Журнал "Information Security/ Информационная безопасность" #1, 2020

Темы, упоминавшиеся в ответах, но не набравшие достаточного веса: l Zero trust Networks l SecOps l Business Justifications l Digitalization l Proactive Security l Deception l Защита IOT l Change management l Sex, друг-c, rock'n'roll • 17 УПРАВЛЕНИЕ www.itsec.ru Разберем значение и природу самых популярных трендов. Awareness – повышение осведомленности Эта область нацелена на работу с ключевым звеном вашей системы обеспечения ИБ – человеком. Awareness как потребность проявляется в тот момент, когда технический спе- циалист, живущий внутри каж- дого CISO, начинает взрослеть и диктовать необходимость рас- ширения профессионального кругозора. Нахождение этого тренда на вершине рейтинга говорит о том, что профессио- нализм офицеров, ответствен- ных за ИБ, заметно вырос. Cloud Security – тренд, характерный для стартапов и эпохи Agile Перевод мощностей к облач- ным провайдерам оказывается подходящим решением в усло- виях, когда инфраструктура должна становиться максималь- но быстро масштабируемой, но при этом оставаться управляе- мой и эффективной. Вслед за этим начинается и организация безопасности в облачном окру- жении. Катализатором движе- ния в данном направлении является потребность в "домаш- них" разработках, крайне часто обсуждаемая в последнее время. Этот вектор поддержи- вается также процессами циф- ровизации и потребительским спросом на онлайн-сервисы. Governance – обеспечение соответствия в широком смысле Это одновременно поиск баланса между потребностями и рисками, с одной стороны, и установлением понятных и чет- ких точек контроля, с другой. Чем разнообразнее новые зако- нодательные инициативы, чем более зарегулированными ста- новятся бизнес-области, тем более явной становится потреб- ность в умном обеспечении соответствия. Целью, конечно же, является снижение рисков для компании с одновременной минимизацией издержек для деловых процессов. DevSecOps – насущная потребность взрослеющих стартапов Стартапы столкнулись не только с необходимостью обслу- живания деловых процессов своих клиентов, но и с реаль- ным риском убытков из-за внешних угроз. Ответом может быть DevSecOps – направление и методология, нацеленные на непрерывное совершенствова- ние стека технологий и процес- сов, использующихся для раз- работки ПО. Применение DevSecOps должно касаться всех стадий жизненного цикла инфраструктуры разработки, но при этом не снижать скорость доставки изменений. SDLC/SSDLC – в комплекте к процессам разработки SDLC/SSDLC связано в боль- шей степени с необходимостью повышения качества ПО на ран- них стадиях. Такой подход в результате показывает боль- шую эффективность. И обес- печение безопасности – только один из многих факторов, при- чем не самый значимый, хотя и стоит в аббревиатуре на пер- вом месте. Зрелые производи- тели осуществляют оценку своих процессов самостоятель- но, появляется институт серти- фикации на соответствие над- лежащим ГОСТ. Кратко затрону другие акту- альные темы: l Supply Chain – безопасность цепочки поставок; l Data Protection (защита дан- ных); l Business Intеlligence (управление данными для выведения парамет- ров эффективности); l SOAR (системы-сер- висы оркестрации и автоматического реагирования); l AI/ML(искусственный интел- лект/машинное обучение). Можно сделать вывод, что автоматически формируемые модели и мгновенное реагиро- вание как тренд идут на спад. Причины кроются в ограничен- ности областей применения, в повышающихся требованиях к доступности сервисов и непре- рывности процессов. Их место занимают вопросы повышения качества (SSDLC, Governance, Awareness) и эффективности (Сloud Secu- rity, DevSecOps). Иначе говоря, скорость становится менее приоритетной характеристи- кой, чем достоверность и защищенность. Отдельно стоит отметить, что тема SDLC/SSDLC поднялась так высоко и стала столь значи- мой в том числе и в свете ожи- даемых изменений в области безопасности КИИ. l оследнее время я наблюдаю заметные изменения в профессио- нальных интересах моих коллег, занимающихся информационной безопасностью. Меняется зрелость подходов к решению проблем и глубина проработки. Наблюдения навели меня на мысль сделать краткий обзор основных трендов и областей знаний, интересующих профессионалов от ИБ. Я опросил моих коллег и теперь представляю вашему вниманию рейтинг актуальных тем, пусть и не исчерпывающий, но тем не менее показательный. П Лев Палей, начальник отдела ИТ-обеспечения защиты информации АО “СО ЕЭС” Ваше мнение и вопросы присылайте по адресу is@groteck.ru Summa Technologiae 2020