Детские болезни российских ИБ-решений

Перед многими компаниями встала задача по смене тех или иных иностранных ИБ-решений на российские в связи с прекращением новых поставок или технической поддержки со стороны западных вендоров. Но на этом пути их могут ждать определенные "сюрпризы" и проблемы.

В России всегда были достаточно конкурентные решения по обеспечению информационной безопасности (ИБ). Сколько я помню свою профессиональную деятельность в ИБ, а это более 25 лет, мы всегда использовали какие-то российские продукты. Прежде всего это антивирусы, криптография, системы аутентификации, DLP (Data Loss Prevention). Но до недавнего времени российские разработки даже близко не покрывали весь спектр решений по информационной безопасности, который к тому же постоянно расширяется.

В последние годы под флагом импортозамещения российские продукты по ИБ активно развивались, и на данный момент мы имеем достаточно широкий их спектр. Я вспоминаю тендеры за последние пять лет. Мы практически всегда делали выбор из ведущих решений того или иного класса, и практически всегда среди них было как минимум одно российское. Сейчас можно смело говорить о том, что с помощью только российских решений можно реализовать качественную систему обеспечения информационной безопасности.

Если посмотреть на текущую ситуацию, то перед многими компаниями встала задача по смене тех или иных ИБ-решений в связи с прекращением новых поставок или технической поддержки продуктов западных вендоров. И некоторые специалисты столкнулись с тем, что далеко не всегда российские решения по функционалу могут полностью заменить западные. Есть определенные классы решений по информационной безопасности, где мы имеем продукты, конкурентные на мировом рынке, но существует и довольно много направлений, где российские продукты еще отстают от западных аналогов. И недостаток функционала – не единственная проблема российских решений. Недостатки есть как в совсем свежих продуктах – и их можно отнести к "детским болезням", обусловленным недостатком зрелости, – так и в решениях, которые присутствуют на рынке уже не первый десяток лет.

Функционал российских решений по информационной безопасности

Когда эксперты начинают сравнивать российские и зарубежные ИБ-решения, речь прежде всего идет о функционале и удобстве использования. Что касается функционала, то зачастую не настолько важно наличие тех или иных дополнительных возможностей (фич), сколько значима надежная работа основного функционала. А вот с этим у многих российских продуктов есть проблемы. На одном из предыдущих мест работы мы почти три года внедряли решение одного очень уважаемого российского вендора. Именно из-за различных багов в основном функционале. Когда на практике внедряешь решение по ИБ, очень хочется быть уверенным в отсутствии в нем ошибок. Не секрет, что достаточно часто ИТ-служба компании имеет порочную практику: когда происходят какие-то инциденты с работоспособностью тех или иных систем, сразу кивать на системы ИБ, что, дескать, это опять они виноваты. И определенные основания для этого у ИТ-служб, к сожалению, есть.

Теперь о дополнительных фичах. Безусловно, редко кто из клиентов использует функционал западных решений в реальных системах ИБ на 100%. Зачастую даже не на 80%. Но тот или иной продукт ИБ не существует сам по себе, он вписан в определенный процесс, в существующую ИТ-инфраструктуру организации. И зачастую отсутствие той или иной используемой фичи в российском решении требует перестроения существующего процесса.

Довольно распространено мнение, что функционал практически любого западного решения можно закрыть с использованием двух-трех российских. Наверное, можно. Но это уже не замена западного решения на российское, это проект по перестроению существующего процесса обеспечения информационной безопасности. Поэтому да, в большинстве случаев можно заменить западные решения на российские, и сейчас многие компании вынуждены это делать. Но ввиду недостаточности функционала в российских решениях процесс замены может быть достаточно сложным и трудоемким.

Юзабилити, или удобство использования

Что касается удобства использования, то в этом компоненте российские продукты тоже, как правило, отстают от западных. Это касается как интерфейса с расположением элементов управления, так и функций диагностики, различного рода отчетов, возможности тонкой настройки тех или иных режимов. Понятно, что большинство западных решений прошли значительно более длительный путь развития, чем российские, что многие имеют более широкие рынки сбыта и большие возможности финансирования развития продукта. Но человек по своей природе быстро привыкает к хорошему, и "пересаживаться обратно с "мерседеса" на "жигули" не очень хочется.

У российских решений не всегда внятный Roadmap (дорожная карта). Довольно часто он формируется по пожеланиям одного или нескольких крупных заказчиков, от которых вендор получает основной доход. Даже если нужный функционал есть в Roadmap, сроки его реализации, как правило, очень туманны. Часто сдвигаются выходы новых версий продуктов. Западные решения тоже этим часто грешат, но у российских это практически повсеместно. По своей практике могу сказать, что обещанного функционала можно ждать годами, даже если он был заявлен в Roadmap.

