Возможно, кризис - не самое удачное время для создания компаний, тем не менее десять лет назад "Информзащита" приняла решение выделить в независимую компанию свой учебный центр. По задумке, он должен был поддерживать основной бизнес материнской компании - обучать пользованию продуктами линейки SecretNet.

Через два года учебный центр стал "самоуправляемым". Быстрый рост оборота был достигнут преимущественно за счет существенного расширения номенклатуры курсов - компания обучала специалистов не только работе с продуктами "Информзащиты", но и начала предлагать авторизованные курсы других производителей. Кроме того, были разработаны авторские учебные курсы для повышения квалификации специалистов в области информационной безопасности, в которых рассматривались общие принципы защиты.

Сегодня учебный центр "Информзащиты" готовит специалистов по информационной безопасности широкого профиля. В нем можно получить образование по общим принципам информационной безопасности или отдельно изучить задачи каждого направления защиты, подробно изучить защитные механизмы, используемые для решения конкретных проблем, или же пройти авторизованные курсы конкретного производителя по конкретным продуктам.

"Мы готовим курсы, ориентируясь на потребности заказчиков, - заявил Дмитрий Ершов, заместитель директора учебного центра по учебно-методической работе. - Этим наши курсы существенно отличаются от узкоспециальных авторизованных курсов любого производителя".

Сейчас в учебном центре читаются курсы по продуктам IBM ISS, Microsoft, Aladdin, ClearSwift, Cisco, Check Point, Assuria и "Лаборатории Касперского". Компания имеет государственную аккредитацию, что позволяет ей выдавать своим слушателям дипломы государственного образца о повышении квалификации при условии, что они прослушают несколько курсов общей длительностью 72 часа и сдадут все экзамены. При этом обучение является модульным - компания может набрать для своих сотрудников тот набор курсов, который им нужен для выполнения их служебных обязанностей.

Чтобы еще больше расширить спектр предоставляемых услуг, компания четыре года назад создала серию курсов по обучению основам информационной безопасности всех пользователей персональных компьютеров.

В 2007 году оборот учебного центра "Информзащита" составил 2,6 млн долл. Всего за десять лет работы учебного центра его сотрудники обучили более 20 тыс. специалистов.

В следующем году компания не ожидает снижения интереса к обучению со стороны корпоративных заказчиков. "Мы считаем, что крупные компании для экономии средств будут отказываться от услуг аутсорсинга безопасности в пользу создания собственных служб", - отмечает Зоя Попова, генеральный директор центра. Поэтому в следующем году учебный центр рассчитывает заниматься созданием курсов под заказ из готовых и отработанных модулей. Кроме того, учебный центр будет активно развивать свою региональную партнерскую сеть, поскольку компаниям придется экономить в том числе и на командировках. Будут также разрабатываться и новые курсы по таким направлениям, как соблюдение требований регуляторов, электронный документооборот, использование ЭЦП и расследование инцидентов.

Отрасль высоких технологий опирается на инновации. Однако доведение инновационных решений до состояния успешного бизнеса требует определенных финансовых вложений, которые являются достаточно рискованными. Для финансового обеспечения инновационных проектов во всем мире существует инфраструктура бизнес-ангелов, посевных инвестиций и венчурных фондов. Однако финансовые катаклизмы могут серьезно замедлить развитие целого ряда высокотехнологичных отраслей, в том числе отрасли программного обеспечения.

В Microsoft решили в трудные времена поддержать инновации, предложив 5 ноября по всему миру программу BizSpark ("Бизнес-Искра"). В России об этой инициативе было объявлено 20 ноября в рамках конференции "Российская индустрия информационных технологий и программного обеспечения. Инновации и инвестиции".

"Наша задача - сохранить жизнь российской экосистеме Microsoft", - заявил Биргер Стен, генеральный директор представительства корпорации. В его докладе были указаны и еще более весомые цели Microsoft: увеличение доли ПО в ВВП России с текущих 0,5% до 1,5%. Кроме того, корпорации рассчитывает создать такие условия, чтобы в России экспорт программного обеспечения превысил импорт.

