Информационная безопасность

Когда говорят о забытых ресурсах в облаке, обычно вспоминают старые виртуальные машины. Но сама виртуальная машина далеко не всегда представляет главную проблему. Гораздо интереснее то, что осталось вокруг нее.

Учетная запись или сервисный аккаунт никуда сами по себе не исчезают. Они могут продолжать существовать в AWS, Azure, Active Directory или другой системе. Старый SSH-ключ может оставаться доверенным на действующем сервере. API-токен, который когда-то создали для удаленного приложения, может по-прежнему давать доступ к базе данных или стороннему SaaS. При выводе сервиса из эксплуатации возникает проблема: сам сервис исчезает, а связанные с ним права — нет.

Один из наглядных сценариев связан с захватом поддомена. Представим, что компания запустила облачное приложение и привязала к нему корпоративный поддомен. Через некоторое время проект закрыли. Приложение удалили, однако CNAME-запись в DNS осталась, что для самой организации может выглядеть как остаток старой конфигурации. Для злоумышленника такая запись представляет интерес, потому что она продолжает указывать на место, где раньше находилось приложение.

Если атакующий сможет зарегистрироваться в том же облачном сервисе и развернуть приложение с соответствующим идентификатором, корпоративный поддомен потенциально начнет вести уже к его ресурсу. Для пользователя адрес при этом выглядит настоящим. Он увидит знакомый корпоративный домен, а не случайный адрес из интернета. На таком поддомене можно разместить фишинговую страницу. При определенных настройках cookie для основного домена появляется дополнительный риск компрометации.

Старые ключи, вебхуки и почта

DNS – только один из вариантов. После вывода сервиса из эксплуатации часто остаются учетные данные: сервисные аккаунты, токены, API-ключи, секреты, сертификаты и SSH-ключи.

Например, API-ключ мог храниться в коде или конфигурационном файле. Приложение удалили, но ключ остался в старом репозитории или бэкапе. Если он все еще действителен, злоумышленник, обнаружив его, получает легитимный доступ к связанным системам.

Та же логика работает с вебхуками. Приложение удалили, а сторонний сервис продолжает отправлять данные на старый endpoint. Если кто-то получит возможность занять соответствующий адрес, данные начинают уходить уже туда.

Есть и менее очевидный сценарий со старой почтовой инфраструктурой. Компания закрывает проект и удаляет связанные ящики, но DNS-записи, указывающие на сторонний почтовый сервис, остаются. Если злоумышленник перерегистрирует старый домен в этом сервисе, он потенциально сможет получать письма, адресованные закрытому проекту, включая сообщения для восстановления доступа и сброса паролей.

Самые опасные «призраки» могут вообще ничего не делать

Отдельная категория забытых ресурсов – копии данных. Виртуальную машину давно удалили, но остались снапшоты, образы, резервные копии или выгрузки баз данных.

Активные системы регулярно обновляются, получают security-патчи и подключены к мониторингу. Старый образ виртуальной машины или бэкап трехлетней давности сохраняет конфигурацию и уязвимости того времени, когда его создали.

У забытых копий есть еще одна проблема — они часто находятся вне привычного контура наблюдения. Работающий сервер может быть подключен к SIEM, IDS, IPS и другим системам контроля. Снапшот или выгрузка базы на сетевом диске просто лежат без присмотра.

Старые образы могут содержать конфигурационные файлы, пароли, API-ключи и сертификаты. Если эти учетные данные сохранили действующие права в других частях сети, компрометация старого ресурса способна стать промежуточным шагом к действующей инфраструктуре.

Есть и вполне приземленный экономический эффект. Снапшоты и бэкапы постепенно разрастаются, занимают место в облачном хранилище или на собственных СХД, и компания продолжает платить за информацию, которая давно потеряла практическую ценность.

Почему автоматизация не спасает от забытых ресурсов

Почему при наличии Terraform, Ansible и другой автоматизации инфраструктура все равно постепенно превращается в «дикий запад»? Одна из главных причин в разрыве между реальным состоянием облака и кодом, который это состояние должен описывать.

Самый очевидный источник расхождения – ручные изменения. Инженер вносит правку через консоль облака в обход Git. Появляются тестовые виртуальные машины, временные диски и другие компоненты, которых в инфраструктурном коде нет.

После аварийных работ ситуация усугубляется. Бизнесу требуется максимально быстро восстановить сервис, поэтому команда создает временные решения: дополнительные сетевые доступы, security-группы, балансировщики, новые снапшоты дисков. После восстановления основной системы внимание переключается на следующие задачи, а временные ресурсы превращаются в забытые элементы инфраструктуры.

Иногда возникают настоящие «сироты». Например, автоматический скрипт восстановления создает копию базы данных, но не удаляет старую, уже поврежденную версию. Основной сервис при этом функционирует нормально, и о существовании старой копии никто не вспоминает.

У самой автоматизации тоже есть архитектурные ограничения. Тот же Terraform – это не око Саурона. Он работает с ресурсами, которые описаны в его state file.

Есть и динамические ресурсы, так называемые side effects, которые появляются как побочный результат работы других систем. Например, при развертывании Kubernetes-кластера автоматически создаются балансировщики, диски, PVC и другие компоненты. Kubernetes их создает, а Terraform может не знать об их существовании. При удалении кластера такие ресурсы способны остаться в облаке.

Поэтому наличие инфраструктурного кода само по себе не означает, что перед нами полная фотография реального облака. Код описывает управляемую часть инфраструктуры, а живое облако может быть шире.

Главная сложность – понять, что действительно можно удалить

Когда компания начинает искать забытые ресурсы, возникает другая проблема: неактивность еще не означает ненужность. Резервная система может почти не обрабатывать пользовательский трафик и при этом быть критически важной. Например, standby-база должна получать репликацию от основного узла. Если смотреть только на пользовательский трафик, такой ресурс легко принять за заброшенный.

Поэтому нужно обратить внимание и на связи с остальной инфраструктурой. У standby-узла можно проверить входящий трафик репликации. У резервного сервера – обращения систем мониторинга, health check, логи обновлений ОС, работу агентов безопасности и резервного копирования.

Имеет значение и период проверки. Некоторые ресурсы нужны раз в квартал или даже раз в год. Сервер для формирования годовой отчетности большую часть времени практически бездействует. Отсутствие активности за последние 30 дней в таком случае не говорит о его ненужности.

Дальше стоит посмотреть на окружение ресурса. DNS-записи, IP-адрес, присутствие в пулах балансировщиков, GeoDNS и failover-скриптах, правила Firewall и Security Groups дают гораздо более полную картину. Если к узлу разрешен доступ только с основного сервера приложений по специфическим портам репликации, это может быть признаком disaster recovery-компонента.

Поэтому хороший вопрос при инвентаризации звучит шире, чем «используется ли ресурс сейчас?». Нужно понять, зачем его создали, с чем он связан, и кто отвечает за его существование.

Один из полезных способов смотреть на ресурс – оценивать его как потенциального «сироту». Кто его владелец? Что произошло с исходной системой? Как давно существует объект? Используют ли его другие сервисы, тестовые среды или аналитические системы?

Атакующий может увидеть компанию лучше, чем она сама себя

У внешней поверхности атаки есть неприятная особенность: ее часто проще увидеть снаружи, чем контролировать изнутри.

В крупной компании инфраструктура распределена между разработчиками, безопасниками, ИТ, маркетингом и подрядчиками. Каждая команда создает ресурсы и меняет существующие. Внутренняя инвентаризация при этом не всегда успевает за изменениями.

Атакующий смотрит на компанию иначе. Для него это единая цель.

Поддомены и IP-адреса видны в публичных источниках, DNS и логах сертификатов. Автоматизированное сканирование позволяет постоянно искать новые активы, поэтому забытый тестовый сервер может оставаться неизвестным внутренней команде и просматриваться из интернета.

Сопоставить внутреннюю картину с внешней позволяют OSINT и EASM – External Attack Surface Management. Например, история выданных сертификатов позволяет обнаружить поддомены, о которых уже забыли ответственные команды. Полученный список стоит сопоставить с внутренней документацией. Если внешний домен отсутствует во внутренней базе, это как минимум указывает на пробел в инвентаризации.

С точки зрения атакующего интерес представляют публичные хранилища, забытые базы данных и снапшоты, compute-инстансы с публичными IP-адресами, старые поддомены и ресурсы с признаками заброшенности. Такими признаками могут быть имена вроде «-test», «-dev», «-old», минимальный трафик, отсутствие обращений к API или базе данных.

Дополнительные вопросы возникают к старым версиям операционных систем и TLS, просроченным сертификатами, сохраненным в конфигурациях секретам, API-ключам, паролям и избыточным правам.

Что происходит после удаления сервиса

Само удаление сервиса из панели управления, будто то облако, хостинг или внутренняя система, обычно удаляет только сам ресурс. Внешние связи и остаточные данные могут продолжать существовать. Поэтому после вывода сервиса из эксплуатации нужно проверить все его окружение.

Сначала проверяется сетевой контур и DNS. Связанные с сервисом DNS-записи должны быть удалены, а домен после этого не должен резолвиться в IP-адрес удаленной инфраструктуры.

Отдельно нужно убедиться, что не осталось CNAME-записи на сторонний облачный сервис. Если ресурс там уже удален, такая запись может создать возможность для захвата поддомена.

Затем проверяются сертификаты и доступы. Если для сервиса выпускался отдельный SSL/TLS-сертификат, его необходимо отозвать через удостоверяющий центр, а статус можно проверить с помощью OpenSSL s_client или SSL Labs.

То же касается SSH-ключей и API-токенов. Нужно посмотреть конфигурационные файлы, authorized_keys на серверах и системы управления доступами. Ключи, созданные специально для конкретного сервиса, после его удаления тоже должны исчезнуть.

