Digital Whoigital

Есть ли будущее у казахстанского киберщита?

Author: Arman Abdrassilov
31 мая 2019
Картинка: Есть ли будущее у казахстанского киберщита? Для сайта bluescreen.kz

Предпосылки

Хочу начать  с простой истины: как быстрый рост экономики является уделом слабых стран, так и быстрый рост любой отрасли — признак ее слабости или отсутствия. Пару лет назад в Казахстане не было и речи о таком понятии как информационная безопасность, а сейчас об этом пишут везде. Впрочем, говорить о казахстанской ИБ как сформировавшейся отрасли пока рано. Мало того, её будущее привязано к одному единственному институту — госаппарату, который должен определить и закрепить за отраслью некий объем финансирования. В этой связи могу поделиться цифрой из сложившейся общемировой практики: обычно на безопасность выделяют около 10% общего бюджета IT. Именно этой пропорцией руководствовался наш центр анализа и расследования кибератак (ЦАРКА), когда по просьбе регулятора включился в общую работу по созданию основ информационной безопасности государственных органов и частных организаций Казахстана. Регулятором, как известно, выступило Министерство оборонной и аэрокосмической промышленности РК, подробнее об этом сотрудничестве я напишу в отдельном материале.

На фоне чисто локальных заявлений о системных проблемах с казахстанской безопасностью, в мире также происходила трансформация ИБ. В мае 2018 года Европарламент принял жесткий регламент о защите персональных данных GDPR. За невыполнение закона накладывается штраф до 20 млн евро или 4% от годового мирового оборота компании. Сегодня уже имеются прецеденты: крупные штрафы оплатили такие гиганты как Facebook и Google.

Очевидно, все эти факторы побудили государство принимать меры для того, чтобы наверстать отставание в этой области. Так в середине 2017 года правительство утвердило так называемую Концепцию кибербезопасности, она же «Концепция киберщита». Вкратце суть документа можно очертить следующим образом: для развития отрасли необходимо распределить роли участников, их зоны ответственности и обязанности, показать перспективы. В этом смысле позиция регулятора крайне важна, ведь бизнес не станет рисковать деньгами, не понимая перспектив.

Общая конструкция кибербезопасности

Возвращаясь к теме совместной работы ЦАРКА с министерством: первым делом участниками была дана оценка потенциала казахстанского рынка кибербезопасности, с учетом вышеуказанной цифры расходов на ИБ — 10%. Вычислить объем в абсолютных цифрах не составляет никакого труда: весь рынок отечественной IT-отрасли оценивается в 270 млрд тенге в год, следовательно, потенциальный объем рынка ИБ Казахстана — 27 млрд тенге в год.

Анализ предыдущих лет показал, что на обеспечение вопросов ИБ затрачивалось не более 3-4% средств. При более пристальном изучении этого факта выяснилось, что речь идет о бюджетах на приобретение иностранного антивирусного ПО и базового коммутационного оборудования с функциями безопасности. Проще говоря, целое направление отечественной IT-отрасли естественным образом накопило дефицит финансирования, и следом пришло неизбежное отставание. Я называю этот период геноцидом ИБ.

Оценив объем, переходим к общей конструкции системы информационной безопасности. Регулятор видит ее в форме своеобразной пирамиды. Вершина пирамиды – национальный координационный центр информационной безопасности (НКЦИБ). НКЦИБ осуществляет координирование деятельности всех оперативных центров информационной безопасности (ОЦИБ), которые, в свою очередь, станут центрами квалификации ИБ, выполняя мониторинг в зоне ответственности. Согласно плану реализации «Концепции киберщита», строительство НКЦИБ на базе РГП «Государственная техническая служба» КНБ РК завершено в конце 2018 года.

Картинка: Общая конструкция кибербезопасности. Для сайта bluescreen.kz

Утвержден порядок отнесения объектов, по которому постановлением правительства РК ежегодно утверждается список критически важных объектов инфраструктуры (КВОИКИ). Если раньше для отнесения к КВОИКИ требовалось заявление организации с просьбой включить ее в список таковых, то по новому регламенту объект может быть отнесен к списку критически важных и без ведома владельца. Понятно, что владельцы не горят желанием загружать себя дополнительными требованиями, поэтому старый порядок оказался нерабочим и заменен на действующий.

Что мы в итоге имеем: в стране более 200 критически важных объектов инфраструктуры и их количество растет. Все КВОИКИ обязаны принимать меры для обеспечения безопасности своих объектов, для чего должны либо строить собственные ОЦИБ, либо обращаться к услугам на рынке. Так создает, создается спрос на услуги ИБ.

Где квалификация — там и лицензия

Чтобы гарантировать минимальный необходимый уровень квалификации, работа ОЦИБ отнесена к лицензируемому виду деятельности. Для получения лицензии придется сдать соответствующий экзамен и иметь в штате несколько сертифицированных специалистов. Все эти меры позволят отделить профессионалов от любителей, создавая тем самым условия для развития отечественной экспертизы. Бизнес, хочет он того или нет, должен выделить средства на подготовку специалистов и соответствие требованиям, получая взамен доступ к рынку. Убежден, что только так мы сможем вырастить собственную школу экспертов.

Почему всё это пока не работает?

Вряд ли кто-то будет спорить, что описанная выше конструкция будет работать только при встречной активности и заинтересованности бизнес-сообщества. Потребуется время для того, чтобы будущие игроки подтянулись до нужного уровня и выполнили все требования  новой отрасли. Наличие нескольких лицензированных участников на сегодняшний день не говорит еще о том, что механизм в целом запустился. Орган, координирующий работу всех ОЦИБ, начал работу всего несколько месяцев назад, да и список КВОИКИ еще не доведен до нужной кондиции, на него даже наложен гриф ДСП.

Изучая механизм ИБ, мы видим лишь очертания вершины пирамиды и ее основания. Середина пирамиды, она же несущая конструкция, пока отсутствует.

Цена вопроса

Итак, владельцам КВОИКИ требуется определенное время для переформирования запланированного бюджета. В свою очередь компаниям, предлагающим услуги, не хватает квалификации и специалистов. Но государство в целом методично выстраивает ясную иерархию кибербезопасности страны. На шахматном поле одна за другой появляются фигуры; правила игры более-менее понятны; возникающие прецеденты будут решаться по мере их возникновения. Потенциальных участников, которые осторожно присматриваются к этому новому виду бизнеса, довольно много.

Впрочем, эта деятельность всё еще остается уделом энтузиастов. Успешных бизнес-кейсов пока нет, имеющиеся на рынке компании пока убыточны. Если крупные заказчики только присматриваются к полноценной ИБ, то мелкие не могут себе её позволить в силу дороговизны. Надо полагать, стоимость услуги снизится только с появлением стойкого, массового спроса на сервис.

Автор:

Фото: Арман Абдрасилов, директор казахстанского Центра анализа и расследования кибератак. Для сайта bluescreen.kz

Арман Абдрасилов, директор казахстанского Центра анализа и расследования кибератак (ЦАРКА), член  Общественного совета по ИТ-безопасности.

Читайте также пост автора: Инцидент, ставящий под сомнение казахстанский институт ЭЦП

Смотрите также