История искусства информационной безопасности и её верных слуг

Привет! На связи Сергей Кубан, руководитель направления защиты инфраструктуры производства ПО в СберТехе. Наша команда отвечает за то, чтобы поставляемое клиентам ПО и сервисы соответствовали требованиям кибербезопасности.

В прошлом году я отметил 25 лет профессиональной деятельности в области информационной безопасности (ИБ). За это время мне посчастливилось работать в компаниях «Силовые машины», IBM, «Банк Санкт-Петербург», «Водоканал Санкт-Петербурга», «Транснефть». Сегодня я хотел бы рассказать об истории развития ИБ и тех, кто делал эту историю — о специалистах-кибербезопасниках.

В своих выступлениях на конференциях я часто провожу аналогии между ИБ, военным и художественным искусством. В этой статье также позволю себе подобные аналогии. По своему опыту опишу этапы развития ИБ: популярные технологии, средства защиты информации (СЗИ), законы, ассоциации с искусством. И отмечу евангелистов ИБ, которые активно участвовали в формировании отрасли, организации и работе профессиональных сообществ и конференций, бескорыстно делились знаниями, вели блоги, учили школьников и студентов.

Это не академическое изложение и не рейтинг, а мой личный взгляд на отрасль, основанный на опыте. Поэтому все упоминания субъективны и не претендуют на полноту.

1. Возрождение (1988–2000)

Эпоха, связанная с началом формирования законодательства РФ по ИБ, появлением первых средств защиты информации и первых специалистов по ИБ в коммерческих и других организациях. Можно сказать, что отрасль в этот период — как младенец на картине Рафаэля «Сикстинская Мадонна».

Чтобы каждый исторический этап развития ИБ обрёл визуальный образ, я обратился к возможностям искусственного интеллекта. Он помог провести параллели между искусством и технологиями: все изображения в статье — генеративные вариации на тему классических полотен, переосмысленные через призму ИБ.

В этот период ИТ-специалисты начали сталкиваться с вредоносными программами и боролись с ними первыми антивирусами. Громкие инциденты за рубежом: заражение около 6 тыс. компьютеров «червём Морриса» (1988), похищение Кевином Митником около 20 тыс. номеров кредитных карт (1995), взлом Citibank и кража 10 млн долларов командой хакеров Владимира Левина.

Появилась также первая литература, которая лично мне помогла в начале профессии: например, «Компьютерная вирусология» Н. Безрукова.

ИТ-технологии

• Мейнфреймы ЕС ЭВМ, персональные ЭВМ: IBM PC/XT процессор серии x86 (8086), Искра-1030, ЕС ПЭВМ.
• Операционные системы:
  - MS-DOS → Windows 3.x → Windows 9x → Windows NT
  - Novell NetWare
• «Телефонный» dial-up интернет.

Средства защиты информации

• Антивирусное ПО: антивирус Касперского, Aidstest Лозинского — предшественник Dr. Web.

Законодательство

• Федеральный закон от 2 декабря 1990 г. N 395-1 «О банках и банковской деятельности».
• Руководящий документ Гостехкомиссии. Автоматизированные системы. Защита от несанкционированного доступа к информации. Классификация автоматизированных систем и требования по защите информации.
• Руководящий документ Гостехкомиссии. Средства вычислительной техники. Защита от несанкционированного доступа к информации. Показатели защищенности от несанкционированного доступа к информации.
• Закон РФ от 21 июля 1993 г. N 5485-1 «О государственной тайне».
• Положение о государственном лицензировании деятельности в области защиты информации.
• Положение о порядке обращения со служебной информацией ограниченного распространения в федеральных органах исполнительной власти.
• Положение о лицензировании деятельности предприятий, учреждений и организаций по проведению работ, связанных с использованием сведений, составляющих государственную тайну, созданием средств защиты информации, а также с осуществлением мероприятий и (или) оказанием услуг по защите государственной тайны.
• Положение о сертификации средств защиты информации.
• Руководящий документ Гостехкомиссии. Средства вычислительной техники. Межсетевые экраны. Защита от несанкционированного доступа. Показатели защищенности от несанкционированного доступа к информации.
• Указ Президента РФ от 6 марта 1997 г. N 188 «Об утверждении Перечня сведений конфиденциального характера».
• Руководящий документ Гостехкомиссии. Защита от несанкционированного доступа к информации. Часть 1. Программное обеспечение средств защиты информации. Классификация по уровню контроля отсутствия недекларированных возможностей.
• Доктрина об информационной безопасности РФ.

