{"id":13517,"url":"\/distributions\/13517\/click?bit=1&hash=2dff2b3571f12271362884bb2d6d3bd4b1c8ef58488b739a938faca75421e327","title":"\u0427\u0435\u043a-\u043b\u0438\u0441\u0442 \u0434\u043b\u044f \u0442\u0435\u0445, \u043a\u0442\u043e \u0436\u0434\u0451\u0442 \u043f\u0440\u043e\u0432\u0435\u0440\u043a\u0438 \u0421\u042d\u0421","buttonText":"\u0421\u043c\u043e\u0442\u0440\u0435\u0442\u044c","imageUuid":"44ce55da-8f18-5632-aa12-06c7747270d1","isPaidAndBannersEnabled":false}
В России хорошо

Кибербезопасность России держится над бюрократической бездной - спасибо ФСБ за это

Интересный (как мне кажется), но сложный материал. Явно не для всех. Зато очень наглядно показывает диалектику (ха) централизации российского управления в экономике на примере кибербезопасности.

Сразу скажу, что всё не так уж и плохо. Но нынешняя spez-operazionnaya обстановка заставляет обратить пристальное внимание на вопросы безопасности. Лучше заранее проверить слабые места на наличие проблем, чем потом осуждающе вытряхивать из государственных штанов последствия ошибки.

Меня в комментариях к недавнему посту спросили, сколько же тратят на VPN западные госкомпании? Я начал искать и не нашёл ответа. Пришлось побеседовать со знакомыми безопасниками, которые много удивительного рассказали. Далеко не всё понял, но как получилось запомнить и записать, передаю вам.

Что такое VPN? Virtual private network - виртуальная частная сеть. Проще говоря - это возможность безопасно обмениваться информацией, не выкладывая её куда-то в общий доступ. Например, если сотрудник сидит на удалёнке у себя дома и ему нужно подключиться к облачному сервису, который находится на серверах компании.

Важно! VPN НЕ гарантирует полную безопасность. Он лишь защищает передачу данных, но можно, например, взломать компьютер пользователя, который сидит дома на удалёнке, и через него воспользоваться внутренними ресурсами компании.

Почти весь мир пользуется либо VPN решениями от топ-4 брендов: Cisco, CheckPoint, Fortigate, Palo Alto. Либо это облачные VPN IPSEC (Azure, AWS, GKS), либо это в принципе какой-нибудь опенсорс на базе OpenVPN. Наши коммерческие организации тоже отдают предпочтение вышеперечисленным вариантам. Интересно, почему?

Российское правительство, как всегда, идёт своим путём. У нас есть свои скрепные "Континент" и ViPNet. Они точно так же сделаны на базе Линукса и Опенвпн, только в качестве шифрования используют ГОСТовый алгоритм. И, конечно же, сертифицированы через ФСБ (точнее, через специальные центры, которые следуют протоколам спецслужбистов).

Ни один западный сервис для работы с российскими госслужбами не сертифицирован. ФСБ, очевидно, не хочет показывать западным компаниям ключевой элемент криптографии, которому должны проктолы ВПН соответствовать - таблицу подстановки. Западные компании не хотят раскрывать свои внутренние алгоритмы и протоколы. Поэтому все полтора-два миллиарда, которые расходуются на защиту коммуникаций госучреждений, уходят в две-три российские конторы.

А как в западных странах? Я нашёл много коммерческих предложений VPN for government, но никаких больших централизованных закупок. Возможно, конечно, я не знаю, где искать в англоязычных источниках такую информацию.

Но из общения с безопасниками и просмотру офферов у меня сложилось впечатление, что каждая госструктура в западных странах сама выбирает себе поставщика VPN, исходя из рекомендаций (это важно!) и своих представлениях о необходимом уровне защищённости.

При этом западные VPN-сервисы не должны сертифицироваться у конкретных спецслужбистов. Они регулируются своей деловой репутацией, оценкой профессиональной среды, стандартами ассоциаций, проверками коммерческих центров и саморегулируемых организаций и (еще раз) рекомендациями от спецслужб о необходимых элементах защиты.

Очевидно, что монолизация рынка приводит к ухудшению качества и увеличению цены. Так же понятно, что единое простое решение может быть более защищенным, чем зоопарк из различного софта. Так какой подход лучше? Тут мы подходим к ключевой проблеме, которую я обозначил ранее.

VPN закрывает только малую долю проблем безопасности. В России, к сожалению, вся инфраструктура безопасности дырявая, непатченые сервисы, нет проверки исходных кодов, контролеры доменов и политики не настроены, операционные системы работают по дефолту в большинстве организаций и прочее, прочее, прочее.

Причина этого - бумажная безопасность важнее, чем реальная. Любая госструктура озабочена только тем, чтобы соответствовать протоколам и проверкам, которые им централизовано назначают их соответствующих служб. Но качество этих стандартов безопасности крайне низкое.

Кто идёт на работу в айти-безопасность госструктуры? Зарплата... 30, ну 40 тысяч. Если станешь начальником, то 50-60к. Квалифицированный специалист в коммерческой фирме за такие деньги даже задницу себе чесать не будет.

А теперь добавим еще кривое распределение ответственности. Если ты, работая безопасником в госструктуре, предложишь какое-то новое и качественное решение, то на тебя ополчатся там все. «Зачем суетишься, нагнетаешь, создаёшь всем сложности, если приказа не было? Вот бумажка сверху придёт, тогда и будешь работать!» Но если что-то произойдет, то безопасника оштрафуют, хотя он мб и предлагал заранее решение.

