Евгений Мартынов, Рубикон: Наша миссия — сделать информационную безопасность понятной

Мы продолжаем обсуждение важных тем, связанных с информационной безопасностью. Сегодня поговорим с генеральным директором компании «Рубикон» Евгением Мартыновым об особенностях работы в сфере ИБ и о влиянии на неё изменений в законодательстве.

Насколько я знаю, компания «Рубикон» была основана в 2017 году. Расскажите об истории её создания. С чего вы начинали свою деятельность?

Е. М.: Прежде я был не слишком близок к ИТ, но немного касался этой сферы. Работал в области автоматизации электроснабжения, технологических процессов. В какой-то момент пришло понимание, что пора двигаться к чему-то своему. И так удачно сложилось, что мой друг и нынешний партнёр Артём Половинко тоже планировал завершить свою карьеру госслужащего. Мы решили развивать своё дело вместе. На меня легли обязанности по организации и развитию компании. Артём как уже состоявшийся специалист в области информационной безопасности возглавил проектную деятельность. Сначала реализовывали проекты по слаботочным системам, а затем, после получения лицензии, «ворвались» в сферу информационной безопасности.

Компания развивается плавно и прогнозируемо, в соответствии с нашими планами. Мы постепенно масштабируем свою деятельность, расширяем портфолио оказываемых услуг. Сначала занимались в основном ПДн и ГИС. Потом начали активно работать с субъектами КИИ, также стали проводить пентесты. Так как я перешёл в ИБ из АСУ, направление КИИ стало логичным шагом. Есть возможность применить имеющийся опыт и знания, чтобы более тонко подойти к построению системы обеспечения ИБ с учётом возможных специфик конкретной отрасли.

Территориально главный офис вашей компании находится в Ростове-на-Дону. Южный федеральный округ должен быть вам наиболее хорошо знаком. Есть ли в этом регионе какая-то своя специфика в области ИБ? В чём она выражается?

Е. М.: Большая часть наших клиентов — из Ростова-на-Дону и Ростовской области. Также у нас много заказчиков из других регионов. Мы работаем по всей России, от Калининграда до Дальнего Востока. Требования регуляторов одни для всех, продукты производителей одинаковы для всех. Соответственно, и потребности заказчиков в каждом регионе схожи. Каких-то глобальных сложностей при работе в других регионах мы не испытывали. Работа с компаниями в разных регионах интересна с точки зрения трансляции лучших практик из одного региона в другой. 

Многие разделяют свою жизнь и бизнес на «до 2022 года» и «после». А что для вашей компании изменилось после ухода зарубежных вендоров и ввода западных санкций?

Е. М.: 2022 год в принципе послужил неким толчком по нескольким аспектам: информационной безопасностью заинтересовались все, усилилось внимание в отношении критической информационной инфраструктуры. Сюда же относятся и негативные последствия — возросший рост утечек данных из компаний различного уровня. Не зря сейчас всё больше говорится об информационных войнах, ведь участились хакерские атаки, направленные на население.

Всё это усугубилось тем, что западные производители ушли с рынка РФ. К таким быстрым изменениям сфера ИБ не была готова. Но в то же время у этого есть и положительные моменты. Например, разработка отечественного ПО стала регулярной и на рынке есть выбор среди качественных российских решений. Бизнес (здесь речь о сегменте МСП) также стал внимательнее относиться к вопросу кибербезопасности. Да и обычные люди теперь малость ответственнее относятся к тому, где оставляют свои персональные данные.

Если вернуться к тому, как это отразилось на нашей компании, — работы стало определённо больше, особенно в отношении импортозамещения. И если раньше это было актуально в основном для государственного сектора (органов власти, бюджетных учреждений), то сейчас картина изменилась: коммерческие компании тоже думают об импортозамещении, особенно много запросов в части замены сетевого оборудования.

У нас есть интересные кейсы для компаний в сфере транспорта и энергетики, но они применимы и к другим отраслям, конечно.

Какие услуги сейчас наиболее востребованны, если судить по вашему опыту, и почему?

Е. М.: Хотелось бы тут выделить несколько популярных направлений. Первое и до сих пор актуальное — это импортозамещение зарубежного оборудования и ПО, тем более что чуть больше чем через полгода (январь 2025-го) регуляторы активно возьмутся за проверку результатов исполнения требований НПА по этому вопросу.

Ещё одно направление — внедрение в организациях функциональной безопасности, а не просто формальное выполнение требований регуляторов. Были примеры, когда ещё на этапе пилотирования межсетевые экраны ловили реальные атаки, спасая организацию от взлома извне. С учётом того что все атаки сейчас на слуху, приходит понимание, что всё-таки это реально нужно — не просто для соблюдения закона, но и для стабильной работы.