2. Романтизм (2000–2003)

В этот период ещё не было достаточного законодательства по ИБ и методических документов. Поэтому первые «романтики»-специалисты ИБ руководствовались собственными наработками. Они создавали системы защиты информации по своему усмотрению, методом проб и ошибок. Как герой картины Каспара Давида Фридриха «Странник над морем тумана», который пытается сквозь туман неопределённости выразить ощущение связи между близким и далёким, конечным и бесконечным.

Можно в шутку сказать, что при недостатке законодательства по ИБ в это время действовали только законы Мерфи Алексея Лукацкого, а методическим подспорьем была его книга «Обнаружение атак».

Начали появляться учебные центры по подготовке специалистов ИБ, проводили первые семинары и конференции. Старейшие учебные центры в РФ, созданные в этот период — «Учебный центр «Информзащита» и «Академия Информационных Систем».

ИТ-технологии

• RISC-процессоры, ОС: Solaris, Linux, Windows 2000, Windows XP.
• Широкополосный интернет.

Средства защиты информации

• Средства защиты от НСД: Secret Net, Dallas Lock.
• Развитие технологий сетевых и хостовых IPS: решения компании Internet Security Systems.
• Зарождение учебных центров подготовки специалистов ИБ.
• Развитие антивирусного ПО: Лаборатория Касперского, Dr.Web, Norton Antivirus.

Законодательство

«Законы Мерфи для информационной безопасности», Алексей Лукацкий (шутка!)

Личности

• Алексей Лукацкий
• Сергей Петренко
• Петр Зегжда
• Дмитрий Зегжда

Мои выводы:

1. Как строить отношения с ИТ и экономической безопасностью:
   - помогать решать задачи экономбезопасности с использованием СЗИ и ИТ-технологий, в том числе в инициативном порядке;
   - знать основные бизнес-процессы компании;
   - знать ИТ-инфраструктуру, её уязвимости и векторы атак;
   - повышать уровень знаний ИТ-технологий, говорить с ИТ на одном языке;
   - помогать ИТ в реализации проектов: анализировать риски и доводить до руководства, обосновывать кадры, бюджеты и необходимость проектов;
   - защищать ИТ-специалистов от неверных административных решений, переманивания подрядчиками и прочего.
2. Верить ИТ-подразделениям нужно осторожно, даже если слышите «у нас с ИБ всё хорошо» и «все патчи установлены». Доверяй, но проверяй.
3. Важно найти баланс между ИБ, ИТ и бизнесом.
4. Законы Мерфи от Лукацкого работают:
   - Если вас можно атаковать — вас атакуют (следствие основного закона Мерфи).
   - Не заявляйте о своей неуязвимости — всегда найдется тот, кто докажет обратное.
   - Из всех атак случится именно та, ущерб от которой больше всего.
   - Если в вашей сети всего один непропатченный сервер — именно через него начнётся эпидемия.
   - Следствие: как только вы отлучитесь на пять минут, ваш начальник не сможет скачать файл из-за настроек межсетевого экрана.
   - Система защиты заблокирует вашему начальнику доступ в сеть именно в тот момент, когда он думает об увеличении вашей зарплаты.

3. Академизм (2004–2012)

Бурно развиваются ИТ-технологии, СЗИ, появляются важные законы для сферы ИБ. Это даёт начало большому направлению «бумажной безопасности», особенно в сфере защиты персональных данных и коммерческой тайны. Большим успехом стали пользоваться технические средства защиты от утечек, системы обнаружения атак (IDS, IPS), решения для электронной подписи и криптографии (VPN, PKI). Продолжают совершенствоваться антивирусные программы.

