Всеобщее лицензирование для антивирусов

[Umnik 997]

Вот, дали почитать: http://www.kv.by/index2008182102.htm

Как вы считаете, это такой серьезный мотивированный подход или нечто иное?

[Иван 290]

Вот, дали почитать: http://www.kv.by/index2008182102.htm

Как вы считаете, это такой серьезный мотивированный подход или нечто иное?

вопрос в том, почему отечественные вендоры считают своим долгом проходить сертификацию, а другие вместо того, чтобы делать тоже самое говорят об ограничении конкуренции и о невозможности прохождения сертификации?

учитывая, что по словам Земкова, если все в порядке на сертификацию уходит месяц. ниже речь про Россию, но по сути о том же

http://www.cnews.ru/reviews/free/2007/int/kaspersky/

Сергей Земков:

Не все понимают принципиальную разницу между сертифицированным и несертифицированным ПО для защиты государственных структур

Своим видением текущей ситуации на рынке информационной безопасности поделился с CNews Сергей Земков, директор по продажам «Лаборатории Касперского» в России, странах СНГ и Балтии.

CNews: Одним из крупнейших покупателей на рынках ИБ продолжает оставаться государственный сектор. Считаете ли вы, что эта ситуация сохранится и в дальнейшем? Как можно оценить в этом плане позиции России?

Сергей Земков: Действительно, государственный сектор играет существенную роль на рынке закупок средств ИБ. Бюджеты, выделяемые государством на закупку средств информационной безопасности как софтверные, так и хардверные, увеличиваются с каждым годом. Это показывает приоритетность и заинтересованность государства в решении задач ИБ. Кстати, позиция России в этом вопросе выглядит несколько лучше, чем в других странах СНГ.

Отмечу и тот факт, что наряду с федеральными бюджетами, на нужды ИТ и ИБ выделяются значительные средства и из региональных бюджетов. Во многих регионах существуют собственные целевые программы в области ИКТ. Тем не менее, ситуация с обеспечением информационной безопасностью обстоит не самым лучшим образом, особенно это касается регионов. Так что снижения объемов закупок государством ни в этом, ни в 2009 году, я уверен, не будет.

CNews: Стало ли для вас неожиданностью появление указа Президента РФ «О мерах по обеспечению информационной безопасности РФ при использовании информационно-телекоммуникационных сетей международного информационного обмена»?

Сергей Земков: Появление данного указа не стало большой неожиданностью, так как ранее, в 2004 году, был издан Указ Президента РФ № 611, который регламентировал те же вопросы. Новый нормативный акт — это следующий шаг государства, направленный на создание защищенного информационного пространства РФ. Впрочем, во многом он повторяет предыдущий документ, и поэтому не случайно отменяет его действие.

CNews: В каких своих положениях этот Указ касается вашей компании? Какие ключевые требования вы могли бы отметить? Есть ли трудности с их выполнением?

Сергей Земков: Одно из ключевых требований — обязательная сертификация средств, предназначенных для защиты информационных ресурсов государственных структур. Очевидно, что государство, владея информацией, не только имеет право, но и обязано защищать ее, притом средствами, в надежности и безопасности которых есть уверенность. Поэтому согласно Указу, для защиты своих информационных сетей госорганы должны использовать только ПО, сертифицированное в ФСБ и получившее подтверждение соответствия в Федеральной службе по техническому и экспортному контролю.

Суть сертификационной проверки заключается в исследовании продукта на предмет отсутствия в нем скрытых функций, которые могут привести к порче, изменению, краже или уничтожению информации. Это, например, может быть специальный код, после получения, которого система, где установлен данный продукт, станет беззащитной и доступной для злоумышленника. Используя решения, которые прошли сертификационную проверку, можно быть уверенным — ничего подобного не произойдет. Кстати, если в продукте нет никаких «закладок», то процедура сертификации занимает максимум пару месяцев.

Нашей компании этот Указ коснется ровно так же, как и других игроков, работающих или намеревающихся работать в госсекторе. «Лаборатория Касперского» будет по-прежнему строго соблюдать установленные государством требования и соответствующим образом сертифицировать собственные продукты.

Проблема, однако, заключается в другом. Весьма парадоксальна ситуация с выполнением установленных требований со стороны самих же органов государственной власти. Законы, обязывающие предприятия госсектора использовать только сертифицированные средства есть, но эти требования госчиновниками сплошь и рядом нарушаются. Увы, далеко не все специалисты, в задачи которых входит обеспечение безопасности государственной информации, обладают достаточной для этого компетенцией.

