Лев Матвеев, «СёрчИнформ»:
Регуляторы рынок не двигают, его двигают клиенты

Лев Матвеев: На рынке внутренней безопасности новых перспективных игроков я лично не знаю. Либо они слишком маленькие, либо вы имеете ввиду весь рынок информационной безопасности. Если второе, то по сути мы не конкурируем с ними, как, например, с производителями антивирусов или файерволов. Скорее наоборот – работаем в связке, со многими – интегрируемся.

На рынок же внутренней безопасности – к которому относятся DLP-вендоры – войти новому игроку крайне тяжело. Прежде всего из-за сложности технологий, необходимости обеспечить контроль большого количества каналов и т.д. Это не год и не два разработки, молодые бизнесмены предпочитают более легкие пути и краткосрочные цели.

Молодая компания сможет составить конкуренцию старым игрокам только в том случае, если мы от всего устанем и не будем развиваться. Но я такой ситуации не могу представить.

Лев Матвеев: В нашей отрасли «почивать на лаврах» не получится. Это как в «Ну, погоди!» – волк за зайцем гоняется бесконечно. Вот и мы так гоняемся за вновь возникающими ИБ-угрозами.

В инфобезе, если остановиться и перестать развиваться, то не останешься на месте, а откатишься назад. Все слишком быстро меняется: чем больше данных переносится в цифру, тем больше рисков, больше возможностей у мошенников что-то с этими данными сделать.

Мы из года в год стараемся не снижать темпы и дорабатывать наши решения под запросы рынка. В этом году, например, выросло количество инцидентов с участием привилегированных пользователей. В итоге мы усилили в DLP функционал для полноценной защиты терминальных серверов, виртуальных сред и средств для удаленного администрирования.

На протяжении последних пяти лет выпускаем самостоятельные ИБ-продукты: сначала это была система контроля рабочего времени (наш младший продукт), затем SIEM-система, программа для профилирования сотрудников. В этом году выпустили FileAuditor для аудита файловых систем, а в начале 2020-го планируем релиз продукта по мониторингу баз данных – Database Monitor.

Все это – не наша блажь, а конкретные запросы клиентов, которым просто удобно, чтобы все продукты были от одного вендора и бесшовно интегрировались между собой.

Лев Матвеев: Не могу согласиться, что это главный драйвер. ИБ-рынок развивается в соответствии с требованиями клиентов и реагирует на новые угрозы, регуляторы здесь влияют в меньшей степени. Увы, они больше озабочены бюрократическими изменениями (новых требований ФСТЭК, например), чем реальной защитой.

Простой пример: мне непонятно поведение Центробанка. В даркнете свободно торгуют информацией из крупнейших банков. Из года в год ситуация не меняется, банки либо не понимают, как это остановить, либо им наплевать. Вот здесь бы ЦБ и взяться за дело, ведь очевидно, что далеко не все банки заинтересованы в защите данных. Но этого не происходит, увы.

Лев Матвеев: Помимо ЕБС было несколько других больших законодательных инициатив: «цифровой профиль», ужесточение ответственности в части хранения на территории РФ. Везде одно и то же – идеи выглядят здраво, проблемы поднимаются актуальные, но вот реализация предполагает скорее не защиту (часто как раз о прикладных аспектах защиты ни слова), а контроль.

Скажу откровенно: я боюсь введения биометрической системы. Если данные будут так же защищены, как и во всех наших госструктурах – это будет эффект разорвавшейся бомбы.

Я видел проект, но не видел там ничего конкретного про информационную безопасность. Должна быть внятная техническая спецификация: как данные будут защищаться – антивирусы, файерволлы, DLP – как будет построена ИТ-инфраструктура, как она будет разделена и изолирована. Но ничего же нет. Потому все будет течь как сквозь решето. И если бы у меня был выбор, я бы не сдавал биометрические данные, т.е. предпочел бы неудобство риску.

Лев Матвеев: Что самое печальное, это не первая утечка в крупнейшем банке страны. Но увы, после первой оргвыводы не были сделаны, не были усилены системы защиты, боюсь, что даже аудит не был проведен. Успокоили себя и общественность, что данные сотрудников – это не утечка. И в итоге пришли ко второму скандалу. Поначалу тоже пытались «замять ситуацию», но в итоге – только подставили руководство, которое публично заявило про утечку 250 строк данных, когда в даркнете 5000 срок гуляли.