В итоге вас может подстерегать еще один неприятный сюрприз. Функционал может быть сделан, но оказаться платным. Это будет объясняться, например, тем, что он вошел в новый дополнительный модуль, требующий дополнительной оплаты.

Не секрет, что в российских компаниях постоянно не хватает денег на проведение самостоятельных научных исследований развития своих продуктов (RND). Многие просто копируют функционал западных решений. Это не самый плохой путь развития, но следует честно признать, что в части RND российские вендоры существенно уступают ведущим западным ИТ- и ИБ-брендам.

Стоимость российских решений по информационной безопасности

До недавнего времени российские решения, как правило, стоили дешевле западных. Когда лет семь назад мы меняли систему класса DAM (Database Activity Monitoring) с западной на российскую, у нас была альтернатива: либо делать апгрейд западного продукта из-за возросших объемов анализируемого трафика, либо переходить на российское решение. Мы выбрали второй вариант и выиграли более чем в два раза как в стоимости лицензий, так и в стоимости техподдержки.

Многие российские продукты мы покупали в момент их выхода на рынок в разы дешевле западных. Можно было анонсировать переход с западного решения на российское и на этом получить значительную скидку. Но, похоже, эти золотые времена безвозвратно канули в прошлое…

Тендеры последних двух–трех лет показывают, что стоимость российских решений стала сопоставима со стоимостью западных. Для примера могу поделиться мнением коллег из двух компаний, которые в последние пару месяцев искали замену облачному сервису управления уязвимостями Qualys. Оказалось, что менее функциональное российское решение данного класса на те же объемы стоит почти в 1,5 раза дороже.

После начала специальной военной операции многие российские поставщики ИБ-решений резко повысили цены на свою продукцию, особенно это касается программно-аппаратных комплексов. В некоторых случаях удорожание достигло 20%. По прогнозам экспертов, до конца года вполне можно ожидать роста цен на российские ИБ-решения в два и более раза.

Не могу не отметить не всегда внятную лицензионную политику российских компаний по ИБ-решениям. Особенно это касается сложных комплексных продуктов, включающих в себя разные модули. Периодически вендоры меняют лицензионную политику, логика изменений не всегда понятна, но результат предсказуем: общая стоимость ежегодных затрат на продукт возрастает.

Расстраивает не столько рост стоимости российских ИБ-решений, хотя для конечных потребителей это не самая радостная тенденция. Хочется надеяться, что, сравнявшись с западными решениями по стоимости, российские решения также сравняются с ними по функциональности и качеству, в том числе по качеству сервиса.

Качество сервиса российских вендоров

Думаю, вы со мной согласитесь, что качественные решения прежде всего характеризуются качественным сервисом, в первую очередь технической поддержкой. По стандартной техподдержке российских ИБ-продуктов без особых проблем можно получать обновления. Со всем остальным могут быть сложности. Полагаю, большинство из вас сможет сказать, какой ответ вы получите от службы технической поддержки, если у вас в продукте что-то не работает, но вы используете не последнюю версию данного продукта. Правильно, будет стандартная рекомендация: обновитесь до последней версии, все заработает. Но проблема в том, что и после обновления ошибка, как правило, не уходит. И на устранение ошибки могут уйти не дни и даже не недели, а месяцы.

Другой вариант: вы обратились к разработчику решения с ошибкой и он вам на следующий день присылает пакет исправлений со словами: "Да, мы в курсе этой проблемы, поставьте приложенный патч, все заработает". То есть разработчик в курсе проблемы, но не удосужился проинформировать о ней своих клиентов. И на практике это встречается довольно часто, у конкретного клиента баг исправили, а у всех остальных, кто не обратился к вендору с этой проблемой, он еще живет длительное время, пока вендор не созреет наконец в каком-то из обновлений его закрыть.

Далеко не всегда вопрос установки обновления прорабатывается вендором достаточно глубоко и качественно для разных конфигураций продукта, с вариантами быстрого отката, наличием внятной документации. Довольно часто обновление на новую версию превращается в "танцы с бубнами", а иногда выливается в отдельный мини-проект, особенно когда обновляются форматы хранения данных, а тебе нужны данные из старой версии за длительное время.

Хочу обратить внимание на управление уязвимостями в российских средствах защиты информации (СЗИ). В СМИ не так часто появляется информация о выявлении тех или иных уязвимостей в российских ИБ-решениях. История с уязвимостями в российских СЗИ похожа на анекдот с неуловимым Джо: в российских решениях нет уязвимостей, потому что их никто не ищет. В "Банке Санкт-Петербург" мы регулярно проводили пентесты на протяжении почти 10 лет. И как минимум пару-тройку раз нас ломали на внутреннем пентесте через уязвимости в российских СЗИ.