Для реализации этих планов Microsoft предлагает российским компаниям не платить за используемые ими средства разработки, входящие в пакет Visual Studio Team System Team Suite, с подпиской MSDN Premium для всей группы разработки и с возможностью реализовать Web-сервисы, опираясь на партнеров Microsoft. Так, для разработки Web-приложений на платформе Microsoft участники программы могут бесплатно пользоваться услугами хостинг-провайдера Parking.ru. Участники программы получат также бесплатную техническую поддержку от компанией Softline. Разработанное начинающим коллективом программное обеспечение помещается в базу данных BizSparkDB, где его могут найти заинтересованные клиенты или партнеры Microsoft.

В программе может принять любая частная компания, которая занимается написанием программного обеспечения, ведет бизнес не более трех лет и иметь годовой оборот менее полумиллиона долларов. Участие в программе бесплатное, а вот за выход из нее нужно платить - 100 долл. Основными партнерами Microsoft по программе BizSpark являются венчурные инвестиционные фонды (в России их восемь). Они будут поддерживать разработчиков финансово, причем для них компании, подписавшиеся на BizSpark, представляют наибольший интерес, поскольку не требуют инвестировать в покупку средств разработки.

Поддержка разработчиков — один из способов защиты отечественного рынка программного обеспечения, который ждут тяжелые времена. Так, по оценкам Феликса Мучника, генерального директора компании Softkey, рынок ПО в следующем году может уменьшиться на 40%. Эта цифра по всему рынку получена из предположения, что корпоративные продажи ПО снизятся на 50%, в секторе SMB - на 30-40%, а вот доходы от частного сектора могут даже увеличиться на 10-20%.

Уже сейчас, по наблюдениям Мучника, 60% компаний начинают принимать меры, которые в большинстве своем предполагают снижение расходов на ИТ.

"Первыми в кризис пострадают программы легализации, - полагает Мучник. - По пиратству Россия за год может откатиться на уровень четырехлетней давности. Не пострадает только рынок информационной безопасности: защищаться компаниям все-таки надо".

В Microsoft надеются, что до следующего лета в программе BizSpark примут участие около 200 российских компаний.

"Услуги информационной безопасности как средство уменьшения непродуктивных расходов на ИТ, могут стать даже популярнее в кризисное время", - заявил Михаил Емельянников, директор по развитию бизнеса компании "Информзащита" на прошедшей в середине ноября конференции "Защищенный бизнес. Противодействие внешним и внутренним угрозам". На этой конференции представители интегратора безопасности убеждали клиентов в преимуществах сервисной модели обеспечения защиты своих ИТ-активов.

В случае применения такой модели интегратор продает не установку межсетевого экрана или какого-то иного компонента системы безопасности, а полный цикл услуг: аудит и оценку защищенности системы клиента, выбор решения для обеспечения безопасности, внедрение и настройку средства защиты и его сопровождение. Однако этим циклом внедрения продукта не ограничивается набор услуг современного интегратора безопасности. В арсенале "Информзащиты" также есть услуги по обеспечению требований законодательства, изменению бизнес-процессов с учетом требований информационной безопасности, разработке корпоративной политики и многое другое.

Однако сервиcная модель имеет серьезные ограничения. В частности, клиент не всегда может понять, насколько адекватную цену он платит за построение защищенной системы, особенно если никаких продуктов при этом не покупается. Поэтому интегратору нужно сделать прозрачной свою систему ценообразования и опубликовать список предоставляемых услуг. Со своей стороны в "Информзащите" опубликовали подобный список на своем сайте, снабдив его даже диаграммой, которая показывает, в какой последовательности какие услуги должны выполняться.

Одной из наиболее важных услуг, входящих в набор "Информзащиты", является оценка соответствия защиты клиента требованиям регуляторов, таких как ЦБ РФ. Оценивая важность этой услуги, важно помнить, что требования стандарта защиты персональных данных в платежных системах - PCI DSS - могут распространяться и на торговые компании, которые обрабатывают платежные карты. Это относится как к обычным магазинам и торговым сетям, так и к электронным магазинам.

Стандарт требует от продавцов, которые принимают к оплате платежные карты, обеспечения полной защиты данных, полученных от клиента. При этом, если данные платежных карт будут утеряны по вине продавца, то ему в соответствии с правилами платежной системы придется выплачивать штраф самой платежной системе, возвращать деньги ее клиентам, украденные в результате этой утечки данных, а также оплачивать перевыпуск карт банками, клиенты которых пострадали от утечки. При этом общие расходы могут оказаться весьма существенными для продавца. Поэтому компаниям, которые работают с платежными картами, лучше заранее позаботиться о безопасности своей информационной системы.

