Предыдущая серия

Теперь #проибэ (ну, или вы так думаете)

Наличие аттестатов и сертификатов говорит ровно о том, что на момент получения заветной бумажки компания соответствовала некоторым требованиям, и это было проверено внешним аудитором. Какие-то сертификации уважают на рынке больше, какие-то меньше. Какие-то из нии нужны для получения некоего преимущества перед конкурентами (см. Uptime Institute), без других нельзя работать с определёнными категориями клиентов (PCI-DSS/152ФЗ). Но практически всегда это дело добровольное, и бизнес идёт на затраты, связанные с получением заветной бумажки ради потенциальной выгоды.

При этом, как наличие у сетевого инженера сертификата CCNP ничего не говорит о его опыте и способности работать в реальных условиях, так и наличие, например, аттестата ФСТЭК по 152ФЗ ничего не говорит об устойчивости компании ко взлому. Кроме этого, аттестация что по PCI-DSS, что по 152ФЗ имеют внутри себя классификацию, т.е. есть несколько уровней с разными требованиями для обработки данных с разной степенью чувствительности. Ну и ещё один, не всегда очевидный момент - аттестуется (как правило) не вся инфраструктура целиком, а определённый сегмент - потому что так проще/дешевле, да и удобнее для всех.

Что касается общего уровня ИБ (причём как в хостерах, так и в телекоме) то он, по моим наблюдениям, очень разный, но в среднем гораздо ниже, чем в тех же банках. И объясняется это достаточно просто:

  • Клиенты, в большинстве своём, не платят за безопасность. Им нужна дешёвая/быстрая виртуалочка, красивый сайт, прозрачная тарификация и грамотная техподдержка. Клиент, с одной стороны, искренне считает, что у хостера "всё хорошо", с другой - не собирается это проверять и не хочет платить дополнительные деньги за "усиленную защиту", считая это разводом. Причём это и про ИБ и про резервирование работает примерно одинаково.

  • Регулятор предъявляет требования по контролю (СОРМ/Яровая и т.д.) и прозрачности, а так же по выполнению собственных требований и сотрудничеству в случае инцидентов с органами (МВД/ФСБ/НКЦКИ), плюс требования в разрезе КИИ - но к хостерам это пока не относится, да и к провайдерам тоже лишь местами.

  • Ну а раз клиенты платить не хотят, а регулятор не требует, то откуда взяться зрелым ИБ процессам? Тем более что маржа далеко не заоблачная, инфраструктура большая, и "лишних" денег на ИБ попросту нет. Ограничиваются (обычно) базовыми практиками вроде разделения прав, vpn для доступа к внутренним ресурсам и накаткой важных обновлений. Не подумайте, я не хочу сказать, что всё совсем плохо. Но точно далеко от идела.

Ну и наконец джокер во всей этой истории. Если раньше взлом любой большой инфраструктуры был делом муторным и долгим, а хостеры и провайдеры - неприоритетной целью (на фоне бирж, банков и игровых компаний), то с безумным по скорости развитием нейросеток ситуация изменилась кардинально. Теперь разведка проводится за часы, а взлом - за минуты. И стоит это чрезвычаной дёшево.

#thereisnoclouds #russian_hosting @snakeslair

В этом посте были ссылки, но мы их удалили по правилам Сетки