Я сам клиент Сбербанка – мне тревожно все это. Со страниц СМИ, конечно, звучат заявления о «борьбе с предателями» и «усилении защитных мер». Посмотрим, превратятся ли слова в реальные дела.

Лев Матвеев: Такие заявления не корректны. Системы работают, утечки предотвращают, но об этом не принято рассказывать. Тогда как про слив, тем более крупный, расскажут все СМИ. DLP, как и службы безопасности, – успешно работают во многих банках, но мы о них не слышим. Потому что «у нас все спокойно, ничего не утекло» – это не инфоповод.

Ситуация со Сбербанком, по моему мнению, проста и понятна: не работает либо DLP, либо служба безопасности. При нормально работающей DLP уход из банка больших массивов информации не может остаться незамеченным. Все вскрывается, остаются следы. И снова оговорюсь, при слаженной работе СБ виновники находятся быстро. Не назначаются постфактум – когда утечка попала в прессу, а упреждаются. При правильном подходе утечка была бы раскрыта и предотвращена еще на стадии подготовки.

Лев Матвеев: Вы слишком обобщаете. Думаю, особого переворота не произошло. Просто в некоторых банках очень сильные СБ, которые не прячут голову в песок, а поднимают актуальные, пусть и неудобные вопросы.

Здесь же все зависит не только от технического решения, но и от людей, которые с ним работают. Если мы дали хороший экскаватор, чтобы копать траншею, а люди не хотят копать, то результат от экскаватора будет хуже, чем, если один человек, который «хочет», будет копать лопатой.

Когда выполняются два условия – хороший инструмент и хорошая СБ – тогда проблема решается. Когда специалисты из службы безопасности хотят работать, так они требуют от вендоров делать еще больше. Наш DataBase Monitor появился именно из-за запросов банков. Представители СБ заявили – этого функционала не хватает, да есть другие решения на рынке, но будет эффективнее, если оно будет интегрировано с DLP бесшовно. И мы разработали под них это решение, сейчас альфа-версию тестируют как раз эти доверенные заказчики.

Лев Матвеев: Есть разные классы продуктов, направленные на защиту от внутренних угроз. Можно использовать их от разных вендоров и настраивать, чтобы они передавали информацию друг другу, объединять как-то все отчеты, анализировать. Однако наиболее сильное решение получается, когда все продукты от одного производителя, т.к. они изначально интегрированы между собой – это и называется бесшовная интеграция. Когда ваши DLP и SIEM-системы, система файлового аудита и контроля баз данных работают фактически в единой консоли, и еще дополнены инновационным решением по профилированию сотрудников – это уже совсем другой уровень.

По сути, все наши новые продукты так или иначе «выросли» из DLP-системы «СёрчИнформ КИБ» или работают на основе данных из нее. Они дают дополнительные сигналы, на что обратить внимание, а DLP выступает инструментом оперативного расследования.

Лев Матвеев: Не все можно мерить деньгами, которые получишь уже сегодня. Сейчас ИБ-аутсорсинг уже дает финансовый результат, но он не сравним с доходами от продажи продуктов. Мы, по сути, готовим определенную часть рынка – эти компании пока не доросли до собственных служб безопасности и, соответственно, до собственного защитного решения. Потому они эту службу и решение арендуют. Когда дорастут – у них не будет вопроса, какую систему выбрать.

Второй момент: компании с 50-100 ПК находятся в замкнутом круге. У них с одной стороны нет системы, потому что ее некому обслуживать, нет специалиста по ИБ. С другой – нет специалиста, потому что компания небольшая, нецелесообразно создавать ИБ-службу, нет и защитного решения, с чем ему работать?

Это напоминает ситуацию из жизни: нет прав, потому что нет машины, не покупаю машину, потому что нет прав. Но человек пробует такси и понимает, что это удобно, экономит время, дает возможность успевать больше. И он задумывается о покупке автомобиля.

Мы думаем, что собственники, попробовав аутсорсинг, увидят преимущества, которые дает DLP и ИБ-специалист и задумаются о покупке системы и найме специалиста инхаус.

Лев Матвеев: Начнем с того, что мы сделали систему под запрос клиентов. Так что было прогнозируемо, что на нее будет спрос и она быстро окупится. Программа помогает навести порядок с доступами к файлам и хранением документов. Если совсем просто – FileAuditor отвечает на 3 вопроса:

• Какие документы содержат критичную для бизнеса информацию, где они хранятся?
• Кто имеет к ним доступ и может их редактировать?
• Кто и как работает с этими документами - полная история.