Специализированный интегратор в области безопасности, компания Leta IT, объявила о приобретении екатеринбургской группы компаний АСК, которая специализируется на интеграции решений для автоматизации технологических процессов. Группа состоит из пяти организаций - управляющая компания АСК, "Визуальная механика", "АСКОМ-строй", "АСК. Кадровые технологии" и "Вычислительная техника". Как утверждают в компаниях, по условиям сделки Leta IT получит 75% акций АСК, заплатив за них 442 млн руб.; при этом договором предусмотрено, что большая часть денег будет направлена на развитие АСК, в том числе на построение инженерного центра. Совет директоров АСК возглавит ее основатель Евгений Шароварин. Переименовывать компании не планируется.

Для АСК эта покупка является способом получения инвестиций на развитие и выход на новые территориальные рынки. "У нас всегда было много идей, которые хочется предложить заказчикам, но на их реализацию не хватало специалистов", - заявил Шароварин. Сейчас ситуация изменилась - ожидается появление на рынке труда свободных высококлассных специалистов и нужны деньги для организации их работы. Именно для решения этих задач и планируется создать инженерный центр в Екатеринбурге. Кроме того, в АСК рассчитывают опереться на возможности Leta IT при реализации своих проектов по всей стране и даже за рубежом - в странах Юго-Восточной Азии.

Для Leta IT приобретение АСК дает выход на новые рынки. В частности, в компании рассчитывают, что часть промышленных предприятий Екатеринбурга, которые уже являются клиентами АСК, захочет воспользоваться услугами Leta-IT по защите своих информационных систем.

У обеих компаний были инфраструктурные отделы, которые специализировались на различных технологиях. Их объединение, как предполагают в Letа IT, позволит компании предложить клиентам, прежде всего промышленным предприятиям, более полный набор услуг в области построения инфраструктурных проектов.

Руководство объединенной компании планирует, что суммарный оборот к 2010 году более чем вдвое превзойдет суммарный оборот составных частей в 2007-м (4 млрд руб против 1,6 млрд).

"Мы рассчитываем, что в промышленные предприятия России придут наконец деньги на модернизацию, - заявил Александр Чачава, президент Leta IT. - На существующих предприятиях значительный износ оборудования, и скоро они просто не смогут существовать без внедрения новых технологий". Поэтому промышленный рынок, по его мнению, является наиболее перспективным, к тому же он как реальный сектор меньше подвержен финансовым катаклизмам.

Компания "1С-Битрикс", которая специализируется на разработке программных систем управления сайтами (Content Management System, CMS), объявила о выпуске новой версии 7.1 своего флагманского продукта "1С-Битрикс: Управление сайтом", в которой основным нововведением является модуль для создания социальных сетей. B новую версию CMS-инструментария "1С-Битрикс" интегрирован собственный медиаплеер для проигрывания аудио- и видеоклипов с сайтов. Также улучшена защита построенного на ее основе сайта, оптимизирована производительность системы, а пользовательский интерфейс стал более наглядным.

Основной движущей силой перехода на новую версию "Управления сайтом" является, по мнению разработчиков, модуль социальных сетей. Его появление в коробочном продукте позволит компаниям и владельцам сайтов интегрировать в свои Web-ресурсы такие механизмы социальных сетей, как блоги, форумы, фотоальбомы, личные профили, списки друзей, поиск по записям и др. Включенный в продукт медиаплеер, выпущенный в двух вариантах - на базе технологии Adobe Flash или на платформе Microsoft Silverlight, позволит внедрять в сайты мультимедийные данные.

Добавление функционала социальной сети к корпоративному сайту, построенному на "Управлении сайтом", может расширить возможности этого инструмента маркетинга и совместной работы. Правильно подобранные механизмы социальных сетей помогут клиентам "1С-Битрикс" создавать специализированные сообщества как среди покупателей и партнеров, так и из собственных сотрудников. В частности, оператор Tele2 создал корпоративную социальную сеть для своих партнеров, с помощью которой стимулирует продажи услуг мобильной связи.

