран (WAF, Web Application Firewall) для нейтрализации вектора атак через веб-приложения; сервис по управлению уязвимостями (VMS, Vulnerability Management) позволяет минимизировать вероятность реализации сложных целевых атак; платформа безопасной разработки (SDP, Secure Development Platform) дает инструменты и методологию разработки безопасного программного обеспечения; сервис двухфакторной аутентификаций (2FA, two-factor authentication) позволяет защитить от брутфорс-атак (атака полным перебором) хранимые в облаке ресурсы; защита хостов (EPS) позволяет реализовать набор мер защиты виртуальных рабочих станций, включая антивирус, межсетевой экран, IDS/IPS уровня узла, средства ограничения программной и аппаратной среды и другие.