Если компания обрабатывает ПДн, разрабатывает ноу-хау или просто владеет информацией, которую критично потерять или доверить не тем людям – ей необходима такая система.

Рынок замечательно воспринял продукт, с начала года его протестировали 452 компании, несколько десятков уже купили, многие – заложили бюджеты на следующий год.

Лев Матвеев: Человеческая природа такова, что далеко не все люди «белые и пушистые». Однако, знакомясь с нашей аналитикой, нужно понимать, что процент таких сотрудников в организации, как правило, не очень высок. В среднем, 2-3% сотрудников в каждой компании – случайно или намеренно вредят работодателю, либо склонны к деструктивному поведению. Мы помогаем их выявить.

Контроль – это норма управленческого процесса. Другое дело, что противятся ему в основном работники, которые как раз и нарушают правила. Те, кому нечего скрывать – спокойно относятся к контролю, я бы даже сказал – с пониманием.

Но и работодателям нужно не перебарщивать. Если вы будете по секундам отслеживать сколько раз человек пил кофе или ходил в туалет – это будет справедливо воспринято негативно. Контроль нужен, чтобы пресекать незаконную деятельность, махинации, откаты и взяточничество, для соблюдения трудовой дисциплины. Пока он не выходит за эти рамки – сотрудники не будут воспринимать его негативно.

Иногда в необходимости контроля нужно убедить собственника. Тогда я привожу простой пример: допустим сотрудник с заработной платой 120 000 в месяц в течении 4 рабочих часов выбирает себе новую плитку в ванную. Эти 4 часа – это около 3000 рублей, потраченных работодателем впустую. Вопрос – это воровство или нет? Почему-то, если человек забрал с работы пачку бумаги – мы считаем это воровством. А систематическая пустая трата рабочего времени считается нормой. Восприятие, что воровство – это только кража того, что можно взять с полки, уже должно уйти в прошлое.

Лев Матвеев: За рубежом мы работаем уже несколько лет, пробовали разные подходы и сейчас, думаю, нашли правильный. Мы продаем тот же продукт, просто немного меняем позиционирование. Регионы, интересные нам – это Латинская Америка, Южная Африка, Ближний Восток. Эти страны отличаются и менталитетом, и взглядами на первостепенные угрозы, и подходом к ИБ в целом. Так что нормально, что подход должен быть другой.

В этом году мы также сосредоточились на Малайзии, Синапуре, Бангладеш, Индонезии. Здесь хочу отметить помощь организаций RITE и RIEXP. В сотрудничестве с этими структурами сбылись мои давние слова: я всегда говорил, что господдержка ИТ-компаниям в виде денег не так важна. Помогайте нам связями, продвижением, консультациями, мероприятиями.

То, что мы так широко выходим на международную арену с отечественными защитными решениями, то, что наш софт вызывает вау-эффект – это огромный сдвиг и для бизнеса, и для страны.

Лев Матвеев: Во-первых, отмечу подвижки в общественном мнении вплоть до властей и ФСБ. Я, наконец, услышал от правительства, Госдумы и даже ФСБ, что то, что сейчас творится на государственном и на бизнес-уровне в области информационной безопасности данных – это бардак. И нужно этот подход искоренять. Думаю, что раз об ИБ заговорили в таком тоне, то это даст понимание всем компаниям, что безответственности в отношении ИБ государство больше не потерпит. Одно повышение штрафов для юридических лиц чего стоит.

Сами компании тоже стали сознательнее и увидели в утечках фактор репутационного риска. При том, что еще очень много крупных утечек, которые пытаются «замять», многие компании начали уведомлять об инцидентах. Это говорит о том, что не все потеряно. Есть бизнес, готовый брать на себя ответственность.

Что касается угроз, которые кажутся сейчас наиболее опасными, это инциденты, связанные с социальной инженерией, их стало больше. А ведь на пороге уже «дипфейки». Есть технологии, которые довольно успешно борются с социнженерией (наш профайлинг нацелен в т. ч. на это), но что делать с дипфейками пока никто не понимает.

Утечки с участием привилегированных пользователей. Мы говорили об этом выше – количество инцидентов увеличивается, при том, что и данные утекают наиболее критичные. Нужно закрывать эту «дыру» всеми имеющимися способами – как техническими, так и предупредительными.