Новый модуль входит в три редакции "1С-Битрикс: Управление сайтом": "Бизнес", "Портал" и "Большой бизнес". Клиенты, имеющие контракт на поддержку этих продуктов, могут бесплатно перейти на версию 7.1 и установить у себя модуль социальной сети.

"По нашим оценкам, практически все клиенты пакета 'Бизнес' уже скачали себе новый модуль и тестируют его", - заявил Сергей Рыжиков, генеральный директор "1С-Битрикс".

По мнению Рыжикова, использование функционала социальной сети в большой компании позволяет оптимизировать накладные расходы на взаимодействие сотрудников в компании. Собственно модуль социальной сети интегрирован компанией и в выпущенный в середине октября программный продукт "1С-Битрикс: Корпоративный портал", однако там он по умолчанию деактивирован. Переход на общение с помощью механизмов социальной сети, по мнению Рыжикова, может помочь быстро находить компетентных сотрудников в большой компании, а медиаплеер удобно использовать для обучения сотрудников. За счет этого новая версия продукта будет востребована не только для создания внешних сайтов, но и для организации внутреннего пространства совместной работы.

В 2007 году компания Symantec купила Vontu, производителя средств защиты от утечек конфиденциальных данных (Data Leak Protection, DLP). До недавнего времени программные продукты Vontu не были представлены на российском рынке; их дебют состоялся 5 ноября.

Продукты Vontu позволяют выстроить систему защиты от утечек данных, способную не только фиксировать утечки, но и предотвращать их в режиме реального времени. Технологически основу такой защиты составляют "отпечатки" конфиденциальных сведений, сохраненные в центральной базе. Для составления отпечатков в инструментарии Vontu можно использовать как структурированные данные, которые хранятся в базе данных, так и неструктурированные. Распознавать конфиденциальную информацию можно также по формальным признакам, таким как местоположение документа, его автор, формат представления и др.

Все отпечатки конфиденциальных документов и правила их использования хранятся в централизованном хранилище Vontu. Данные предприятия - хранящиеся или передающиеся - сравниваются с этой базой, и, если обнаружены признаки конфиденциальной информации, то к найденным данным может быть применена соответствующая политика безопасности: хранимые с нарушениями данные могут быть уничтожены, а передающиеся - заблокированы. Эти данные также могут быть помещены в хранилище теневых копий для дальнейшего анализа и наказания нарушителей.

В арсенале компании есть агенты, устанавливающиеся на рабочие станции и любые клиентские устройства, а также модули для предотвращения утечек из различных источников - баз данных, файловых хранилищ, почтовых серверов, порталов и др. Серверы могут проверяться и без применения агентов - посредством удаленного сканирования хранящихся на них данных. Также есть модули для предотвращения утечек данных по различным сетевым протоколам: HTTP, ICAP и SMTP.

Данные, собранные в процессе работы всех модулей системы, аккумулируются в центральном хранилище Vontu. На том же сервере устанавливается приложение для управления корпоративной DLP-системой при помощи Web-интерфейса. Туда же собираются теневые копии данных, переданных вовне, для анализа на предмет наличия в них конфиденциальной информации.

Подобные программные продукты не являются коробочными, но составляют основу для сложного процесса внедрения, поэтому все продажи решений Vontu в России будут идти через партнеров Symantec.

"Продукты Vontu не внедряются без консалтинга", - заявил Кирилл Керценбаум, руководитель группы технического консалтинга Symantec. В частности, уже определился дистрибьютор для данного семейства продуктов - это компания OCS. Кроме того, на внедрение авторизованы два интегратора - "Крок" и Leta.

Symantec будет и далее расширять свою партнерскую сеть. Партнером может стать компания, установившая у себя продукт, протестировавшая его и предоставившая Symantec отчет о проделанной работе. Кроме того, партнер должен построить у себя демонстрационный стенд и обучить своих специалистов.

Одним из важных для Symantec направлений развития продуктов Vontu является интеграция их с другими продуктами производителя. В частности, в версии продуктов Vontu 9, которая должна выйти в начале следующего года, возможна интеграция с Symantec EndPoint Protection. Кроме того, программные продукты Vontu будут первыми, управление которыми можно будет выполнять с помощью платформы Altiris CMS, выбранной для интеграции систем управления всеми продуктами Symantec. Также агент Vontu появится в поставках NetBackup и Enterprise Vault. Будет реализована интеграция системы Vontu с системой резервного копирования Backup Exec и почтовым фильтром Mail Security 8300.