Например, зачастую не знают законодательную базу или не могут оценить степень риска использования не сертифицированного ПО. Встречаются случаи, когда в конкурсную комиссию при проведении тендера на закупку СЗИ вообще не включается специалист по ИБ. А в нашей практике был и вовсе удивительный случай: ФАС России, т.е. собственно орган контроля соблюдения законности при проведении конкурсов, своим решением признал требование конкурсной документации о предоставлении копий сертификатов незаконным. С легкой руки чиновников ФАС России вся система сертификации была, таким образом, вообще поставлена вне закона.

CNews: Есть ли преимущества, на ваш взгляд, у продуктов с открытым кодом в этой связи?

Сергей Земков: В данном случае я не вижу особых преимуществ у продуктов с открытым кодом. Когда речь идет о сертификации продуктов для нужд государственных структур, то основным требованием является отсутствие в продукции не декларированных возможностей, а не открытость или закрытость кода. Более того, проприетарные продукты в области информационной безопасности являются предпочтительным подходом, так как собственник продукта несет полную ответственность за внесение изменений в ПО.

Кроме того, если мы говорим, например, о продуктах антивирусной защиты, то все обновления баз антивируса и антиспама должны идти с доверенных серверов производителя. Они должны иметь соответствующую электронно-цифровую подпись и разрешенную в России криптографическую защиту.

Еще одна значимая особенность проприетарного ПО — это наличие технической поддержки от производителя. Вопрос информационной безопасности является ключевым для любой компании и бизнеса в целом, а для государственной информации просто критичным. А полагаться на «общественный разум» в решении технических вопросов в ПО с открытым кодом, по меньшей мере, неразумно.

CNews: Не считаете ли вы, что этот нормативный акт ограничит конкуренцию на рынке госзакупок?

Сергей Земков: Нет, не считаю. Указ же не запрещает каким-либо компаниям проходить сертификацию. Если компания намеривается работать с госсектором, она обязана соблюсти определенные требования, не более. Россия, кстати, не единственная страна, где есть подобная процедура. Сертификация для работы в госсекторе существуют, например, во многих государствах на постсоветском пространстве. Единственное, что новый Указ может ограничить, — это доступ не сертифицированных продуктов на рынок защиты государственной информации.

Если раньше в одном гостендере на равных могли участвовать и сертифицированный, и не сертифицированный продукт, то теперь такая ситуация будет невозможна. Уже на первом этапе не сертифицированные решения будут отсеиваться: их надежность не гарантирована, и, следовательно, в их безопасности государство не может быть уверенно.

Сертификация — это абсолютно нормальное явление, направленное на повышение качества и уровня безопасности продукции. И это касается не только информационной безопасности. Институт сертификации присутствует в любой отрасли: сертифицируются автомобили, мебель, детские игрушки, продукты питания. Только так можно гарантировать соблюдение общих стандартов качества, защитить потребителя от некачественных и небезопасных товаров.

Другое дело, что некоторые иностранные производители не спешат сертифицировать свою продукцию. Например, насколько мне известно, ни одна иностранная компания-производитель антивирусных программ не получила сертификат, дающий возможность защищать государственную тайну и конфиденциальную информацию. Максимум, чем они располагают — сертификаты добровольной системы сертификации, где технические условия (ТУ) утверждаются самим производителем. С такими документами можно защищать только открытую и общедоступную информацию и не более. Однако проблема заключается в том, что не все понимают эту принципиальную разницу, а компании-производители не торопятся ее объяснять, фактически подменяя одно понятие другим.

Более того, не желая сертифицировать продукт, некоторые производители идут дальше и начинают информационную кампанию, направленную на дискредитацию идеи сертификации защитного ПО. В частности, утверждая, что проверка средств защиты — лишь бюрократическая мера, а то и вовсе — антирыночный метод. Между тем, причины отказа предоставить продукт на сертификацию могут быть разными — от банальной лени производителя до уверенности в невозможности продукта соответствовать установленным требованиям.

CNews: Продукты ИБ становятся комплексными. Как быть если, к примеру, антивирусный модуль продукта прошел сертификацию, а антишпионский — нет?

Сергей Земков: На сертификацию в соответствующие лаборатории отдаются конкретные продукты с конкретным функционалом. Если на сертификацию заявлен продукт, в котором есть и антивирус, и антишпион, то сертифицировать будут именно всю эту функциональность. В результате решение проходит проверку целиком и получает сертификат, либо нет. Например, в одном из продуктов «Лаборатории Касперского» — Антивирус Касперского для рабочих станций Windows, который сертифицирован и в ФСТЭК России, и в ФСБ России, функциональность включала антивирус, антиспам, антифишинг, файервол и многие другие модули.

CNews: Иметь продукт ИБ — одно, а получать к нему регулярные обновления — совсем другое. Регулируется ли новым Указом требования к сетям доставки и самим поставщикам этих самых патчей, сигнатур и т.д.?