Следующий слой – интеграции. Внешние системы не должны продолжать отправлять данные на старый endpoint. Поэтому после удаления нужно проверить вебхуки в сторонних панелях, CRM, Telegram-ботах, GitHub, Stripe и других системах.

У удаленного сервиса должны быть отозваны исходящие доступы к корпоративным системам и отключены связанные с ним интеграции, мониторинг и алерты.

Отдельно нужно проверить резервные копии и политики их хранения. Автоматическое создание бэкапов для удаленного сервиса должно быть отключено. Старые архивы, если их хранение больше не требуется, удаляются в соответствии с внутренним регламентом. Если данные необходимо сохранить, их можно перевести в долгосрочное изолированное архивное хранение.

Поверхность атаки – это история всей инфраструктуры

Одноразовая инвентаризация может закрыть часть проблем. Но через месяц или два все способно начаться заново: инженер внесет ручное изменение, другой отдел создаст ресурс, автоматический скрипт оставит копию базы. Поэтому контроль забытых ресурсов нужно включать в управление жизненным циклом инфраструктуры.

Здесь могут использоваться EASM-решения – инструменты класса External Attack Surface Management, которые непрерывно мониторят интернет и уведомляют о появлении новых активов компании.

Отдельная задача — централизованное управление доменами. Если подразделения самостоятельно покупают домены, используют личные карты и другие обходные способы, компании становится сложнее контролировать собственную внешнюю поверхность. Корпоративные домены разумно регистрировать через единый управляемый контур.

Инвентаризацию стоит связать с внутренней системой учета, корпоративной CMDB. Выпуск DNS-записей и создание виртуальных машин в разных облаках должны быть связаны с этой системой, чтобы компания понимала, какие ресурсы существуют, кому они принадлежат и как меняется инфраструктура.

***

«Призраки» появляются не во время атаки. Они возникают раньше – когда сервис выводят из эксплуатации, меняют инфраструктуру вручную, создают временный ресурс или перестают понимать, кто за него отвечает. Поэтому при управлении внешней поверхностью нужно учитывать не только работающие сегодня системы, но и следы прошлых изменений.

Автор – Антон Грецкий, директор по информационной безопасности ActiveCloud

Директора по информационной безопасности, которые реагирование на угрозы и восстановление работоспособности приравнивают по важности к профилактическим мерам, приносят больше пользы, чем те, кто придерживается устаревших подходов с абсолютной нетерпимостью к сбоям. Каждое очередное нарушение кибербезопасности показывает, что управление в службах информационной безопасности осуществляется скорее за счет адреналина, а не реализации конкретных замыслов. Но такая тактика не обеспечивает достаточной устойчивости. Отрасль добилась невероятных успехов в части профилактики. Что же касается реагирования и восстановления, они оставляют желать лучшего, поскольку никто не хочет примерять на себя менталитет неудачника. А между тем, в условиях, когда успешных кибератак все больше, а их последствия ощутимее, организациям необходимо повышать эффективность реагирования и восстановления, не ограничиваясь одними лишь инвестициями в профилактические меры.

На пути к обеспечению дополненной кибербезопасности (так в Gartner решили назвать повышение уровня реагирования и восстановления до уровня профилактики) приоритетное внимание следует уделять трем направлениям: обеспечению отказоустойчивости системы кибербезопасности бизнеса, минимизации набора инструментов при сохранении его эффективности и повышению уровня устойчивости специалистов по кибербезопасности.

Обеспечение отказоустойчивости системы кибербезопасности

Gartner рекомендует сосредоточить основное внимание на двух областях, где превентивные меры неэффективны: генеративном искусственном интеллекте и использовании технологий независимых организаций. Генеративный ИИ развивается очень быстро, и предотвратить все атаки одновременно невозможно. Решающее значение здесь приобретает способность адаптироваться к неизбежным сбоям, своевременно реагировать на них и быстро восстанавливать работоспособность. Профилактические рекомендации необходимо дополнять пособиями по эффективному реагированию и восстановлению.

Что касается управления рисками кибербезопасности, связанными с независимыми организациями, работа с теми, кто является источником риска, будет продолжаться. Но при этом необходимо убедиться, что планы обеспечения непрерывности функционирования бизнеса, разработанные независимыми организациями, хорошо задокументированы и протестированы.

Минимизация набора инструментов с сохранением его эффективности

Руководители служб информационной безопасности продолжают хранить старое оборудование, срок годности которого истек, и в то же время спешат добавить новые инструменты, не понимая до конца, какие дополнительные затраты и сложности для управления это влечет за собой. Необходимо разорвать порочный круг «синдрома приобретения оборудования», препятствующий успешному развитию, и по возможности минимизировать количество различных инструментов для наблюдения, защиты и реагирования на попытки использования уязвимостей организации.

Чтобы достичь этой цели, руководители служб информационной безопасности должны:

• Выявлять избыточности и бреши в защите, сопоставляя имеющийся набор инструментов со своей системой управления.
• Добиваться технического обоснования выбранной концепции с учетом рисков развертывания, а не только функциональности компонентов.
• Активно внедрять в существующие инструменты генеративный искусственный интеллект.

Повышение уровня устойчивости специалистов по кибербезопасности

Руководители служб информационной безопасности и их команды зачастую склонны к проявлению героизма. Они считают, что должны избегать плохих результатов любой ценой, даже в ущерб своему здоровью. Однако такой подход во многих случаях приводит к обратному эффекту. Чтобы добиться результатов, к устойчивости персонала нужно относиться так же, как и к другим компетенциям:

• Упростите сотрудникам получение необходимой им поддержки. Сюда относятся консультации и тренировки на стрессоустойчивость во время активных инцидентов.
• Передавайте свой опыт. Руководители должны подавать пример и делиться ситуациями, когда поставленных целей достичь не удалось, а также сделанными из этого выводами.
• Добивайтесь снижения эмоционального выгорания. Ищите причины возникновения трудностей, устраняйте узкие места и используйте средства автоматизации для освобождения творческой энергии людей.

Сегодня в основе практически всех современных услуг и сервисов лежат персональные данные. Узнать клиента лучше, чтобы своевременно предложить ему качественные сервисы, услуги и товары в зависимости от его потребностей – это интерес любой компании. Несоблюдение правил работы с персональными данными и их недостаточная защищенность неминуемо приводит к утечкам, следствием которых является использование полученной информации злоумышленниками в различных мошеннических схемах.

Конфиденциальность личной информации, «приватность», является не только одной из базовых потребностей человека, но и безусловным приоритетом Сбера. Осознавая свою роль в совершенствовании отрасли персональных данных с целью защиты интересов наших граждан, Сбер принял решение поделиться своей экспертизой в данной области с широкой публикой. В этом году журнал Sber Privacy Journal, издание Сбера о защите персональных данных и приватности, перестал быть исключительно внутренней инициативой и теперь публикуется в интернете на сайте «Кибрарий» (онлайн-библиотека знаний по кибербезопасности, которую развивает Сбер). Его содержание может быть полезно не только специалистам по защите персональных данных (ПДн), но и специалистам по управлению данными. О первых результатах проекта рассказывает Евгений Калинин, руководитель Центра DPO «Сбера» и номинант на премию Data Award.

— В чем вы видите свою миссию?

В России Сбер – один из крупнейших операторов персональных данных: банк обрабатывает данные более чем 100 млн клиентов и 250 тыс. сотрудников. У команды Сбера самая широкая экспертиза в области обработки персональных данных.

Миссия нашей команды – защита персональных данных клиентов и безусловное обеспечение прав граждан как субъектов персональных данных. В целях реализации этой миссии мы непрерывно занимаемся экспертизой и контролем соответствия банковских процессов законодательству РФ, повышением privacy-культуры клиентов и наших работников, чтобы помочь им избежать мошеннических схем злоумышленников, и многими другими смежными направлениями деятельности.

— Какие шаги для этого предпринимаются?

Для выполнения поставленных перед нами задач мы формируем требования к банковским процессам, в которых происходит обработка персональных данных, проводим экспертизу всех продуктов и сервисов согласно принципам privacy by design, уделяем повышенное внимание проведению обучающих мероприятий для работников и клиентов.

При лидирующей роли нашей команды в банке внедряются бизнес-процессы, реализуются пилоты различных продуктов и сервисов в соответствии с требованиями законодательства, выстроена единая методология и мощная экспертная поддержка бизнеса – фактически наша команда стала надежным помощником в организации банковских процессов.

Privacy-учения для дочерних компаний, ежегодные конференции, активные дискуссии в рабочих группах по развитию законодательства, десятки мероприятий по повышению privacy-культуры как для сотрудников, так и для широкой аудитории, информационный канал о приватности «Ничего личного» в мобильном приложении Сбербанк Онлайн – это только «вершина айсберга», внешние проявления той огромной работы, которую мы выполняем.

В 2022 году мы запустили Sber Privacy Journal – первое регулярное корпоративное издание, посвященное актуальным вопросам обработки персональных данных и в целом проблеме приватности. С января 2023 года журнал доступен в библиотеке знаний о кибербезопасности «Кибрарий».

В мире давно существует традиция выпуска профильных изданий, формируемых международными организациями, крупнейшими аналитическими и научно-исследовательскими центрами, финансовыми институтами. Нам кажется правильной концепция, когда организация, специализирующаяся на определенной сфере, например, на международном гуманитарном праве, финансовом секторе или юриспруденции, публикует свой анализ, свой взгляд на происходящее в мире в данной области. Если говорить о России и о нашей деятельности, у нас достаточно много журналов, посвященных информационной безопасности, но нет по сути ни одного издания, чьим основным фокусом являются персональные данные.

— На какую аудиторию вы нацелены в первую очередь?