Не нужно идеализировать Запад. Там в госструктурах похожая ситуация, но из-за того, что в целом рынок больше, богачее, менее централизован и с большим числом внутрипрофессиональных связей, то среднее качество там выше. Хотя всё равно безопасность страдает.

Что мы получаем в российских госструктурах? Плохие специалисты работают по плохим протоколам, повторяя как обезьянки решения интеграторов, закупая не самый лучший софт у монопольных поставщиков, главная задача которого - соблюдение требований бумажной, а не реальной безопасности.

Но тут нам помогает проверенность и простота решений, которые сейчас внедрены. Плюс запуганность сотрудников госслужб, которые боятся сделать шаг вправо-влево. Я не могу оценить, насколько сильно сейчас подвергаются атаке наши государственные сервисы, но то, что «Госуслуги» стабильно работают, показывает, что пусть дорого, частенько топорно, но защитить цифровую часть государства получается.

Разумеется, это прям очень краткий обзор крайне большой и важной проблемы - при централизации управления критичным становится качество менеджмента на вершине иерархии. Но при этом любая организация (включая государственное управление) достигает стадии бюрократизации, когда бумаги становятся важнее реальных дел.

Выхода из этого всего два - либо постепенная смерть организации, либо эволюция, когда происходит уничтожение части бюрократии и «аристократии» внутри организации, повышение децентрализации управления и принятие нового вызова для развития.

А что вы думаете об этом? Как вы видите дальнейшее развитие бюрократической иерархии? Есть ли другие сценарии? Поделитесь в комментариях!

0
14 комментариев
Написать комментарий...
Глеб Жеглов

Халатность, разгильдяйство, воровство, коррупция. Самый большой вопрос: как в РФ вообще что-то работает.

Ответить
Развернуть ветку
В России хорошо
Автор

Ну, вот в этой сфере не совсем так) Все эти элементы, конечно, присутствуют. Но главное - просто потери эффективности из-за сверхцентрализации

Ответить
Развернуть ветку
KermitFrog

А столько разговоров было...

Ответить
Развернуть ветку
Андрей Баранов

Статья - что-то из разряда - "хорошо там где нас нет" :)
Вроде и придраться можно к каждому абзацу (или через раз), но вроде и сам потом поправляешься.
К примеру складывается впечатление что на западе полная свобода с выбором vpn для госорганов - но там ведь тоже есть “гос.стандарты” которым должны следовать поставщики сервисов. Да - это не фсб - другие органы... но все же
Ну и ряд других моментов.

Ответить
Развернуть ветку
В России хорошо
Автор

Я пытался ужать много информации в одну статью.
Если про разницу между сертификацией и рекомендацией, то на западе, например, спецслужбы выдают рекомендацию - данные не должны храниться на сервере в незашифрованном виде.
А у нас ФСБ требует хранить их, зашифрованными определенным способом по определённой схеме. Как-то так.

Ответить
Развернуть ветку
Андрей Баранов

Врятли конечно что все так просто, но сложновато/долго это проверять, но ок - в обоих случаях требуется шифрование, только на западе вариантов допустимых алгоритмов шифрования больше.
Ну - вполне можно назвать минусом, наверное, но както с натяжкой...

Ответить
Развернуть ветку
Андрей Баранов

Для контраста еще можно сравнить политику по отношению к персональным данным в ЕС и РФ, когда бюрократия ЕС вынесла мозг всем компаниям в ЕС
Это я к тому - что везде есть своя специфика, сложности и т.п.

Но опять же - все зависит как подавать информацию.

Ответить
Развернуть ветку

Комментарий удален модератором

Развернуть ветку
В России хорошо
Автор

О да, там совершено адовые меры по персональным данным. У меня где-то валяется документ на несколько сотен страниц. Это всего лишь доклад одной конференции про персональным данным в ЕС. Читать его я, конечно же, не буду)))

Ответить
Развернуть ветку
Аккаунт заморожен

Комментарий недоступен

Ответить
Развернуть ветку
В России хорошо
Автор

Все безопасники, с которыми я общался, хейтили государственную систему кибербезопасности. Но вот насчёт «Госуслуг» - разве их за последние пару лет взламывали?

Ответить
Развернуть ветку
Аккаунт заморожен

Комментарий недоступен

Ответить
Развернуть ветку
В России хорошо
Автор

Да, вполне. Это как раз про те дыры в безопасности, о которых писал в статье и от которых ВПН не защищает. ТОлько прямые руки службы безопасности.

Ответить
Развернуть ветку
Сергей Коновалов
ФСБ, очевидно, не хочет показывать западным компаниям ключевой элемент криптографии, которому должны проктолы ВПН соответствовать - таблицу подстановки.

Это вряд-ли.. в ваше фразе многое намешано, но криптография не может базироваться на секретности алгоритма, в том числе таблиц перестановок.

Ответить
Развернуть ветку
В России хорошо
Автор

Я мог неправильно понять) Но и меня, естественно, не погружали в детали криптографии. Сказали, что вот есть таблица, как основной элемент безопасности, и его, скорее всего, ФСБ раскрывать не хотят.

Ответить
Развернуть ветку
Читать все 14 комментариев
null