Сергей Земков: Нет, данным указом эти вопросы не регулируются. Подобные аспекты должны регламентировать документы более низкого уровня. Пока же тема обновлений и их доставки пользователю в каждом конкретном случае обсуждается заказчиком и поставщиком отдельно. Регулярные обновления баз продукта — это одно из важнейших условий его эффективного функционирования, поэтому вопрос, действительно, требует скорейшего решения. Я полагаю, что соответствующие документы появятся уже в ближайшее время. Указ ясно дает понять, что государство будет уделять вопросам информационной безопасности много внимания.

CNews: Ваша компания выиграла крупный тендер на поставку антивирусного ПО в школы России. Предъявлялись ли здесь какие-то специфические требования, связанные с тем, что конечными пользователями являлись дети и учителя?

Сергей Земков: Нет, ничего специального, связанного с этим не было. Основными требованиями являлись функциональные характеристики ПО, а именно наличие не только антивирусной составляющей, но и персонального файервола, антиспама, антифишинга. Отчасти это можно отнести к специфическим требованиям именно для школ, так как ни о каких политиках безопасности в школах речь не идет. Поэтому продукт, который будет защищать компьютер школьника, должен, главным образом, уметь противостоять всевозможным интернет-угрозам. При этом он обязан быть достаточно прост в настройках и сопровождении, а также иметь различные варианты обновления антивирусных баз, так как не все компьютеры в школах имеют подключение к интернету. Продукты нашей компании отвечают всем этим требованиям.

CNews: Необходима ли дополнительная инфраструктура для техподдержки и обновлений в связи с этим проектом?

Сергей Земков: Безусловно. Но в данном вопросе мы были задействованы в меньшей степени, так как основная часть работы по созданию инфраструктуры легла на плечи интегратора, который занимается реализацией всего проекта.

Если говорить в целом о школьном проекте, то всеми участниками была проделана колоссальная работа, и на сегодняшний день его по праву можно назвать самым крупным ИТ-проектом в России.

CNews: Чего вы ждете от 2008 года, какие планы строите на будущее?

Сергей Земков: Ждем такого же динамичного роста, который, как и в прошлом году будет связан с легализацией ПО в сегменте малого и среднего бизнеса, а также в среде домашних пользователей. Будет расти и рынок корпоративного ПО. И для домашних пользователей, и для сектора СМБ, и для крупных клиентов наша компания в этом году также выпустит ряд новых продуктов и предложений, которые, я уверен, будут востребованы рынком.

Стала заметна серьезная активность государства в области регулирования и сертификации средств ИБ. Например, тот же вышедший в марте этого года Указ «О мерах по обеспечению ИБ РФ», в котором большое внимание уделяется вопросу обеспечения надежности средств защиты, используемых в госорганах. Безусловно, этот нормативный документ должен послужить дополнительным толчком в развитии системы информационной безопасности органов государственной власти.

[TANUKI 240]

1. Поэтому согласно Указу, для защиты своих информационных сетей госорганы должны использовать только ПО, сертифицированное в ФСБ

2. В данном случае я не вижу особых преимуществ у продуктов с открытым кодом. Когда речь идет о сертификации продуктов для нужд государственных структур, то основным требованием является отсутствие в продукции не декларированных возможностей, а не открытость или закрытость кода. Более того, проприетарные продукты в области информационной безопасности являются предпочтительным подходом, так как собственник продукта несет полную ответственность за внесение изменений в ПО.

Кроме того, если мы говорим, например, о продуктах антивирусной защиты, то все обновления баз антивируса и антиспама должны идти с доверенных серверов производителя. Они должны иметь соответствующую электронно-цифровую подпись и разрешенную в России криптографическую защиту.

Еще одна значимая особенность проприетарного ПО — это наличие технической поддержки от производителя. Вопрос информационной безопасности является ключевым для любой компании и бизнеса в целом, а для государственной информации просто критичным. А полагаться на «общественный разум» в решении технических вопросов в ПО с открытым кодом, по меньшей мере, неразумно.

1. Интересно, а сертификат дают без проблем или с условем в случае чего кой чего дописать в программу по просьбе товарищей в сером?

2. Трудно не согласится, учитывая важность некоторых гос-структур.

[alexgr 556]

Как вы считаете, это такой серьезный мотивированный подход или нечто иное?

Думаю, что это правильный шаг. Разрекламированные "технологии" некоторых западных вендоров, когда подозрительный по мнению программы тут же отправляется куда - то - эт как? Представим "крайний" случай - с файлового сервера взят документ, зараженный макро-вирусом. Антивирус хватает, ситает "подозрительным - и отправляет куда-то. Вот и утечка....

То есть дополнительный барьер для продвижения на рынок продуктов с недокументированными функциями. ИМХО.