С самого начала мы исходили из того, что журнал должен быть интересен и полезен как профессионалам в данной сфере, так и обывателю, не погруженному в сферу персональных данных. Мы стараемся держать баланс, чтобы отойти от излишнего формализма, но вместе с тем сохранить экспертность и практическую пользу публикуемого материала. Поэтому в журнале можно найти как практические статьи, рассматривающие, например, вопросы правоприменения или виды мошенничества с данными, так и научно-популярные материалы об истории становления концепции приватности, о влиянии технологий на общество и т. д. В Sber Privacy Journal можно узнать много интересных фактов, которые расширяют кругозор и дают лучшее понимание того, чем и для чего мы занимаемся. Наш журнал – это не «методичка», а сборник авторских размышлений и исследований на тему приватности, её роли в современном обществе.

— А может быть, многим специалистам нужна именно «методичка»?

Мы выступаем за системный подход и осмысленность в работе. Комплаенс в области защиты и обработки данных «для галочки» нам не интересен. Убеждены, что каждый специалист в области защиты персональных данных должен быть глубоко погружен в четыре области («домена», как мы их называем): доскональное знание законодательства и права в области персональных данных, знания требований к защите и обеспечению безопасности персональных данных, навыки проектирования и анализа качества описания бизнес-процессов, а также знания основ передачи и обработки данных в компьютерных сетях, и, безусловно, уверенное понимание того, что происходит в мире информационных технологий.

Именно глубокое, осмысленное погружение в вопросы безопасности позволит чувствовать себя уверенно в условиях непрерывного развития технологий сбора и анализа данных перед лицом новых вызовов со стороны киберпреступности.

— Разве для закрытия внутренних потребностей не хватает более простых и менее затратных мероприятий – например, периодических тренингов?

Безусловно, такие мероприятия мы тоже проводим. В качестве фундаментальной базы мы разработали онлайн-курс «Основы работы с персональными данными», который проходит каждый сотрудник банка. Помимо этого, мы с регулярной периодичностью «точечно» определяем круг слушателей, собираем интересующие вопросы и проводим встречи офлайн и онлайн, общаемся с бизнесом и ИТ-подразделениями. Если у коллег остаются волнующие нерешенные проблемы – оказываем индивидуальную поддержку. Журнал – это проект, который изначально задумывался «для себя», для внутренних потребностей и для всех энтузиастов в области приватности и конфиденциальности, которые довольно часто, надо сказать, встречаются среди банковских работников.

— Какие темы охватываются в журнале?

В журнале рассматривается широкий спектр тем, начиная от использования технологий биометрического распознавания и заканчивая требованиями к обработке персональных данных в зарубежных юрисдикциях. К примеру, мы подробно рассматривали регулирование сферы персональных данных в разрезе правоприменения Китая и Индии. Изучали феномен дипфейков и правовые основания их использования в рекламных интеграциях, исследовали вопросы приватности в контексте разных исторических эпох и многие другие темы.

— Работа ориентирована исключительно на специалистов? Планируется ли обучать теме приватности и защиты данных клиентов?

Назову одну цифру – 20 миллионов. В 2022 году наши мероприятия по повышению privacy-культуры граждан охватили более 20 миллионов человек. Мы регулярно проводим обучающие мероприятия совместно с государственными органами и ведущими вузами страны. Особое внимание мы уделяем детям, людям пожилого возраста, студентам. Так, например, рамках 2-й Международной олимпиады по финансовой безопасности мы провели обучение основам безопасного хранения и передачи персональных данных для более чем 550 студентов из 12 стран СНГ и БРИКС.

В канале Сбербанк Онлайн «Ничего личного», о котором я упоминал выше, только за прошлый год было опубликовано свыше 40 образовательных статей и материалов с полезными рекомендациями о защите личных данных, направленных, в том числе, на повышение бдительности наших сограждан в вопросах, связанных с использованием их данных.

Также в прошлом году на сайте Сбера мы запустили информационную страницу sberbank.ru/privacy, на которой простыми словами рассказываем посетителям о том, как Сбер обрабатывает и защищает персональные данные.

— Если вернуться к изданию Sber Privacy Journal, то какие результаты достигнуты?

23 января мы опубликовали на «Кибрарии» свежий номер журнала, а заодно и два предыдущих, и практически сразу получили большое количество положительных отзывов. И, что не менее важно, – увидели пожелания и профессиональные рекомендации. Обратная связь особенно приятна с учетом того, что подготовка Sber Privacy Journal – не наша основная работа, а, можно сказать, «факультативная». Ведь по сути все это создавалось и версталось в свободное от основной работы время, которого остается не так много. Здесь действительно стоит поблагодарить наших коллег за их время, инициативность и проявленный интерес к общему проекту.

Мы считаем, что нам удалось заинтересовать российское экспертное сообщество, а если наши наработки будут внедряться на практике – значит, наша задача выполнена на 100%.

— Каковы ваши планы развития?

В числе ближайших планов развития – получить номер ISSN, благодаря чему журнал попадет в международную базу периодических изданий, упростится его распространение и поиск. Будем однозначно расширять авторский состав, привлекать внешних экспертов, включая зарубежных специалистов. Кроме того, мы прорабатываем создание полноценного информационного онлайн-портала Sber Privacy с новостями и аналитикой из мира приватности, запуск англоязычной версии журнала, а также тесное сотрудничество с крупнейшими вузами и ассоциациями в части публикации их материалов.

По мнению аналитиков Gartner, поскольку количество норм регулирования конфиденциальности во всем мире продолжает расти, организациям следует сосредоточиться на пяти основных тенденциях конфиденциальности. Это должно помочь им решить проблемы защиты персональных данных и соблюдения соответствующих нормативных требований.

По прогнозам Gartner, к концу 2024 года 75% населения мира будут иметь свои персональные данные, защищенные современными правилами конфиденциальности. Эта регулятивная эволюция станет основным катализатором практического решения вопросов конфиденциальности. Поскольку в большинстве организаций нет специальной практики обеспечения конфиденциальности, ответственность за внедрение соответствующих норм возлагается на технологии, в частности, на технологии безопасности под эгидой офиса директора по информационной безопасности.

В связи с расширением усилий по регулированию конфиденциальности в десятках юрисдикций в ближайшие два года многие организации считают необходимым приступить к реализации своей программы защиты конфиденциальности уже сейчас. Согласно прогнозам Gartner, средний годовой бюджет крупных организаций на обеспечение конфиденциальности к 2024 году превысит 2,5 млн долл.

Gartner выделяет пять тенденций, которые поддерживают сложившиеся практики конфиденциальности и нескольких бизнес-лидеров предприятия, что упрощает контроль над компанией, повышает уровень ее ценностей и сокращает продолжительность оценки.

Локализация данных

В не имеющем границ цифровом обществе стремление контролировать страну, в которой хранятся данные, кажется нелогичным. Однако такой контроль является прямым требованием либо побочным продуктом многих новых законов о конфиденциальности.

Риски стратегии ведения бизнеса в нескольких странах требуют нового подхода к проектированию и приобретению облачных технологий, поскольку лидеры в области безопасности и управления рисками сталкиваются с разными нормами регулирования, и разные регионы требуют разных стратегий локализации. В результате планирование локализации данных должно стать главным приоритетом при разработке и приобретении облачных сервисов.

Вычисления, повышающие конфиденциальность

Обработка данных в ненадежных средах, таких как общедоступное облако, а также многосторонний обмен данными и их анализ заложили основы для дальнейшей успешной деятельности организации. Вместо использования различных дополнений растущая сложность аналитических систем и архитектур требует от поставщиков включения функций обеспечения конфиденциальности на этапе проектирования. Повсеместное распространение моделей искусственного интеллекта и необходимость их обучения стало еще одним дополнением к вопросам конфиденциальности.

В отличие от обычных средств управления безопасностью данных в состоянии покоя, конфиденциальные вычисления (privacy-enhancing computation, PEC) защищают данные в процессе их использования. В результате организации могут осуществлять обработку и анализ данных, которые ранее были невозможными из соображений конфиденциальности и безопасности. По прогнозам Gartner, к 2025 году 60% крупных организаций будут использовать по крайней мере одну технологию PEC в аналитике, бизнес-анализе и облачных вычислениях.

Управление искусственным интеллектом

Опрос Gartner показал, что 40% организаций сталкивались с нарушениями конфиденциальности искусственного интеллекта, и только каждое четвертое из этих нарушений было злонамеренным. Независимо от того, обрабатывают ли организации персональные данные с помощью модуля искусственного интеллекта, интегрированного в предложение поставщика, или с помощью отдельной платформы, управляемой собственной командой исследователей данных, риски для конфиденциальности и потенциального злоупотребления персональными данными очевидны.

Большая часть искусственного интеллекта, используемого сегодня в организациях, встроена в более крупные решения, и для оценки его влияния на конфиденциальность имеется не так много возможностей. Встроенные средства искусственного интеллекта используются для отслеживания поведения сотрудников, оценки настроений потребителей и создания «умных» продуктов, которые обучаются на лету. Данные, которые сегодня вводятся в эти модели обучения, будут влиять на решения, принимаемые годы спустя. Когда регулирование искусственного интеллекта укоренится окончательно, распутать токсичные данные, поступающие в организм в отсутствие программы управления искусственным интеллектом, будет практически невозможно. ИТ-директорам придется уничтожать системы оптом, что дорого обойдется организациям и их репутации.

Единое пользовательское восприятие конфиденциальности

Возросший потребительский спрос на права субъектов и растущие ожидания в отношении прозрачности приведут к необходимости появления централизованного пользовательского восприятия конфиденциальности (user experience, UX). Дальновидные организации понимают преимущества объединения всех аспектов пользовательского восприятия конфиденциальности – уведомлений, файлов cookie, элементов управления разрешениями и обработки запросов о правах субъекта (subject rights requests, SRR) — в рамках одного портала самообслуживания. Такой подход обеспечивает удобство для ключевых участников, клиентов и сотрудников, а также значительную экономию времени и средств. По прогнозам Gartner, к 2023 году 30% организаций, ориентированных на потребителей, предложат осуществлять управление предпочтениями и разрешениями на самообслуживаемом портал прозрачности.

