Конференция «Безопасность? Как вам удобно» собрала экспертов, лидеров отрасли и представителей бизнеса по вопросам SOC-сервисов (Security Operation Center). Стороны обсудили насколько отличаются рыночная и государственная сервисные модели, а также с чем сталкиваются подрядчики разных секторов, сообщает CMN.KZ
Что такое SOC-сервисы?
Это центр мониторинга информационной безопасности. Сотрудники осуществляют проверку IT-инфраструктуры компаний, чтобы выявить возможные кибератаки, кражи данных и другие киберугрозы. SOC обеспечивает защиту IT-инфраструктуры и снижает риски внешних угроз. Из-за стремительных изменений в цифровом мире, важность SOC выросла в разы. К сожалению, чаще всего к услугам киберзащитников прибегают уже после подозрений на атаку.
На панельной дискуссии представители государства и частного бизнеса обсуждали вопрос существования в Казахстане устойчивой сервисной модели SOC, когда предприниматели отдают кибербезопасность на аутсорсинг. Однозначного ответа на этот вопрос у спикеров не нашлось. Так, руководитель технологической практики KPMG Константин Аушев сразу заявил, что сервисной модели нет.
«Я думаю, что не сложилась. За последний год у меня был только один случай, когда частная компания сказала: «Мы умеем хорошо заниматься вагонами и ремонтом. Мы не собираемся лезть в разработку, не собираемся лезть в безопасность. Мы планируем покупать этот сервис». В остальных случаях мы слышим, что они наймут людей, сделают инхаус (собственный центр кибербезопасности – Прим. ред.), а потом будут ещё и рынку продавать. Либо нам говорят: «Вы нам нравитесь. Мы бы хотели, чтобы вы нам это сделали, но наймём вас по договору ГПХ». Поэтому, мне кажется, что у нас сложился рынок ГПХ, а не сервис-модели», – объяснил свою точку зрения Константин Аушев.
У заместителя председателя Национальной платёжной корпорации Казахстана Асель Марченко было иное мнение. Она рассказала, что разделила бы сервисную модель на розничных-провайдеров и государственных.
«Государственные сервис-провайдеры существуют как факт. Они предоставляют услуги, и рынок ими пользоваться. Потому что по факту альтернативы нет. Требуется инфраструктура доверия. В первую очередь мы должны доверять тем сервисам, которыми мы пользуемся. Это источник, на которым мы де-факто можем полагаться. На рынке нет игроков, которые показали бы, что им можно доверять с точки зрения безопасности. Как итог нам надо ещё создать отрасль, которая с помощью сертификации и аттестации даст уверенность, что розничным сервисам можно доверять», – сообщила Асель Марченко.
Нарушение соглашения или почему легче договориться о скидке, чем получить деньги в виде штрафа
Достаточно часто между клиентами и сервисными компаниями возникают вопросы в части Service Layer Agreement (SLE – соглашение об уровне сервиса между заказчиком и исполнителем – Прим. Ред.). И чаще всего они решаются не деньгами. Как рассказал СЕО центра поддержки цифрового правительства Рустем Бигари, на своей практике он такого не встречал.
«При подписании SLE активнее занимаются вопросами безопасности и неразглашения. Когда ты не подписываешь, таких случаем много. Так и говорят: «Ты же меня просил передавать это или не передавать». А чтобы подписали и были штрафы – нет. Когда не подписывали, да, таких много», – сообщил Рустем Бигари.
Директор департамента информационных технологий АО «Отбасы Банк» Рауан Мусабеков сообщил, что из-за бюрократических проволочек проще договориться о скидке, чем о штрафе.
«У нас был немного другой кейс: приходишь к сервисному-провайдеру и объясняешь, какие проблемы были. Приходится доказывать. Просто так не скажешь, что что-то сломалось. Потому что подрядчик ответит: «А, у нас всё работает». Исходя из этого строишь системы мониторинга и проверки. У нас были случаи, когда сервис-провайдеры нарушали правила SLE, но у нас такая бюрократизация, что для каких-либо санкций надо подавать в суд, доказывать и ждать. Проще сказать, чтобы на следующий месяц предоставил скидку», – поделился проблемой Рауан Мусабеков.
Почему государству важнее выполнить всё в срок, а не получить качественный продукт?
Кибербезопасность важна для всего рынка и не важно относится ли предприятие к частному сектору или государственному. Однако, как считает эксперт из KPMG Константин Аушев разница между этими секторами существенна.
«В госсекторе есть такое, что как будто бы сервис-провайдеры и поставщики в целом больше работают на срок, а уже потом на качество. В частном секторе всё-таки наоборот: сначала качество, а потом срок. Понятно, почему это происходит, но факт остаётся фактом. И тогда говорят: «Давайте сначала уложимся в сроки, а потом будем дорабатывать». Опять же понятно почему в госсекторе есть планирование в рамках одного года. Когда мы говорим о непрерывной работе над качеством или про какие-то стратегические проекты, сложно выполнять условия особенно при переходящем контракте. В этом основное различие между госсектором и рынком», – отметил Аушев.
Ранее руководитель центра мониторинга кибербезопасности (Head of SOC) «PS cloud services» Александр Пушкин рассказал корреспонденту CMN.KZ, как могли взломать LED-экран в Астане и почему атаке подвергся только один монитор. По мнению эксперта, атаке подвергся не сам экран, а сервер или компьютер, к которому он был подключён. Скорее всего, взлом произошёл заранее.
Читайте также:
