Кибербезопасность России держится над бюрократической бездной - спасибо ФСБ за это

Интересный (как мне кажется), но сложный материал. Явно не для всех. Зато очень наглядно показывает диалектику (ха) централизации российского управления в экономике на примере кибербезопасности.

Сразу скажу, что всё не так уж и плохо. Но нынешняя spez-operazionnaya обстановка заставляет обратить пристальное внимание на вопросы безопасности. Лучше заранее проверить слабые места на наличие проблем, чем потом осуждающе вытряхивать из государственных штанов последствия ошибки.

Меня в комментариях к недавнему посту спросили, сколько же тратят на VPN западные госкомпании? Я начал искать и не нашёл ответа. Пришлось побеседовать со знакомыми безопасниками, которые много удивительного рассказали. Далеко не всё понял, но как получилось запомнить и записать, передаю вам.

Что такое VPN? Virtual private network - виртуальная частная сеть. Проще говоря - это возможность безопасно обмениваться информацией, не выкладывая её куда-то в общий доступ. Например, если сотрудник сидит на удалёнке у себя дома и ему нужно подключиться к облачному сервису, который находится на серверах компании.

Важно! VPN НЕ гарантирует полную безопасность. Он лишь защищает передачу данных, но можно, например, взломать компьютер пользователя, который сидит дома на удалёнке, и через него воспользоваться внутренними ресурсами компании.

Почти весь мир пользуется либо VPN решениями от топ-4 брендов: Cisco, CheckPoint, Fortigate, Palo Alto. Либо это облачные VPN IPSEC (Azure, AWS, GKS), либо это в принципе какой-нибудь опенсорс на базе OpenVPN. Наши коммерческие организации тоже отдают предпочтение вышеперечисленным вариантам. Интересно, почему?

Российское правительство, как всегда, идёт своим путём. У нас есть свои скрепные "Континент" и ViPNet. Они точно так же сделаны на базе Линукса и Опенвпн, только в качестве шифрования используют ГОСТовый алгоритм. И, конечно же, сертифицированы через ФСБ (точнее, через специальные центры, которые следуют протоколам спецслужбистов).

Ни один западный сервис для работы с российскими госслужбами не сертифицирован. ФСБ, очевидно, не хочет показывать западным компаниям ключевой элемент криптографии, которому должны проктолы ВПН соответствовать - таблицу подстановки. Западные компании не хотят раскрывать свои внутренние алгоритмы и протоколы. Поэтому все полтора-два миллиарда, которые расходуются на защиту коммуникаций госучреждений, уходят в две-три российские конторы.

А как в западных странах? Я нашёл много коммерческих предложений VPN for government, но никаких больших централизованных закупок. Возможно, конечно, я не знаю, где искать в англоязычных источниках такую информацию.

Но из общения с безопасниками и просмотру офферов у меня сложилось впечатление, что каждая госструктура в западных странах сама выбирает себе поставщика VPN, исходя из рекомендаций (это важно!) и своих представлениях о необходимом уровне защищённости.

При этом западные VPN-сервисы не должны сертифицироваться у конкретных спецслужбистов. Они регулируются своей деловой репутацией, оценкой профессиональной среды, стандартами ассоциаций, проверками коммерческих центров и саморегулируемых организаций и (еще раз) рекомендациями от спецслужб о необходимых элементах защиты.

Очевидно, что монолизация рынка приводит к ухудшению качества и увеличению цены. Так же понятно, что единое простое решение может быть более защищенным, чем зоопарк из различного софта. Так какой подход лучше? Тут мы подходим к ключевой проблеме, которую я обозначил ранее.

VPN закрывает только малую долю проблем безопасности. В России, к сожалению, вся инфраструктура безопасности дырявая, непатченые сервисы, нет проверки исходных кодов, контролеры доменов и политики не настроены, операционные системы работают по дефолту в большинстве организаций и прочее, прочее, прочее.

Причина этого - бумажная безопасность важнее, чем реальная. Любая госструктура озабочена только тем, чтобы соответствовать протоколам и проверкам, которые им централизовано назначают их соответствующих служб. Но качество этих стандартов безопасности крайне низкое.

Кто идёт на работу в айти-безопасность госструктуры? Зарплата... 30, ну 40 тысяч. Если станешь начальником, то 50-60к. Квалифицированный специалист в коммерческой фирме за такие деньги даже задницу себе чесать не будет.

А теперь добавим еще кривое распределение ответственности. Если ты, работая безопасником в госструктуре, предложишь какое-то новое и качественное решение, то на тебя ополчатся там все. «Зачем суетишься, нагнетаешь, создаёшь всем сложности, если приказа не было? Вот бумажка сверху придёт, тогда и будешь работать!» Но если что-то произойдет, то безопасника оштрафуют, хотя он мб и предлагал заранее решение.

Не нужно идеализировать Запад. Там в госструктурах похожая ситуация, но из-за того, что в целом рынок больше, богачее, менее централизован и с большим числом внутрипрофессиональных связей, то среднее качество там выше. Хотя всё равно безопасность страдает.

Что мы получаем в российских госструктурах? Плохие специалисты работают по плохим протоколам, повторяя как обезьянки решения интеграторов, закупая не самый лучший софт у монопольных поставщиков, главная задача которого - соблюдение требований бумажной, а не реальной безопасности.

Но тут нам помогает проверенность и простота решений, которые сейчас внедрены. Плюс запуганность сотрудников госслужб, которые боятся сделать шаг вправо-влево. Я не могу оценить, насколько сильно сейчас подвергаются атаке наши государственные сервисы, но то, что «Госуслуги» стабильно работают, показывает, что пусть дорого, частенько топорно, но защитить цифровую часть государства получается.

Разумеется, это прям очень краткий обзор крайне большой и важной проблемы - при централизации управления критичным становится качество менеджмента на вершине иерархии. Но при этом любая организация (включая государственное управление) достигает стадии бюрократизации, когда бумаги становятся важнее реальных дел.

Выхода из этого всего два - либо постепенная смерть организации, либо эволюция, когда происходит уничтожение части бюрократии и «аристократии» внутри организации, повышение децентрализации управления и принятие нового вызова для развития.