Компании все больше внимания вынуждены уделять проблемам защиты пользовательских данных от разглашения, модификации и утери. От разглашения традиционно защищает шифрование, от модификации - контроль доступа и подпись, от удаления - резервное копирование. Если совместить все три механизма, то окажется, что для защиты пользовательских данных нужна система шифрования с аутентификацией пользователей, например с помощью сертификатов открытого ключа и с поддержкой защищенного резервного копирования.

Подобную систему защиты пользовательских данных представила в конце октября компания Aladdin на семинаре "Secret Disk - защита информации на ноутбуках, рабочих станциях и серверах". В рамках этого мероприятия компания рассказала о возможных сценариях внедрения своего продукта как на клиентских местах, так и на серверах.

Построение корпоративной системы шифрования может потребоваться для соответствия законодательству или для сохранения от утечек интеллектуальной собственности и других корпоративных секретов. В первом случае лучше всего выделить отдельный защищенный сервер или группу серверов, где будет храниться и обрабатываться конфиденциальная информация. Такую группу проще защитить в соответствии с законом, чем всю корпоративную сеть в целом. Во втором случае приходится защищать от воровства или потери рабочие компьютеры пользователей.

Следует отметить, что для сохранения пользовательских данных нужно предусмотреть защиту от системного администратора. Традиционно для этого используется средство шифрования, которое не позволяет системному администратору прочитать данные пользователя. Однако такое средство защиты обычно имеет собственного администратора, который отвечает за защиту пользовательских данных. Если же строится корпоративная система шифрования, то такой администратор должен контролировать все зашифрованные компьютеры, диски и файлы. Например, в системе Secret Disk 4, предназначенной для установки на рабочие места пользователей, есть возможность создавать резервную копию ключа шифрования диска, которую должен хранить администратор Secret Disk. Эту же копию ключа шифрования можно использовать и для дешифрации резервных копий данных при их восстановлении. (Более подробно функциональные возможности продукта Secret Disk 4 можно найти в статье "Secret Disk мобилизуется", Computerworld Россия, № 25, 2007).

Важным элементом защиты при помощи шифрования является хранение ключей. Как правило, для них создается специальное защищенное хранилище, - оно также шифруется. Часто для этого используют пароль, однако это некоторое ослабление защиты, поскольку пароль можно подобрать, перехватить или выведать. В Secret Disk используется только шифрование на открытых ключах пользователя, закрытые ключи к которым хранятся в защищенных USB-устройствах eToken. При этом в компании можно построить корпоративную инфраструктуру открытых ключей, но можно пользоваться и самоподписанными сертификатами, которые генерируются устройствами автоматически.

Для защиты серверов Aladdin предлагает серверную версию Secret Disk Server NG. При этом шифрование выполняется на ключе, который хранится в USB-устройстве администратора. Это устройство подключается не к самому серверу, а к специальной удаленной рабочей станции администратора. Для открытия зашифрованных дисков на сервере администратор должен активировать их со своей рабочей станции. При этом свой аппаратный ключ есть и у сервера - его нужно активировать с помощью набора PIN-кода при включении питания сервера. Продукт также предусматривает аварийное отключение дисков при нажатии на специальную тревожную кнопку, которая поставляется в базовом комплекте.

Однако пока Aladdin имеет только разрозненные продукты без единой системы управления ими. Для администрирования распределенной системы, состоящей из нескольких рабочих станций и серверов, защищенных Secret Disk, пока приходится прилагать определенные усилия, поскольку каждый продукт администрируется отдельно. Впрочем, у самой компании есть продукт, который называется eToken TMS. Он обеспечивает управление сертификатами пользователей, записываемых в устройства. Эти сертификаты используются в том числе и для защиты ключей шифрования. Однако пока нет системы корпоративного управления всеми зашифрованными носителями. Тем не менее компания сейчас разрабатывает продукт, который будет автоматизировать управление зашифрованными носителями. Его выпуск ожидается в следующем году.