А в текущих условиях возросшей киберагрессии со стороны недружественных стран вопрос поиска и закрытия уязвимостей в российских решениях становится особенно актуальным.

Проблемы масштабирования ИБ-решений

Еще одна проблема российских решений – отсутствие возможностей быстрого масштабирования бизнеса, особенно для программно-аппаратных комплексов (ПАК). Даже для ПАК, сборка которых осуществляется в России, требуются иностранные комплектующие, доставить которые в страну с учетом нынешних реалий непросто. Вот результаты одного из недавних опросов: 46% компаний столкнулись с небольшими задержками поставок готовых решений кибербезопасности, 9% фиксируют существенное увеличение сроков поставок, а еще 8% утверждают, что поставщики и вовсе не могут гарантировать выполнение своих обязательств.

Есть опасения, что с течением времени ситуация может ухудшиться, так как текущие складские запасы закончатся, насколько их удастся восстановить – большой вопрос.

Но даже для чисто программных решений масштабирование бизнеса не кажется таким уж простым. В любом случае это потребует расширения ресурсов на техническую поддержку проданных решений. Нужно будет расширять штат своих специалистов, привлекать к техподдержке дистрибьютеров и обучать их специалистов. И все это – в текущих условиях нехватки квалифицированных кадров по информационной безопасности.

MSSP – рынок еще только формируется

Сейчас много разговоров об MSSP (Managed Security Service Provider, "безопасность как сервис") как возможном варианте решения проблем с замещением западных решений российскими, а также с выполнением требований законодательства по усилению систем ИБ государственных организаций и ряда других, подпадающих под Указ Президента РФ № 250 от 01.05.2022 г.

В теории для конечного пользователя все выглядит достаточно красиво. Не надо делать большие единовременные вложения в закупку и внедрение решений по информационной безопасности, не надо формировать свою команду ИБ-специалистов. Заявляемые короткие сроки подключения сервисов значительно сокращают сроки развертывания системы ИБ в организации.

Но на самом деле здесь тоже много подводных камней. Я отмечу только некоторые из них.

Рынок MSSP в России только формируется. Не так много компаний, которые предоставляют широкий спектр ИБ-сервисов. Предлагаемые сервисы пока не покрывают весь спектр процессов ИБ. "Под капотом" у сервисов зачастую лежат все те же не идеальные российские решения. Есть сервисы, работающие на Оpen Source, но их не так много. А для сервисов, работающих на коммерческих западных решениях, сейчас также ищутся варианты замены.

Пока нет развитого рынка MSSP, стоимость таких услуг высоковата и ее формирование непрозрачно для заказчика.

Безусловно, когда мы что-то отдаем на аутсорсинг, важно обеспечивать контроль предоставляемых услуг. В части услуг ИБ это вызывает определенные сложности. Как мы все с вами прекрасно понимаем, отсутствие потерь от кибератак может быть связано не с тем, что нас хорошо защищают, а с тем, что нас пока никто не атакует.

Следует учитывать, что вся ответственность за случившиеся с компанией ИБ-инциденты все равно будет лежать на ее руководителе.

Не стоит останавливаться на достигнутом

Может показаться, что я негативно отношусь к российским решениям по ИБ. Боже упаси!

Как я уже отмечал, за последние годы российские компании сделали серьезный шаг вперед в создании новых решений по ИБ и развитии существующих. Это не может не радовать. Но сейчас сложилась ситуация, когда в России многие компании либо обязаны, либо вынуждены в связи с уходом западных вендоров покупать российские решения, а западные рынки для наших продуктов по ИБ на ближайшее время закрыты. У российских разработчиков может появиться ощущение, что нет смысла развивать свои продукты, надо пользоваться сложившейся ситуацией и получать максимальные доходы от конъюнктуры на рынке ИБ.

Мой основной посыл в том, что не стоит останавливаться на достигнутом. Да, для нас закрылись западные рынки, но осталась вся Азия, Африка, Латинская Америка, наконец.

С начала 2020 г., с начала пандемии мы постоянно слышим, что кризис – это время возможностей. Так давайте максимально использовать эти возможности, давайте избавим российские ИБ-решения от текущих "детских болезней" и сделаем их лучшими в мире!

Опубликовано в журнале "Системы безопасности" №3/2022

Все статьи журнала "Системы безопасности"
доступны для скачивания в iMag >>