В этот период на смену хакерам-одиночкам пришли хакерские криминальные и проправительственные группировки. Они стремились монетизировать результаты своих атак или нанести иной ущерб. Это привело к следующим инцидентам:

• Рост и коммерциализация программ-вымогателей (ransomware).
• Появились программы, нарушающие работу оборудования (в 2010 г. вредонос Stuxnet поразил промышленные контроллеры Siemens на ядерных объектах в Иране).
• Появились программы, блокирующие бизнес DDoS-атаками (атаки группировки Anonymous на Visa, Mastercard и PayPal в 2010 г.).

Компании, не уделяющие должного внимания защите, рисковали получить плачевный результат — своеобразный «Последний день Помпеи».

В этот период вузы начали развивать специализации и готовить специалистов по информационной безопасности. Коммерческие и государственные компании впервые прошли проверки по ИБ и обработке персональных данных со стороны регуляторов.

ИТ-технологии

• RISC-процессоры, ОС: Solaris, IBM AIX, IBM zOS, Windows 7, Windows Server 2003–2012.
• ERP SAP, веб-сервисы, системы электронного документооборота, виртуализация.

Средства защиты информации

• Internet Security Systems (позднее её приобрела IBM) и комплексные решения Cisco Systems: межсетевые экраны, хостовые и сетевые IPS, Endpoint Security, веб-фильтрация, сканер уязвимостей.
• Антивирусные решения: Лаборатории Касперского, Symantec, McAfee, Trend Micro.
• DLP-системы: Device Lock, InfoWatch, Lumension, Websense.
• ПО для электронной подписи, PKI, удостоверяющих центров: КриптоПро, Алладин Р.Д. и др.
• Решения для защиты веб-приложений: IBM Tivoli IAM, IBM DataPower, IBM AppScan, Oracle IAM.
• VPN-решения и межсетевые экраны: Континент, ViPNet, С-Терра.
• Решения IDM: IBM Tivoli Identity Manager, Oracle IDM, Microsoft IDM.

Законодательство

• ФЗ от 27.07.2006 г. №149-ФЗ «Об информации, информационных технологиях и о защите информации»
• ФЗ от 29.07.2004 № 98-ФЗ «О коммерческой тайне»
• ФЗ от 27 июля 2006 г. № 152-ФЗ «О персональных данных»

Личности

• Юрий Малинин
• Алексей Лукацкий
• Михаил Емельянников

Мои выводы:

1. «Бумажная безопасность» — 80% успеха, 20% — техническая. Лучшая практика — внедрение системы менеджмента по информационной безопасности (СМИБ) по ISO 27001. В моём случае это позволило существенно повысить осведомлённость сотрудников в области ИБ, повысить доверие клиентов, обосновывать перед руководством затраты на ИБ, выстраивая защиту активов с учётом рисков. Результаты внедрения СМИБ позволили также качественно подготовиться к многочисленным проверкам регуляторов — ФСТЭК и Роскомнадзора — и пройти их без нарушений.
2. Работа в ИТ-компании-разработчике ПО и сервисов по ИБ (IBM Восточная Европа/Азия) — колоссальный опыт:
   - публичные выступления, подготовка презентаций, участие в форумах и конференциях по ИБ, навыки командной работы;
   - возможности для развития;
   - приобретение полезных связей;
   - знакомство с регионами РФ и СНГ;
   - понимание потребностей заказчиков из разных отраслей.
3. Делитесь знаниями с подчиненными, коллегами, студентами. Помогайте им в работе и не только. Включайтесь в работу профсообществ ИБ (RISC и др.), ведите блог, выступайте на конференциях.

4. Реализм + Модерн + Сюрреализм (2012–2025)

Реализм в привязке к ИБ — это острая необходимость как можно «точнее и объективнее изображать действительность», связанную с атаками, с помощью SIEM и иных аналитических систем, использовать подходы по моделированию угроз ФСТЭК и MITRE ATT&CK.

Модерн — формируются новые классы ИБ-решений: SIEM, IRP, сетевые песочницы, почтовые шлюзы, средства защиты АСУ ТП и DevSecOps, а также достаточно зрелые MSSP-услуги ИБ: SOC, AntiDDoS, WAF, пентесты, киберучения.

Сюрреализм — «совмещение сна и реальности». Нагрузка на кибербезопасников возросла в разы: кажется, что работаешь 24/7, и ИБ уже снится. Огромный импульс этому периоду дал закон №187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» и подзаконные акты ФСТЭК и ФСБ как для «бумажной безопасности», так и для развития ИТ-технологий и СЗИ.

В начале 2020-х годов компании-субъекты критической инфраструктуры РФ начали импортозамещать ИТ и системы защиты информации, приводить СЗИ в соответствие требованиям №187-ФЗ. Значительно усилилось законодательное регулирование отрасли, увеличились атаки на инфраструктуры компаний (Wanna Cry, NotPetya) и утечки. Это тяжким бременем легло на плечи кибербезопасников: они, словно бурлаки на Волге, тянут тяжёлый корабль под названием «Кибербезопасность». Появились публикации про профессиональное выгорание специалистов ИБ.

ИТ-технологии

• ОС Linux, open source, облачные и микросервисные технологии, веб-сервисы, мобильные приложения, DevSecOps, решения для удаленной работы и удаленного доступа, ИИ-технологии.

Средства защиты информации

• Эра SIEM: ArcSight, Splunk, IBM QRadar, MaxPatrol SIEM, KUMA Лаборатории Касперского.
• IRP: R-Vision, Security Vision.
• Анализ защищенности: MaxPatrol VM, Nessus, RedCheck.
• Защита АСУ ТП: KICS Лаборатории Касперского, InfoWatch, Positive Technologies.
• MSSP-услуги: SOC, AntiDDoS, WAF, пентесты, киберучения и др., Bi.ZONE, Solar, Curator, Angara Security, Security Vision.
• СЗИ для DevSecOps и контейнерной инфраструктуры: Luntry, Kaspersky Container Security.
• Решения для привилегированного доступа: СКДПУ НТ, Indeed PAM, BI.ZONE PAM.
• Решения для защиты конечных устройств Endpoint Security, EDR: Kaspersky EDR+Endpoint Security, Bi.ZONE EDR.
• NGFW: Cisco, Check Point, PaloAlto Networks, Fortinet, UserGate.
• Сетевые песочницы: Cisco, Check Point, PaloAlto Networks, Fortinet, PT Sandbox, Kaspersky.
• DLP: InfoWatch, Стахановец, SearchInform, Solar Dozor.
• Большой класс open source СЗИ для CI/CD и решений для защиты облачных инфраструктур.

Законодательство

• ФЗ от 26 июля 2017 г. №187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» и все подзаконные акты ФСТЭК России, ФСБ России

Личности

• Валерий Комаров
• Денис Батранков
• Андрей Прозоров
• Павел Луцик
• Рустэм Хайретдинов
• Андрей Масалович 
• Екатерина Старостина
• Мария Сидорова
• Михаил Емельянников
• Юрий Малинин
• Алексей Лукацкий
• Сергей Борисов
• Ксения Шудрова
• Антон Шипулин

С уходом зарубежных вендоров в 2022 году многие компании остались без надёжных решений для защиты веб-приложений и сервисов класса IAM, IDM, защиты API. Отечественные производители практически не разрабатывали их. В этот период СберТех начал писать свою историю создания средств защиты информации. В кратчайшие сроки компания разработала и внедрила у заказчиков комплексные решения:

• для защиты веб-приложений, в том числе с использованием сертифицированных ФСТЭК продуктов,
• для защиты объектов КИИ по закону №187-ФЗ и Указу №250,
• для систем персональных данных по законодательству РФ об обработке и защите персональных данных.