Вырос спрос на услугу анализа защищённости (пентеста). Заказчики хотят убедиться в том, что их ИТ-инфраструктуры со всех сторон надёжны, ИБ работает. С таким запросом приходят не только организации — владельцы информационных систем, но и разработчики программного обеспечения. Вторые хотят подтвердить заказчику, что их продукт безопасен.

Популярна услуга по аудиту информационной безопасности. Здесь спрос высок из-за того, что не всегда заказчик понимает, насколько правильно реализованы меры ИБ, соответствуют ли они требованиям регуляторов. Отдельно в части аудита стоит отметить, что увеличилось количество запросов от субъектов КИИ. Очень много возникает вопросов по выполнению требований, и мы помогаем пройти весь путь: от анализа процессов до проектирования и внедрения системы обеспечения информационной безопасности.

Как на рынок влияет изменение законодательства? В частности, указы Президента № 250 и № 166?

Е. М.: Они касаются не только программного обеспечения по информационной безопасности, которое можно быстро заменить, но и ИТ-систем и АСУ. Как я уже говорил, глобально это послужило толчком к увеличению разработок в области ИБ.

Но если говорить о производственном цикле, то довольно сложно заменить внедрённые зарубежные продукты отечественными. Я убеждён, что к импортозамещению в промышленности нужно подходить аккуратно, потому что есть риск, что станет хуже. Неизвестно, насколько безопасен конкретный российский софт. Ведь он может «писаться на коленке» или состоять из открытого программного обеспечения на 90 %. В результате могут возникнуть проблемы с информационной безопасностью. Конечно, есть отечественные разработки, которые на рынке достаточно давно, в том числе и в части промышленных контроллеров. Замена на такие продукты может проходить вполне успешно.

Будет ли дополнительный виток внимания к ИБ при принятии закона об оборотных штрафах в случае утечки ПДн?

Е. М.: Пока непонятно, распространится ли он только на бизнес или на государственные ведомства тоже. Конечно, в бизнесе произойдут изменения. Если компания выстраивает систему защиты, она и продолжит этим заниматься. А вот те, кто не обращал на это внимания, возможно, тоже примут какие-то меры. Но явно не все. Ведь многие надеются, что утечка их не затронет. Может быть и такой сценарий, что большее финансирование пойдет не на защиту информации, а на юридическое сопровождение, чтобы избежать штрафов за утечки. И этот подход вполне может сработать, потому что доказать факт нарушения не так просто, как кажется.

Назовите три наиболее интересных направления в ИБ, к которым стоит присмотреться заказчикам.

Е. М.: Безусловно, это управление уязвимостями. Повышение уровня грамотности сотрудников в области информационной безопасности — тоже, потому что с этим есть проблемы. И, конечно же, актуален анализ защищённости. Вообще, чрезвычайно важно всё, что касается как обнаружения атак, так и реагирования на них.

Есть спрос на построение ИБ-стратегии. Здесь затрагивается всё: от аудита ИБ в организации и разработки карты рисков до финализации стратегии. Это подходит тем заказчикам, которые хотят сделать хорошо один раз и надолго, обращаясь лишь за поддержкой.

Очень актуальна автоматизация подготовки документов в области ИБ, ведь наличие документов по защите информации — одно из важнейших условий соответствия требованиям законодательства. Нужно каким-то образом автоматизировать генерацию многочисленных документов, их обновление и адаптацию под постоянно меняющиеся требования. Мы можем предложить своим клиентам эффективные решения, которые значительно экономят человеческие ресурсы.

Как вы формулируете миссию вашей компании?

Е. М.: Наша миссия — сделать информационную безопасность понятной. Сейчас многие не понимают, что это и как работает, для чего нужно. Понимание приходит, когда организации видят уже результат халатного отношения к кибербезопасности: потерю важной информации, взломы ресурсов, штрафные санкции за нарушения. Мне кажется, наша миссия должна у многих заказчиков находить отклик, потому что действительно есть определённые сложности. Именно для этого мы проводим в том числе обучающие мероприятия по ИБ для сотрудников заказчика. Иногда бывает, что даже базовые вещи из информационной безопасности просто раскрывают глаза, вызывают удивление и дальнейший интерес к вопросу. Это становится почвой для дальнейшей продуктивной работы по построению системы защиты информации в организации. 

Евгений, спасибо за интервью! Желаем вашей компании успехов и процветания!