Дистанционное становится «повсеместно гибридным»

По мере того, как модели взаимодействия в работе и жизни становятся гибридными, возрастают как возможности, так и желание более активного отслеживания, мониторинга и других действий по обработке персональных данных, а риск нарушения конфиденциальности становится первостепенным.

С учетом последствий для конфиденциальности, связанных с полностью гибридным набором взаимодействий, производительность и удовлетворенность балансом между работой и личной жизнью во многих отраслях и дисциплинах также выросли. Организациям следует придерживаться ориентированного на человека подхода к конфиденциальности, а данные мониторинга должны использоваться в минимальном объеме и с четкой целью – например, для улучшения восприятия сотрудников за счет устранения ненужных трений или для снижения риска эмоционального выгорания за счет выявления рисков для благополучия.

В условиях пандемии COVID-19, роста расходов на здравоохранение и старения населения спрос на технологии искусственного интеллекта, адресованные отрасли здравоохранения, растет. Показательна динамика мирового рынка венчурного капитала: более 40 стартапов привлекли довольно значительное финансирование (20 млн долл. и более) для создания отраслевых решений на базе искусственного интеллекта. Как же на самом деле искусственный интеллект используется в здравоохранении?

Опрос '2022 AI in Healthcare Survey', в котором принимали участие более 300 респондентов со всего мира, был направлен на улучшение понимания проблем, достижений и примеров использования искусственного интеллекта в здравоохранении. Это второй такой отчет; по сравнению с первым результаты существенно не изменились, но указывают на некоторые интересные тенденции, предвещающие, куда качнется маятник в ближайшие годы. И если некоторые аспекты этой эволюции носят позитивный характер (демократизация искусственного интеллекта), то другие не вызывают особого энтузиазма (гораздо более протяженный фронт исследований и рост числа уязвимых мест). Перечислим три тенденции, о которых необходимо знать специалистам.

1. Простота использования и демократизация искусственного интеллекта; инструменты low-code/no-code

По оценкам Gartner, к 2025 году 70% новых приложений, разрабатываемых предприятиями, будут использовать технологии, не требующие написания программного кода или предполагающие минимизацию его объема (в 2020 году их доля не превышала 25%). Разработка в парадигме low-code снижает нагрузку на программистов, но наибольшее влияние окажут решения, не требующие написания кода и освоения науки о данных. Сегодня в среде пользователей систем искусственного интеллекта интересно наблюдать за явным сдвигом от технических специалистов непосредственно к экспертам в предметной области.

Более половины (61%) респондентов своими целевыми пользователями назвали практикующих врачей, далее следуют плательщики медицинских услуг (45%) и ИТ-компании, работающие в сфере здравоохранения (38%). В сочетании со значительными разработками и инвестициями в приложения искусственного интеллекта в сфере здравоохранения, а также с доступностью технологий с открытым кодом все это свидетельствует о расширении внедрения соответствующих технологий в отрасли.

Важный момент: наделение медицинских работников инструментами для разработки программ на базе искусственного интеллекта по образу и подобию обычных офисных инструментов, таких как Excel и Photoshop, уже изменили сферу применения искусственного интеллекта к лучшему. Технология не только стала более доступной, но и обеспечивает более точные и надежные результаты, поскольку управляет ею теперь медицинский работник, а не специалист по программному обеспечению. Изменения эти не происходят в одночасье, но рост числа экспертов в предметной области, выступающих в качестве основных пользователей искусственного интеллекта – уже большой шаг вперед.

2. Совершенствование средств обработки текстов и естественного языка

В ответ на вопрос о технологиях, которые планируется внедрить к концу 2022 года, руководители назвали интеграцию данных (46%), бизнес-анализ (44%), обработку естественного языка (43%) и аннотацию данных (38%). В настоящее время наиболее распространенным типом данных в приложениях искусственного интеллекта является текст с акцентом на обработку естественного языка (Natural Language Processing, NLP) и аннотирование данных.

Эти инструменты позволяют решать такие важные задачи, как поддержка принятия врачебных решений, выбор лекарств и оценка плана лечения. После двух лет пандемии, разработки новых вакцин и поиска способов улучшения поддержки потребностей системы здравоохранения в свете новых массовых тенденций становится ясно, насколько важен прогресс в этих областях. Вместе с тем, использование искусственного интеллекта в здравоохранении сильно отличается от других отраслей и требует другого подхода.

Неудивительно поэтому, что наиболее важным требованием для оценки локально установленных программных библиотек или решений категории SaaS руководители назвали доступность моделей и алгоритмов, специфичных для здравоохранения. Оптимизм венчурного капитала, доступные на рынке решения и спрос со стороны пользователей убеждают, что модели, ориентированные на здравоохранение, в ближайшие годы продолжат активно развиваться.

3. Усиление угроз безопасности

Помимо прогресса в области искусственного интеллекта прошедший год продемонстрировал целый ряд новых векторов атак. На вопрос о том, какие типы программного обеспечения используются для создания приложений искусственного интеллекта, наиболее популярными вариантами ответов были: локально установленное коммерческое ПО (37%) и ПО с открытым кодом (35%). Наиболее заметным оказалось снижение использования облачных сервисов на 12% по сравнению с прошлогодним опросом (о них упомянули 30% опрошенных). Скорее всего, происходит это из-за проблем с конфиденциальностью при обмене данными.

Большинство респондентов (53%) при проверке моделей предпочитают полагаться на свои собственные данные, а не на показатели сторонних поставщиков программного обеспечения. 68% явное предпочтение отдают внутренней оценке и самостоятельной настройке своих моделей. С учетом строгого контроля и процедур, связанных с обработкой медицинских данных, очевидно, что пользователи искусственного интеллекта хотели бы, чтобы соответствующие операции выполнялись внутри компании — конечно, при наличии такой возможности.

Впрочем, независимо от предпочитаемых типов программного обеспечения и способов проверки моделей, рост угроз безопасности в сфере здравоохранения, судя по всему, окажет существенное влияние на происходящее. С определенными трудностями сталкиваются и в других сегментах критически важной инфраструктуры, но нарушения в сфере здравоохранения могут иметь последствия, выходящие за рамки репутационных и финансовых потерь. Потеря данных или вмешательство в работу медицинских устройств становятся в прямом смысле вопросом жизни и смерти.

По мере того, как технологии попадает в руки обычных пользователей, решения на базе искусственного интеллекта демонстрируют стремительный рост. Но по мере повышения уровня их доступности и продолжающегося совершенствования моделей и инструментов особое внимание необходимо уделять безопасности и вопросам этики. Интересно будет наблюдать, какое развитие получат ИИ-решения и какое влияние это окажет на всю отрасль здравоохранения.

Crosstech Solutions за последний год реализовала несколько идей, которые легли в основу как модернизации собственных дата-процессов компании, так и разработки коммерческих решений для рынка информационной безопасности. Об истории создания этих решений рассказывает Никита Андреянов, руководитель отдела внедрения и продвижения решений департамента цифровой трансформации Crosstech Solutions Group и номинант на премию Data Award.

— Как родилось направление, подразумевающее использование технологий больших данных в сфере информационной безопасности?

Основная категория данных, с которой нам чаще всего приходится работать и решать прикладные задачи, являются события информационной безопасности. Речь идет про журналы аудита операционных систем и баз данных, логи, генерируемые на средствах защиты информации, и прочие данные, так или иначе связанные с информационной безопасностью. Как следствие этого, наши платформы по работе с данными также направлены в первую очередь на отрасль информационной безопасности.

Здесь отдельно стоит упомянуть про два наших продукта – DataGrain ESO и DataGrain RUMA. DataGrain ESO (Events Stream Optimization) – система, позволяющая централизованно собирать, фильтровать и профилировать разнородные ИБ-события в большом объеме. В базовом варианте решение может отвечать за централизованное хранение данных и реализацию ретроспективного поиска. В более продвинутом – это комплексная дата-платформа, которая является некой фабрикой данных, отвечающей не только за хранение данных, но и за удобный и быстрый доступ к прикладным данным без длительного ожидания. В частности, она поддерживает и ad-hoc запросы, и работу с данными в self-service режиме для различных категорий пользователей.

DataGrain RUMA (Remote User Monitoring Analytics) – система, отвечающая за поведенческий анализ пользователей, активов и иных сущностей, а также за мониторинг и выявление поведенческих аномалий. Решение построено на базе статистического анализа, алгоритмов машинного обучения и анализа временных рядов. Используемый стек технологий позволяет выявлять инциденты, которые невозможно описать сигнатурным способом. В частности, система на базе анализируемых данных строит рамки поведения каждого пользователя, отклонения от которых фиксируются как инциденты.

RUMA может интегрироваться с ESO и дополнять ее новым полезным функционалом в части анализа собираемых данных. Помимо этого, нередки сценарии, когда нам приходится работать, в том числе, и с бизнес-данными, когда основной целью является монетизация этих самых данных. Здесь чаще всего источниками данных выступают непосредственно СУБД, CRM, HR и другие бизнес-системы. Так как в подобных бизнес-сценариях основной целью стоит максимально эффективное использование данных, ключевым фактором становится качество, согласованность и корректность этих данных.

— Представленные продукты берут начало в реализации внутренних проектов. Какова их история: в чем заключались решаемые проблемы, каковы были боли бизнеса?

Мы систематизировали реальные запросы бизнеса и сделали акцент на тренды импортозамещения и поддержку отечественного бизнеса эффективными инструментами работы с данными. Так и начали появляться наши продукты.

Crosstech Solutions – молодая компания, но уже сейчас мы имеем востребованную линейку продуктов, каждый из которых решает общие и специализированные задачи бизнеса. Мы хорошо понимаем структуру бизнеса каждого из наших заказчиков и обеспечиваем гибкость разработки. Созданные решения отвечают реальным потребностям заказчиков в долгосрочной перспективе – мы справляемся с задачей поддержки отечественного бизнеса и разделяем общие ценности с нашими бизнес-партнерами.

За каждым нашим продуктом стоит решение конкретной проблемы. Так, драйвером для разработки решения DataGrain ESO стала необходимость сокращения финансовых затрат на покупку лицензий для SIEM-решений. Поскольку количество эксплуатируемых информационных систем и средств защиты корпоративной информации неуклонно растет, пропорционально увеличивается и поток данных, поступающих в SIEM. Соответственно, увеличиваются издержки по обеспечению работоспособности средства защиты. Мы знаем, что офицеры информационной безопасности вынуждены постоянно решать задачи по оптимизации и совершенствованию своих инструментов. Причем это приходится делать как в контексте финансовой составляющей, так и в контексте прикладных задач, — то есть требуется предпринимать меры, которые превращают функциональные возможности решений в прикладной инструмент решения поставленных задач.

ESO предназначено для сокращения входного потока в SIEM. Оно позволяет консолидировать большие объемы данных в сжатом формате в централизованном хранилище данных и перенаправлять в SIEM только тот срез данных, который необходим для прикладного функционала, — в частности, для выявления инцидентов информационной безопасности на базе правил корреляции. При таком подходе наше решение оптимизирует финансовые затраты на лицензирование и повышает эффективность работы SIEM, предоставляя необходимые данные уже в обработанном и нормализованном формате.

Решение RUMA появилось вслед за ESO. Драйвером его разработки стала необходимость эффективно использовать большие массивы исторических данных. Мы поняли, что данные, которые мы можем централизованно собирать и долгосрочно хранить, могут также эффективно использоваться для задач ретроспективного анализа. Это, в свою очередь, решает очередную актуальную проблему бизнеса, а точнее – целый спектр проблем и запросов со стороны информационной безопасности и бизнеса в целом, связанных с возможностями такого анализа.

В частности, RUMA позволяет строить поведенческие профили на базе накопленных данных и впоследствии выявлять отклонения и аномалии в деятельности пользователей. В качестве центральной сущности такой аналитики могут выступать и различные активы, — например, серверы или подсети. Этот подход позволяет выявлять инциденты ИБ, которые невозможно описать сигнатурными правилами корреляции, так как это делается в SIEM. Таким образом, внедрение RUMA и ESO как усиление уже функционирующей SIEM позволяет существенно расширить список реализуемых ИБ-кейсов, основанных на анализе больших срезов данных.

Это лишь два примера того, что явилось драйвером для разработки решений. Кроме описанных продуктов, есть и ряд других направлений разработки. Мы непрерывно отслеживаем общие тренды и проводим исследования по поиску новых технологий и вариантов их применения.

— Сколько времени и какими силами создавалась платформа?

Платформа создавалась около двух лет относительно небольшой командой, в которой были и разработчики, и бизнес-аналитики, и ИБ-инженеры, и дата-сайентисты. В целом, экспертиза команды позволила направить разработку в соответствии с четким пониманием потребностей бизнеса, расширить функционал системы современными фишками, что выгодно отличает нас от зарубежных вендоров, которые уже давно присутствуют на рынке и оказались в своеобразной зоне комфорта — они не спешат развивать свои продукты.

Мы считаем, что уже достигли хороших результатов в такие сроки. Сейчас над развитием платформы работает больше людей — мы укрепляем команду разработки. У нас еще много идей в части математических моделей и алгоритмов, которыми в дальнейшем будет дорабатываться решение.

— Каковы типичные сценарии решений?

Типичные сценария применения зависят от того, рассматриваем ли мы эти две системы по отдельности или как единую комплексную платформу.

Для DataGrain ESO типовой сценарий — это снижение входного потока данных в SIEM. Как следствие, мы снижаем затраты на лицензии, стоимость которых зависит от индексируемых событий, и в то же время не теряем ни одного события, сохраняя все данные в нашей платформе. Таким образом, организация соответствует требованиям регуляторов, получает возможность решения задач ретроспективного анализа и при этом экономит бюджеты, выделяемые на поддержку SIEM.

DataGrain RUMA отвечает за выявление аномалий и реализацию сложных нетиповых кейсов — когда мы понимаем, что паттерн-инцидент сложно или невозможно описать сигнатурной логикой.

В комплексе эти два решения образуют data-платформу, позволяющую решать широкий спектр задач в сфере информационной безопасности и не только — начиная от сбора, обработки и хранения данных, заканчивая решением прикладных задач для бизнеса.

— Каков портрет типичного заказчика? Кто может быть наиболее заинтересован в использовании решения?

О потрете типового заказчика трудно сказать в двух словах. Думаю, общей чертой для любого заказчика будет заинтересованность в использовании возможностей современных технологий и внедрении отечественных решений. При этом не имеет принципиального значения, насколько развиты бизнес- и ИБ-процессы в организации. Здесь должно работать стремление к максимальной эффективности бизнеса в современных условиях.

Наиболее распространенный тип заказчика для линейки наших решений — это средние и крупные компании, в которых давно присутствует SIEM-система, выстроены процессы информационной безопасности и оценки эффективности бизнеса. В таких компаниях часто присутствует понимание того, что бюджеты, выделяемые на иформационную безопасность или на другие направления, расходуются не так эффективно, как хотелось бы.

Также нашим заказчиком может быть и небольшая компания, обладающая скромным бюджетом и планирующая выстраивать все процессы по работе с ИБ-данными на базе нашей платформы. В таком случае мы проводим аудит текущей инфраструктуры, внедряем и настраиваем систему как консолидирующий центр по работе с данными, помогаем выстраивать соответствующие data-driven процессы.

Мы готовы работать как с теми, кто находится на достаточно низком уровне зрелости, так и с теми, кто четко понимает свои потребности и осознает проблемные места в инфраструктуре по работе с данными.

— Где уже нашли применение решения?

Конечно, наиболее яркие для нас кейсы связаны с крупными заказчиками — это банковский, промышленный, государственный, транспортный секторы. В целом, сценарии применения платформы едины, однако каждый проект имеет свою специфику задач и применения.

— Каких результатов удается достичь заказчикам, в чем они могут заключаться?

ESO в первую очередь повышает финансовую эффективность в части оптимизации распределения бюджетов на SIEM-системы, которые являются очень существенной статьей расходов. RUMA позволяет решать сложные и персонализированные ИБ-кейсы, связанные с активностью пользователей. Так, например, решение позволяет выявлять инсайдерскую деятельность на раннем этапе и предотвращать серьезные финансовые и репутационные потери, а не расследовать уже фактически произошедшие инциденты.

Платформа применялась для достижения различных прикладных целей. В качестве достигнутых результатов, можно отметить значительное снижение издержек по эксплуатации систем, обеспечивающих информационную безопасность, оптимизацию отдельных бизнес- и ИБ-процессов организации, а также реализацию превентивного подхода к событиям безопасности.

— А что вы считаете главным своим достижением?

Хочу еще раз подчеркнуть, что наша основная цель как производителя, — помочь отечественному бизнесу эффективно использовать передовые технологии для решения своих задач. В силу усиливающихся трендов на импортозамещение и цифровизацию нам очень важно и приятно осознавать, что мы делаем доступными современные технологии для малых и средних игроков на рынке, которым тяжело самостоятельно выстроить экосистему, позволяющую эффективно работать с данными. В то же время мы помогаем и крупному бизнесу более оперативно выстраивать data-driven процессы, позволяя сосредоточиться на прикладном использовании данных внутри организации и формировании базы интересующих кейсов, нежели решению инженерных задач по построению архитектур, позволяющих с этим данными эффективно взаимодействовать и работать.

— Каковы направления развития решений?

Говоря о прикладном аспекте, в ESO мы наращиваем базу поддерживаемых источников «из коробки» и занимаемся развитием пользовательского интерфейса для того, чтобы снизить порог входа для конечного пользователя. В RUMA же активно ведутся работы по тюнингу существующих поведенческих алгоритмов и разработке новых. В целом, мы движемся в направлении обогащения нашей платформы. Планируем развивать текущий функционал и интегрировать новый. Как я ранее отметил, мы ведем постоянную работу в части отслеживания актуальных тенденций рынка и нужд наших партнеров и заказчиков.

Наши решения развиваются не только технологически – мы в первую очередь хотим, чтобы они были доступны широкому кругу заказчиков. Поэтому сейчас мы также сконцентрированы на том, чтобы платформа сохраняла вариативность и гибкость, — как в части архитектуры внедрения, так и формирования конечной стоимости решения.

Для любой компании данные представляют значительную ценность. Рисковать их утечкой, и тем более делиться ими готовы немногие. Однако часто встречаются ситуации, когда объединение данных разных компаний позволяет улучшить создаваемые математические модели. Справиться с проблемой позволяет платформа конфиденциального совместного машинного обучения, реализованная компанией oneFactor. Платформа дает возможность безопасно провести обучение и исполнение моделей на данных нескольких поставщиков, сохранив данные владельцев в неприкосновенности. О реализации этого проекта рассказывает Виктор Стрелков, директор по разработке oneFactor и номинант на премию Data Award.

— В чем суть платформы конфиденциального совместного машинного обучения?

Эта платформа позволяет провести обучение на данных любого количества поставщиков без раскрытия этих данных. Мы предоставляем платформу, которая включает в себя набор инструментов, типовых для дата-сайентиста, и даем возможность подключить к ней произвольное количество поставщиков данных. При этом поставщиком данных может быть тот же самый клиент, который хочет обучиться на совместных данных: наших, своих и данных третьего лица. Данные при этом не раскрываются. Фактически они представляют собой набор хэшей — совершенно нечитаемую информацию для дата-сайентиста. Он сможет обучить модель и исполнить ее на этой же платформе, но при этом у него нет возможности ни сделать какие-либо выводы о данных, ни получить какие-то инсайты, не говоря уже о скачивании и сохранении.

— Почему это важно?

С одной стороны, повсеместно растет спрос на защиту данных — как частных, так и корпоративных. Каждый обладатель данных все яснее понимает, что информация — это большая ценность, которую демонстрировать в раскрытом виде не следует. С другой стороны, наблюдаются попытки использовать машинное обучение в процессах всех отраслей. Объединение данных из различных источников (и это доказано нашим исследованием) сильно повышает качество машинного обучения. Мы объединяем два этих тренда в своем решении.

— Как родилась идея платформы конфиденциального совместного машинного обучения?

Как это часто бывает в таких случаях, изначально это решение мы создавали для себя. Около пяти лет назад мы делали финансовый скоринг для сервисов финтеха. Сначала только на собственных данных, которые не надо было никому показывать: так было проще. Но аппетиты растут, все хотят повышать точность своих моделей: это напрямую отражается на затратах финансовых организаций, на количестве резервов, на размере прибыли и т. д. То есть точность используемых моделей напрямую влияет на эффективность бизнеса. Мы постоянно проводим исследования в части улучшения моделей и нашли поставщика данных, нового для нас, — это один из провайдеров финансовых услуг. Работы с данными провайдера проводили в закрытой переговорной на ноутбуке с запаянными USB-портами, под наблюдением камер, без допуска в туалет — высший уровень физической изоляции. После обучения модели на объединенных данных получили существенный прирост точности — до 10–15%, это очень много.

Но как запустить полноценное решение? И мы создали внутреннюю платформу, в которую партнер загружал данные в зашифрованном виде. На этих данных удалось обучить и запустить в эксплуатацию модель, дающую большой прирост точности скоринга. Накопив опыт внутреннего использования в 2020–2021 годах, мы признали, что это отличное решение, достойное вывода на внешний рынок. Такие запросы уже были: приобретая у нас скоринг, банки интересовались, можно ли для улучшения модели добавить собственные данные. В третьем квартале 2021 года мы создали MVP платформы с интерфейсами, возможностью подключения новых поставщиков, шифрованием данных и т. д. И сейчас мы готовы предложить ее рынку.

— Что технически представляет собой созданное решение?

Краеугольный камень защищенных вычислений — это технология Intel Software Guard Extensions, которая позволяет защитить область памяти от любого несанкционированного доступа, в том числе с привилегиями администратора. Даже получив физический доступ к серверу, нельзя получить доступ к данным. Было важно защититься от трех сценариев атаки: чтобы данные не мог получить ни администратор сервера, ни аналитик, который обучает модели, ни поставщик данных. Технология SGX закрывает все три вероятных сценария компрометации данных.

— Откуда берутся кросс-индустриальные данные, с которыми ведется конфиденциальная работа?

Кросс-индустриальные данные состоят из трех больших блоков. На предлагаемой нами платформе уже есть наши данные и данные провайдера финансовых услуг. Третья составляющая — это данные самого клиента.

Рассмотрим, например, лидогенерацию на платную подписку. Есть гипотеза, что платную подписку больше покупают люди, в окружении которых кто-то ее уже купил. У компаний, занимающихся электронной коммерцией, есть данные о купивших подписку, но у них нет данных о связях этих людей. А в других индустриях эти связи есть, но информацию о них ни в коем случае нельзя раскрывать. С согласия конечных пользователей клиент может загрузить свои данные, не раскрывая их, и путем объединения с этими данными на нашей платформе получить результат: с какой вероятностью новый человек купит платную подписку.

— Кто является целевой аудиторией вашего решения?

Пользователи платформы — дата-сайентисты, а клиенты — это крупные компании и иногда представители малого и среднего бизнеса. Это организации, которые уже разработали модели машинного обучения на собственных транзакционных данных и провели цикл оптимизации бизнеса с использованием Data Science и машинного обучения, а теперь хотят повысить эффективность процессов со встроенными в них моделями машинного обучения. Мы предоставляем этим компаниям новые для них данные, c помощью которых можно качественно улучшить точность моделей, и даем возможность проводить эксперименты.

— Каких результатов удалось достичь?

В первую очередь это наш проект «совместного скоринга»: мы с партнерами делаем новый продукт и продаем его. С одним из клиентов выходим на промышленную эксплуатацию. И в разной степени внедрения находятся проекты в нескольких крупных банках, два-три из них планируется запустить в эксплуатацию в этом году.

— Насколько сильный прирост качества моделей дает совместное машинное обучение?

Показательный пример: удалось увеличить точность модели банковского и рискового скоринга до 15%. Очень значимый результат, потому что это примерно три пункта коэффициента Джини. Повышение этого коэффициента хотя бы на один пункт — уже веский повод для внедрения системы. А когда речь идет о росте на три пункта Джини, заказчик часто готов даже на сложные и затратные проекты.

— Способно ли ваше решение повлиять на будущее рынка платформ машинного обучения?

Да, мы рассчитываем убрать барьер дата-паранойи и дать машинному обучению развиваться. Организации должны повышать эффективность без боязни раскрыть или потерять свои данные. Есть и другие компании, которые идут в схожем направлении, но используют другие подходы.

— Какие вы видите перспективы для развития платформы?

Суперрезультатом стало бы объединение всех решаемых нами задач (машинного обучения, Auto ML, подсистем лидогенерации и т. д.) на одной платформе — создание подобия «Единого окна маркетинговых коммуникаций».

Сценарий из недалекого будущего: к платформе подключается дата-сайентист, выбирает для себя любые источники данных, обучает модель, подключает каналы коммуникации, при необходимости проводит A/B-тест, видит эффективность модели, получает достаточную конверсию, ставит Auto ML. Далее каждый день эта модель переобучается и выполняет рассылку лидов. Мы приближаемся к этому будущему с двух сторон: с одной стороны развиваем платформу конфиденциальных данных, а с другой — систему лидогенерации и каналы коммуникации. Важно объединить их в единое решение, которое даст новые возможности для омниканальных маркетинговых коммуникаций.

Многие, особенно далекие от ИТ люди, воспринимают машинное обучение как нечто очень сложное, непонятное и не имеющее отношения к каждодневной жизни. Мы, как профессионалы, видим, с какой скоростью развиваются ML-решения, как быстро они проникают во все стороны нашей жизни и помогают получать именно ту информацию и те услуги, которые нам нужны. Мы гордимся, когда технологически передовые продукты делают наши инженеры — это гарантирует развитие отечественной ИТ-индустрии. Конечно, нахождение на переднем крае технологий в настоящее время ставит перед инженерными командами дополнительные требования, связанные с безопасностью. Но это делает создание продуктов для бизнеса еще более интересным для разработчиков, а сами продукты — востребованными рынком.

Лично я считаю себя техно-оптимистом. Технология уже успела заметно улучшить нашу жизнь бесчисленными приспособлениями, такими как колесо, печатный пресс и палка для селфи. Все эти замечательные вещи во многом обогатили человечество.

То же самое относится и к Wi-Fi. Если бы не Wi-Fi, никто не сумел бы праздно транслировать видео из YouTube на корпоративные ноутбуки через точки доступа в оживленном, но социально-дистанцированном кафе в то время, когда мы должны выполнять свою работу. То есть никто из нас не смог бы в полной мере использовать инструменты удаленного подключения, позволяющие сотрудникам компании заниматься производственной деятельностью в любое время и из любой точки.

С тех пор, как в 1997 году технология Wi-Fi стала коммерчески доступной, она постоянно развивалась, что сопровождалось увеличением скорости, радиуса действия и общей производительности. Но появление следующей итерации Wi-Fi, возможно, будет сопровождаться довольно зловещим саундтреком.

Беспроводное зондирование

Доцент кафедры электротехники и вычислительной техники Северо-Восточного университета Франческо Рестуччиа, занимающийся изучением встроенных систем, беспроводных сетей и искусственного интеллекта, в своей недавней исследовательской работе писал, что по мере того, как Wi-Fi получает все более широкое распространение, мы видим появление «новаторских приложений для беспроводного зондирования, в том числе для обнаружения присутствия человека, распознавания его активности, отслеживания объектов и многого другого».

Представьте себе, что Wi-Fi развивает другие органы чувств, способность непрерывно отражать состояние окружающей среды с помощью сигналов Wi-Fi, используемых в качестве звуковых волн. Весьма интересный характер применения технологии, которая задумывалась как цифровой канал передачи радиосигналов. 

Institute of Electrical and Electronics Engineers работает над стандартами (IEEE 802.11bf) в рамках проекта Wi-Fi Sensing (SENS), который позволит устройствам Wi-Fi непрерывно отслеживать все, что происходит вокруг. И вот тут-то хорошая идея начинает принимать мрачный оборот.

Проникновение SENS в нашу повседневную жизнь непременно приведет к проблемам с безопасностью и конфиденциальностью у конечных пользователей. И правда, мы уже видели, что классификаторы на основе SENS могут получать доступ к критически важной для соблюдения конфиденциальности информации, к которой относятся, например, набор на клавиатуре, распознавание жестов и отслеживание действий. С учетом широковещательной природы беспроводных каналов у злоумышленника появляется возможность легко отслеживать действия пользователя без авторизации. Более того, поскольку сигналы Wi-Fi способны проникать через твердые объекты и могут использоваться в темноте, конечные пользователи даже не понимают, что за ними следят.

Пора вспомнить Джорджа Оруэлла! Это огромный шаг вперед за пределы камер наблюдения, к которым люди уже привыкли и зачастую могут обнаруживать их визуально. Здесь же конечные пользователи могут даже не понимать, что за ними следят (что уже само по себе ужасно). К настоящему моменту пользователи Интернета успели хорошо познакомиться с cookies и другими тайными способами слежения за веб-серферами и добычи информации о них.

Однако cookies не могут следить за пользователями, если те не находятся сейчас в Интернете. То же самое относится и к устройствам Wi-Fi с функциями SENS. Но с учетом того, что сейчас в мире насчитывается 542 млн публичных точек доступа Wi-Fi, не говоря уже о миллиардах частных точек доступа в домах и офисах, разбросанных по всему миру, нельзя чувствовать себя в безопасности, даже если вам кажется, что так оно и есть.

«Влияние, которое окажет IEEE 802.11bf на наше общество, переоценить невозможно, – считает Рестуччиа. – Когда в 2024 году работа над 802.11bf окончательно завершится, Wi-Fi перестанет быть стандартом исключительно для связи и превратится в полноценную парадигму зондирования».

Таким образом, у человечества остается всего лишь чуть больше трех лет до того момента, когда Wi-Fi соединения начнут шпионить за нами.

Интернет вещей (IoT) — это больше, чем просто следующая ступень технического развития. Для многих компаний IoT — ценный источник данных, которые можно использовать, чтобы получить информацию о происходящих в бизнесе процессах, операциях и поведении клиентов. У Интернета вещей есть потенциал обнаруживать и устранять неэффективно работающие компоненты, находить новые источники дохода и многое другое — реальный экономический потенциал для тех, кто способен разработать IoT-решение, реализовать его и обеспечить возврат инвестиций.

Однако важнейшим аспектом для реализации этого потенциала является безопасность. По мере того, как растет сеть и увеличивается вариативность и сложность подключенных к ней устройств, организации сталкиваются с необходимостью защитить эту быстро расширяющуюся и подверженную атакам структуру. Если не взять ситуацию под контроль, компаниям будет проблематично использовать преимущества и возможный рост эффективности, которые делают инвестиции в IoT выгодными.

Конечно, ИТ-команды не первый раз встречаются лицом к лицу с проблемой обеспечения безопасности, связанной с использованием мобильных телефонов, ноутбуков, планшетов — рост популярности концепции BYOD и удаленной работы способствуют подключению огромного числа различных мобильных устройств к корпоративной среде. И решение, которое мы уже использовали, чтобы решить проблему, ровно то же самое, что и сейчас — три простых шага к обеспечению безопасности сети.

Шаг 1. Начните с мониторинга

Если говорить кратко – нельзя защитить то, чего не видно. Прежде чем вы перейдете к другим шагам, чрезвычайно важно точно определить, какие устройства подключены к вашей сети, кто ими управляет, как и почему они подключаются к ней. Помимо контроля за «белыми» устройствами стоит обратить внимание на «теневые» IoT-устройства, которые сотрудники подключают к сети без информирования ИТ-команды или принятия необходимых мер предосторожности, — это тот вопрос, над которым тоже надо подумать.

Традиционно процесс идентификации был достаточно простым и понятным: ИТ-службы работали с небольшой группой устройств, используя хорошо отработанные схемы; затем они выполняли профилирование, чтобы указать права каждого пользователя или устройства в сети, что он имеет право делать, а что — нет. Однако сегодня, когда многие современные устройства созданы на базе типового аппаратного оборудования и ПО или разработаны малоизвестными вендорами, которые не придерживаются общепринятых стандартов, обнаружение, профилирование и идентификация таких устройств становится более и более сложным. Как можно создать надежный профиль и обеспечить бесперебойность операций, если не получается определить, что за устройство перед вами и является ли оно источником угроз?

Ответ — направить силы на изучение контекста и машинное обучение. Если вы не уверены в том, что можете точно определить, какое устройство использует сеть, то вместо этого стоит обратить внимание на его «поведение». Часто совокупный анализ того, какие протоколы использует устройство, а также к каким данным, приложениям или URL-адресам оно запрашивает доступ, является единственным способом обрисовать общую картину, что перед вами за устройство и является ли оно вредоносным.

Шаг 2. Внедрите искусственный интеллект, чтобы обеспечить автоматическое применение политик

Искусственный интеллект также важен на следующем этапе защиты IoT — на этапе применения политик. Современным ИТ-службам необходима комплексная система контроля доступа, чтобы наблюдать за устройством с момента его подключения к сети. Однако учитывая огромное число подключенных устройств, ручное вмешательство уже не применяется на практике: устройства IoT часто функционируют круглосуточно, а некоторые приборы могут подключаться к сети в любое время для выполнения какой-либо задачи перед тем, как вернуться в спящий режим. Если кардиомонитор в больничной палате в три часа утра начнет передавать данные по сети через всю страну, то в реальности, при ручном управлении, шансов вовремя обнаружить передачу, поместить прибор на карантин и отправить его на проверку будет очень мало.

Внедрение искусственного интеллекта, с другой стороны, позволяет ИТ-службам разрабатывать политики, анализирующие контекст — роль пользователя, тип и местоположение устройства, статус сертификата, день недели, и каждый раз с их помощью быстро принимать правильные решения. Когда к сети подключается устройство IoT, которое проявляет подозрительную активность, то, благодаря последовательному применению политики в проводных и беспроводных сетях, его можно изолировать автоматически, отделив и обезопасив поток данных.

С помощью средств машинного обучения можно проанализировать журналы событий и данные устройств IoT по всей сети и определить базовые показатели их нормальной активности, такие, как аутентификация, удаленный доступ, внутренний доступ к особо важным ресурсам и пользованию облачными приложениями.

Шаг 3. Контроль подозрительной активности

Завершив предыдущие этапы и позволив устройству подключиться к вашей сети, нельзя просто оставить его без присмотра. Создать и корректно применить соответствующую политику доступа можно, только ведя непрерывный мониторинг сетевой активности. Мониторинг, профилирование и анализ данных — это то, без чего невозможно обеспечить безопасность сети, аутентифицировать данные, а также обнаружить новые поведенческие шаблоны и уязвимости.

Даже если устройство сейчас выглядит безобидно, в будущем ситуация может измениться. Вот почему стоит отслеживать состояние опознанных устройств на предмет нетипичных активностей или попыток получить доступ к различным сетевым компонентам. Ландшафт угроз меняется постоянно, так что, к сожалению, эта работа не завершится никогда.

На страже революции IoT

Наступление эпохи Интернета вещей может в корне изменить критически важные бизнес-приложения. Не стоит отказываться от предлагаемых ими возможностей из-за сопутствующих рисков — вместо этого нужно планировать, адаптироваться, учиться и строить защиту. Выполнение этих условий необходимо, чтобы реализовать огромный потенциал IoT.

Выстраивая комплексную систему мониторинга с привлечением средств машинного обучения и ИИ, ИТ-службы смогут действовать на опережение и уменьшить растущее число рисков, с которыми сталкивается бизнес. Безопасность должна стать не барьером, а фундаментом в применении Интернета вещей.

Автор — Ека­тери­на Крав­ченко, ру­ково­дитель де­пар­та­мен­та се­тевых про­дук­тов Aruba, Hewlett Packard Enterprise в России

Одной из болевых точек сферы информационной безопасности является разрозненность специализированных инструментов. Им не хватает связности, позволяющей объединить получаемую информацию и обеспечить ее эффективное использование. В компании «Энджиар Софтлаб» — стартапе, занимающемся разработкой программных продуктов, создали решение Dataplan, способное значительно усилить базовый функционал решений по информационной безопасности и других информационных систем. С его помощью получается выявлять аномалии в данных и предоставлять доказательную базу при проведении расследований. Айк Татевосян, руководитель отдела аналитических систем «Энджиар Софтлаб» и претендент на премию CDO Award 2020, рассказывает о предпосылках и истории создания этого решения.

- Что наблюдается на рынке систем информационной безопасности, почему пришли к желанию разработать решение?

В любой крупной компании используется огромное количество разрозненных ИБ-решений: сетевые экраны, антивирусы, решения для предотвращения утечек (DLP), системы управления событиями информационной безопасности (SIEM) – каждая со своими результатами работы. В комплексе этих данных сложно найти какую-то закономерность и понять, что из них является инцидентом, где именно произошло нарушение.

Часто единым центром компетенций и обработки информации выступали SIEM. Но у них есть свои недостатки – например, они работают в рамках одного оперативного дня, и из-за этого для них характерно отсутствие причинно-следственной связи между событиями и возможности ретроспективного анализа. Решение инцидентов напоминает латание дыр без устранения причин их появления.

Мы считаем, что правильным и полезным является объединение нескольких источников данных: ИБ-решений и других компонентов ИТ-инфраструктуры: операционных систем, систем хранения данных, баз данных и т.д. Для решения этой задачи мы попытались собрать необходимый технологический стек, чтобы выявлять аномалии в данных, которые невозможно описать условными правилами. Когда мы подбирались к решению этой задачи, то поняли, что любая аналитика должна основываться на каких-то сущностях. Для нас такой сущностью стал пользователь, совершающий действия, поэтому целью стало построение профилей поведения пользователей.

- Что в самых общих чертах представляет собой продукт?

Dataplan – это аналитическая платформа для работы с большими данными и с возможностью применения машинного обучения. Ее первой практической областью применения стала сфера безопасности, где она позволяет сократить время работы аналитиков на принятие решений. Время реакции в ИБ – самый дорогой ресурс, а сокращение времени реакции на инциденты – это сохранение репутации и денег.

- Таких решений нет на рынке? Неужели никто до этого не додумался?

На зарубежном рынке есть решения класса User Behavior Analytics (UBA), позволяющие проводить поведенческий анализ деятельности пользователей. UBA-решения иностранных вендоров, представленные в России, имеют довольно высокую ценовую планку. Поскольку российский рынок ИБ невелик, то вложить несколько миллионов долларов в решения, эффект от которых не всегда ощутим, мало кто готов – такие инвестиции очень трудно обосновать.