Я уже упоминал, что работал в IBM, а также с другими зарубежными вендорами по ИБ. Это даёт мне возможность сравнить подходы производства и поставки программных продуктов. В чём достоинства подходов СберТеха:

• функциональность решений в целом не уступает зарубежной, а иногда и превосходит;
• выше скорость внедрения решений;
• выше удовлетворённость заказчиков и партнёров;
• лучше техподдержка;
• выстроено взаимодействие с регуляторами;
• есть сертификация ФСТЭК продуктов и процессов безопасной разработки по ГОСТ Р 56939 «Защита информации. Разработка безопасного программного обеспечения. Общие требования».

Наши решения высоко оценили партнёры — российские разработчики СЗИ, они успешно встраивают их в свои продукты.

Мои выводы:

1. В этот период не раз вспоминались бессмертные слова из книги великого русского полководца А.В. Суворова «Наука побеждать», а также их аналогии с нынешними кибербаталиями:

Всё это помогло нам защититься от серьёзных атак: WannaCry, NotPetya и других.

2. Защита от выгорания:

• Автоматизация рутинных операций.
• Делегирование ответственности.
• Не гнаться за многозадачностью. Брать в работу одну-две задачи, погружаться в них и наслаждаться процессом.
• Гигиена коммуникаций. Избегать общения, которое не приводит к комфорту и развитию.
• Искать в работе творчество и развитие.
• Переключаться на отдых: заниматься спортом, чтением книг, изучением языков и т. п.

3. ИИ в кибербезопасности: начать изучать возможности злоумышленника по использованию ИИ для атак и возможности использования ИИ для противодействия им.

5. Постмодернизм (2025–настоящее время)

В постмодернизме есть направление — концептуальное искусство. В нём концепция произведения важнее формы, а цель искусства — в передаче идеи. Концептуальным объектом может быть фраза, текст, схема, график, чертеж, фотография, аудио или видео, инструкция. Классический образец — композиция «Один и три стула» (1965): стул, его фотография и описание предмета из словаря.

Эта эпоха в ИБ, пожалуй, будет характеризоваться тем, что и злоумышленники, и кибербезопасники будут максимально использовать возможности ИИ. В атаках с использованием ИИ форма не главное. Она может быстро и постоянно меняться — как и на картине «Один и три стула» стул и его фотография должны меняться с каждой новой экспозицией.

Важна сама идея атак, усиленная ИИ, с использованием разных «концептуальных объектов»: текста (фишинг), фото, аудио, видео (дипфейки), инструкций (атаки на цепочки поставок, эксплуатация уязвимостей). В этот период кибербезопасникам важно взять в помощь возможности ИИ (AI Security): фреймворки для управления безопасностью ИИ-систем, мультиагентные системы защиты и т. д.

ИТ-технологии

• Большие языковые модели: GigaChat, YandexGPT, Claude, GPT, Gemini, DeepSeek, Copilot и др.
• ИИ-ассистенты разработчиков (AI-IDE): GigaCode, Cursor, GitHub Copilot, Claude Code, Gemini Code Assist, JetBrains AI Assistant.
• ИИ-агенты и пр.

Средства защиты информации

• Platform V SOWA — шлюз для защиты ИИ-систем c встроенными AI-Guardrails: предотвращение промпт-инъекций и утечек данных.
• ProtectAI Guardian — аудит ML-проектов, поиск уязвимостей, управление безопасностью моделей.
• Giskard — тестирование моделей на bias и уязвимости.
• ART (Adversarial Robustness Toolbox, Trusted-AI) — библиотека атак/защит против adversarial input.
• Guardora — конфиденциальное обучение (privacy-preserving ML), защита тренировочных данных и алгоритмов.
• AppSec.GenAI — анализ защищенности ИИ-моделей, предотвращение промпт-инъекций и утечек данных.
• Lakera — мониторинг и защита LLM от промпт-инъекций.
• ModelScan (ProtectAI) — поиск уязвимостей в ML-моделях при релизе.
• Garak (NVIDIA) — фреймворк тестирования безопасности LLM.
• PyRIT (Azure) — проверка устойчивости ИИ-сервисов Microsoft.
• SimuStrike (Газинформсервис, LLM) — автоматизированный пентест (BAS) внешней и внутренней инфраструктуры, проверка защищённости окружения перед релизом модели.
• Guardora — безопасный инференс, защита каналов передачи данных, интеграция криптографических средств.
• LLamator — мониторинг поведения LLM, обнаружение аномалий и фильтрация вредоносных запросов.
• Guardrails.ai и NeMo Guardrails (NVIDIA) — политика безопасных ответов, ограничение поведения LLM.
• LlamaGuard — фильтрация токсичных и конфиденциальных запросов.
• Rebuff — обнаружение промпт-инъекций.
• ProtectAI и Cisco AI Validation — управление рисками и мониторинг моделей.
• HiveTrace — мониторинг поведения модели, выявление аномалий и атак во время работы.
• SimuStrike (BAS) — непрерывный сценарный тест (red-team и blueteam) для проверки защищённости инфраструктуры.
• AppSec.GenAI — анализ защищенности ИИ-моделей, предотвращение промпт-инъекций и утечек данных.
• Guardora — безопасное дообучение (finetuning) ML-моделей в контуре клиента без передачи конфиденциальных данных.

Законодательство

Формируется.

Методические документы:

• ГОСТ Р ИСО/МЭК 42001-2024 Национальный стандарт Российской Федерации. Искусственный интеллект. Система менеджмента
• Приказ ФСТЭК России №117
• Методика анализа защищенности информационных систем ФСТЭК России

Фреймворки

• MITRE ATLAS — каталог угроз и сценариев атак на ИИ-системы; используется для моделирования угроз и определения векторов атак на этапе проектирования.
• ISO/IEC 42001:2023 стандарт системы управления ИИ; требования к ответственному, безопасному и прозрачному использованию ИИ.
• NIST AI RMF модель управления рисками ИИ; принципы оценки, снижения и мониторинга рисков на всех этапах жизненного цикла.
• OWASP AI Maturity Assessment (AIMA) модель оценки зрелости безопасности ИИ, определяющая уровень процессов, рисков и защитных практик.
• Сбер: модель угроз для кибербезопасности ИИ — каталог ключевых угроз для ИИ-систем, используемый для оценки рисков и выбора мер защиты.
• Яндекс: AI Secure Agentic Framework Essentials (AI-SAFE) фреймворк для безопасной разработки ИИ-систем; включает чек-листы и практики по управлению рисками и защите данных.
• Swordfish: SAIMM-модель зрелости защищенности ИИ; предоставляет организациям единый ориентир и методологическую основу для оценки и повышения уровня безопасности в сфере ИИ.

Общие выводы

• Искусство ИБ — это мастерство, которое приносит эстетическое удовольствие тебе и коллегам, а злоумышленникам — досаду.
• Совершенствуй себя и других, совершенствуй ИБ, будь изобретательным.
• Как руководитель, распределяй обязанности по навыкам коллег: «от каждого по способностям, каждому по труду». Тогда результаты работы принесут им удовлетворение, а ИБ — эффективность.
• Формируй свою историю противоборства в киберпространстве, веди заметки:
  - Инциденты в своей организации: выводы, разборы — основа для Playbook и других мер защиты.
  - Мировые киберинциденты: векторы атак, IoC, статистика — основа для моделей угроз, рисков, киберучений, презентаций и пр.

Где лучше работать кибербезопаснику? Там, где:

• амбициозные, перспективные и понятные цели по ИБ;
• поддержка руководства;
• ИБ как продукт (свойство продукта): ПО и/или сервис;
• можно совершенствовать себя и отрасль;
• есть творческие задачи и минимум рутины.

Мы в СберТехе создаём в своей команде такую атмосферу, которая позволяет специалистам раскрывать себя в разных направлениях кибербезопасности.