Планы по стандартизации ИБ финансовых организаций
|
18 декабря 2017 |
|
После окончания
SOC Forum одно
из изданий попросило меня написать заметку по итогам форума. Я
отказался, так как в одну заметку очень сложно вместить все, что
произошло и было сказано на мероприятии. Но самое главное, сложно писать
о том, чего сказано не было или как было сказано то или иное
слово/фраза. Ситуация с ФСТЭК и SOCами как раз относится к этой
категории. И сейчас я бы хотел вкратце описать сугубо свои личные
впечатления от неучастия ФСТЭК в SOC Forum. Да-да, именно неучастии, так
как если у ФСБ была отдельная целая секция (про КИИ, а не SOCи),
выступление в пленарке и стенд, то второй регулятор в лице Виталий
Сергеевича Лютикова ограничился только участием в пленарной дискуссии. И
это при том, что именно ФСТЭК является уполномоченным органом в области
безопасности КИИ, и именно у ФСТЭК уже больше года есть утвержденные
требования по лицензированию деятельности по мониторингу ИБ (читай, по
SOCам). И вот это фактически "молчание" говорит о многом.
![](/data/2017/12/18/1237668455/img_4937.jpg)
Но попробую все-таки тезисно описать то, что ФСТЭК сказала/не сказала по теме мероприятия (но не по КИИ):
- Виталий Сергеевич повторил мысль, прозвучавшую
из его же уст днем ранее на конференции ЦБИ. Чтобы что-то мониторить,
надо построить фундамент - то есть иметь выстроенную систему защиты
информации. А так как многие организации даже основ не имеют, то
говорить о мониторинге еще рано. Тем более, что с точки зрения ФСТЭК
тема SOCов - это, как модно говорить, "хайп", так как в тех же
требованиях 17-го, 21-го, 31-го приказов вопросы мониторинга и
управления событиями безопасности рассматривались уже 4 года назад.
Почему именно сейчас такая шумиха вокруг SOCостроения непонятно (ну или
понятно).
- Я уже писал год назад, что на мой взгляд, ФСТЭК слишком рано стала
требовать лицензию на мониторинг ИБ при оказании внешних услуг. Не
сформировался еще и сам рынок, и непонятно, куда заведут сырые, а
местами и невыполнимые требования. И вот на форуме я получил парочку
подтверждений этому. Начнем с того, что лицензия ФСТЭК на мониторинг ИБ
нужна при любом оказании услуг внешним лицам. И даже если речь
идет о холдинге или группе компаний, то лицензия обязательна. Поэтому
тот же Сбербанк, мониторящий свои региональные банки и дочерние
предприятия, Газпром, РЖД, Ростех, Ростелеком и т.п. структуры,
построившие или строящие свои SOCи обязаны иметь лицензию ФСТЭК на
мониторинг ИБ. Но что-то они не торопятся это делать. Кстати, интересный
вопрос. Относится ли деятельность ФинЦЕРТ к мониторингу ИБ? А если да,
то нужна ли ФинЦЕРТу лицензия ФСТЭК на мониторинг?
- В требованиях ФСТЭК к лицензиатам мониторинга ИБ прописаны
требования к используемому ими программному обеспечению. Среди прочего
на ряд решений, например, SIEM или систему управления инцидентами,
требуется либо сертификат ФСТЭК по требованиям безопасности, либо
формуляр. Но, например, когда я слушал доклад Сергея Рублева из ГК
Инфосекьюрити про то, как устроен их SOC (а он построен на open source и
самописных решениях - Hadoop, Spark, Scala и т.п.), то я понял, что им
сложно будет выполнить требование по сертификации или оформлению
формуляров. Не невозможно, а сложно.
- Требования ФСТЭК к SOCам, оказывающим внешние услуги, и требования
ФСБ к ведомственным и корпоративным центрам ГосСОПКИ (а это тоже по сути
SOCи) отличаются и местами сильно. Ниже только один пример по
техническим средствам. А разница не только в этом - там и в квалификации
и численности работающих в центрах людей есть отличия.
![](/data/2017/12/18/1237668453/Screen Shot 2017-12-14 at 09.14.43.png)
![](/data/2017/12/18/1237668459/Screen Shot 2017-12-14 at 09.15.16.png)
- С трибуны вскользь было сказано, что до конца непонятен вопрос с тем,
кто будет устанавливать требования по SIEM. И это тоже один из тех
вопросов, которые может сильно изменить рынок ИБ. С одной стороны, SIEM -
это епархия ФСТЭК, которая и должна устанавливать требования к
средствам защиты и контроля защищенности. И пару лет назад о таких
требованиях к SIEM как-то даже упоминали на конференции регулятора. С
другой стороны требования к ГосСОПКЕ устанавливает ФСБ и они могут
захотеть перетянуть одеяло на себя. И тогда могут появиться требования
по сертификации SIEM в ФСБ (прощай ArcSight, QRadar и т.п.). Но также
могут появиться требования по использованию сертифицированных СКЗИ для
подключения средств защиты к SIEM. И это тоже будет непросто.
![](/data/2017/12/18/1237668457/Screen Shot 2017-12-14 at 09.18.30.png)
- Вообще, отношения между двумя регуляторами, как видно из последних
мероприятий, непростые, и их требования не всегда синхронизированы, что
приведет еще к сложностям в будущем.
![](/data/2017/12/18/1237668463/risovach.ru-21.jpg)
- А еще у ФСТЭК на SOC Forum был свой стенд, что тоже не может не радовать :-)
![](/data/2017/12/18/1237668461/img_6056.jpg)
ЗЫ. Понятно, что ряд вопросов снимется в ближайшее время, но огорчает
то, что подготавливаемые в спешке нормативные акты не успевают
согласовываться между регуляторами в должной мере, чтобы
синхронизировать позиции и требования, и отточить формулировки. В итоге
страдает потребитель :-( Но есть ряд вопросов, которые не будут
согласованы и просто связаны с тем, что к SOCам выставлены достаточно
жесткие требования, которые ограничивают развитие этой ниши рынка ИБ в
России...
Оставить свой комментарий:
Комментарии по материалу
Данный материал еще не комментировался.