Среди отечественных решений аналогов практически нет, но есть довольно много стартапов, пытающихся работать в этом направлении, и мало компаний, которые уже что-то разработали. Кроме того, часто у заказчиков работают собственные команды data science, но речь идет о разовых проектах, и цель по созданию законченных решений им не ставится.

Есть DLP-системы, в которых заявлено машинное обучение, но оно замкнуто в рамках конкретного решения. Мы пытаемся строить универсальный продукт, который можно подключать к неограниченному числу систем и не замыкаться в рамках одной платформы. Наша цель состоит в том, чтобы анализ был основан на действиях пользователя и на дополнительных факторах: его должности, подразделении, рабочей станции, приложениях, в которых он работает. После комплексной интегральной оценки можно более уверенно выявить пользователей, чье поведения является аномальным и, возможно, требующим проведения расследований.

- Что стало отправной точкой для создания системы?

История началась с того, что у одного из крупных заказчиков приобретенная зарубежная платформа «не взлетела». Ее долго настраивали, обновляли, потратили на это массу средств, но ситуация была далека от идеала.

Интегратор хотел закрыть работы и предоставить заказчику обещанный результат и доверил нам доработку решения. Тогда у нас и получился свой расширенный UBA, позволивший «приземлить» платформу и удовлетворить потребности заказчика. Клиент остался доволен, но надо понимать, что это были «костыли» — полученное решение не выглядело как конечный продукт, хотя и решало проблемы.

После решения этой задачи у нас сформировался определенный технологический стек, а также понимание сценариев, которые возможно реализовать с помощью полученной платформы. Мы увидели в созданном продукте самостоятельную ценность. Сейчас мы его завертываем в красивую обертку и делаем тиражируемым.

- Что представляет собой созданное решение с технической точки зрения?

На текущий момент архитектура решения достаточно сложная, в связи с чем мы разделяем ее на четыре основных компонента.

Первый (Dataplan Processing) является компонентом, отвечающим за сбор, фильтрацию, агрегацию и нормализацию событий. С его помощью данные приводятся к единому формату для создания витрин данных, с которыми можно вести аналитическую работу.

Второй (Dataplan Storage) отвечает за высокоэффективное распределенное хранение данных, предназначенное для онлайн обработки аналитических запросов (OLAP). Речь идет о больших данных, порядок которых при пиковой нагрузке достигает 100 тыс. событий в секунду, поступающих в среднем на боевые инсталляции системы. Вопрос архитектуры обсуждается с заказчиком и отчасти зависит от его потребностей.

Третий компонент – аналитика (Dataplan Analytics). Машинное обучение реализовано на скриптах языка Python.

Наконец, созданные модели отображаются с помощью компонента Dataplan Visualization, представляющего собой BI-инструментарий. Это рабочее место специалиста, которое является инструментом поддержки принятия решений и реализует визуализацию ключевых метрик и показателей результатов аналитики.

- На каких компонентах построена система?

Практически все инструменты, которые брались за основу, являются open source. Во-первых, в ходе создания решения решалась вполне конкретная задача, требовалось сделать «дешево и сердито». Во-вторых, в область открытых решений сейчас смещается политика очень многих компаний.

- Какую роль вы выполняете в компании?

В рамках компании выступаю в роли владельца продукта Dataplan. Являюсь евангелистом использования больших данных в общении с заказчиками, выявляю кейсы и продумываю их решение.

Мой типичный рабочий день – выезд к заказчику, проведение пресейлов и презентаций, выявление потребностей, попытка интерпретации бизнес-задач в технические задачи, оценка сроков, а также координация работы моей команды, донесение до неё новых планов по развитию продукта и отзывов о результатах командной работы.

Главный KPI, за который мне приходится отвечать перед руководством – удовлетворенность заказчика решением.

- Потребность в подобных решениях высока?

Конечно же, мы оценивали потребности рынка, собирали пожелания других заказчиков. Одна из них – автоматизация работы аналитиков, работающих с системами безопасности. Им важно понимать причинно-следственные связи, выявлять сложные сценарии атак. Например, вирусное заражение, которое антивирус может обнаруживать изо дня в день, каждый раз успешно его зачищая. Но сама проблема находится в автозагрузке, которая его порождает. Классические системы работают в реальном времени, им катастрофически не хватает ретроспективной аналитики, в том числе встроенных алгоритмов машинного обучения.

Изучив потребности потенциальных заказчиков, мы поняли, что задачи в области ИБ принципиально ничем не отличаются от бизнес-задач, часто стоящих перед компаниями. Случалось, и так, что мы предлагали решение офицерам информационной безопасности, а те приглашали руководителей проектов и бизнес-аналитиков и демонстрировали им возможности платформы. Поэтому мы уже перепозиционировали решение с первоначального UBA на xBA, где x – классическая неизвестная из математики, поскольку нам не важно, какая именно сущность будет подаваться на вход системы.

- Готовы ли компании тратить деньги на это?

Компании понимают, что в центре всего стоит человек, и именно поэтому тема поведенческой аналитики в ИБ начала так хорошо «заходить». Именно действия сотрудников – преднамеренные или нет – наносят наибольший ущерб, и это факт.

Так, например, наш продут помог сети московских кафе выявить сотрудников, причастных к махинациям с картами лояльности, когда при оплате счета наличными часть суммы оплачивалась баллами с карты лояльности сотрудника, а экономия уходила в карман недобросовестных сотрудников кафе.

Компаниям нужны системы поддержки принятия решений. Дефицит квалифицированных кадров – проблема, но еще хуже, что у имеющихся специалистов нет инструментов для анализа данных, упрощения и ускорения своей работы и обоснования своих действий. У компаний накопились данные за длительное время, и они хотят извлекать из них пользу.

- С какими проблемами пришлось столкнуться? Обычно это данные…

Да, качественные и хорошо подготовленные данные – мечта любого дата-сайентиста, позволяющая избавиться от рутины и заняться творчеством. Общая проблема заключается в том, что когда компания занимается сбором данных, то далеко не всегда понимает, зачем. Как следствие, данные хранятся обрывочно, они далеко не полные, и их нормализация может занимать много времени. Даже если мы видим, как задачу можно решить, часто оказывается, что нужных данных просто нет. Мы предлагаем включить сбор данных из необходимых источников хотя бы на пару месяцев и возвращаемся, когда нам есть с чем работать.

Кроме того, в сфере ИБ так повелось, что люди изначально не слишком доверяют и друг другу, и новым решениям. Часто заказчики предлагают нам пробные задания, не описывая конкретной задачи. Например, речь может идти о поиске в предоставленных данных каких-либо аномалий. Если наши выводы подтверждают имеющиеся факты, компания идет на диалог.

- То есть речь идет об обучении без учителя?

Нынешняя ситуация в нашей сфере – любые алгоритмы машинного обучения изначально должны обучаться без учителя и показать какой-то результат. Когда к заказчикам приходят с терминами big data, machine learning и обещают показать новые знания, естественным желанием является их проверить. К математическим «фокусам» привыкли относиться с недоверием.

Но дело не только в недоверии, но и в том, что компании сами понимают, что могут не обо всем знать. Парадигма остается прежней: специалист должен быть экспертом в области безопасности, глубоко понимать процессы, чтобы уметь интерпретировать имеющиеся данные. Однако от этой парадигмы мы отходим и пытаемся показать, что алгоритмы машинного обучения сами могут «подсветить» любые аномалии, а задача человека – дать заключение по ним. Чем больше человек будет работать в системе и принимать решения в ней, тем «умнее» будут становиться модели, обучаясь на действиях пользователя.

- Каких результатов позволяет добиться решение?

По внешним угрозам – выявление компрометации учетных записей и активов, утечек критичных данных и эксплуатации уязвимостей. По внутренним угрозам – злоупотребление выданными правами, инсайдерская деятельность, несоответствие используемых учетных записей. Однако эти эффекты могут видоизменяться в зависимости от специфики заказчика и его процессов. В одном из госучреждений в ходе пилотного проекта удалось выявить пользователей с аномальными правами доступа в результате их перемещений между подразделениями и рекурсивные вирусные заражения, когда из-за одного компьютера заражался весь сегмент сети.

Что касается ускорения работы аналитиков, то тут эффекты слишком индивидуальны. Зачастую речь идет о том, что некоторые из действий становятся принципиально возможными. В одном из крупных ретейлеров в день создавалось по 10 тыс. инцидентов безопасности по каждому из сценариев, и таких сценариев были сотни. Фактически речь шла о ручной обработке этих событий, что невозможно. Мы автоматизировали процесс проверки этих инцидентов.

Пробиваясь к заказчикам со своими пилотами, мы показали коммерческую ценность своих решений. У нас есть 20 клиентов, довольных проведенными пилотными проектами, пятеро из них уже готовы начать полноценное внедрение. В 2020 году начнется активное масштабирование наших решений. Про какие-либо конкретные цифры можно будет говорить позже.

- А в реальном времени какие-то задачи решаются?

У нас были пилоты, в которых это требовалось. Но мы совершенно точно не считаем это своей главной задачей. Ретроспективный анализ приносит больше пользы и имеет гораздо больший «вау-эффект» для заказчиков. И что немаловажно, эта ниша на рынке сейчас гораздо свободнее.

- В каком направлении будет развиваться платформа Dataplan?

Направлений для развития возможностей платформы очень много, на текущий момент мы активно прорабатываем функциональный модуль, основанный на прогнозном мониторинге (predictive monitoring).

Также есть исследовательские работы и попытки выход за пределы ИБ. Одна из ближайших перспектив – HR как наиболее понятная и близкая нам тема, в разрезе задачи по оценке персонала. Если подойти к своим специалистам с популярной оценкой «360 градусов», которую применяют к клиентам, можно получить массу полезных результатов. Например, оцифровывая входящих кандидатов и понимая, что собой представляет коллектив, получится подбирать более сплоченную команду.