Взял Open Source код – неси ответственность

28-29 апреля в Казани прошёл Russia Open Source IT Summit 2022 – новая деловая площадка, на которой в рамках круглых столов и дискуссий крупный бизнес, государство, IT-компании, разработчики отечественного софта и компании по кибербезопасности, встретились чтобы обсудить настоящее и будущее IT-индустрии и OSS-решений.

Возрастающее количество кибератак вызывает обеспокоенность у бизнеса и государства, особенно в условиях непростой геополитической ситуации. Все больше возникает вопросов, как глобально обеспечить безопасность систем. Чтобы найти выход из кризисной ситуации, индустрии требуется переход к новому типу взаимодействия, когда государство, бизнес и специалисты по информационной безопасности будут вместе преодолевать возникающие трудности. Как это устроить и могут ли решения с открытым кодом повысить устойчивость бизнеса в условиях интенсивных кибератак обсудили эксперты на круглом столе по open sourse решениям в кибербезопасности Russia Open Source IT Summit. В сессии приняли участие представители Беллсофт, Ак Барс Банка, Группа компаний Innostage (CyberART), «Лаборатории Касперского»Т, Сайберус Открытый Код (CyberOK), а также Центр информационных технологий РТ.

По мнению экспертов открытый код имеет ряд плюсов и минусов для использования и адаптации в рамках собственных разработок. Всё сходятся во мнении, что «сотни глаз» могут обеспечить прозрачность и отсутствие встроенных вредоносных закладок, использование таких решений требует наличия экспертных команд и что открытость не означает бесплатность.

«Популярные мировые проекты с открытым исходным кодом имеют очень большую кодовую базу. Это порядка 3 ГБ стороннего кода, из которого сделать надежно работающую программу и при этом сопровождать ее на протяжении жизненного цикла информационной системы, весьма не просто. Действительно, за использование открытых технологий платить не нужно, но работающее решение, его развитие, поддержка и гарантии безопасности – имеют свою цену. Здесь есть два пути: растить внутреннюю экспертизу или доверить эту работу профессионалам, которые сделают это для вашей компании», – прокомментировал Роман Карпов, Директор по развитию и стратегии БЕЛЛСОФТ, Руководитель комитета по информационной безопасности АРПП

«Отечественный софт».

«Решений с открытым кодом на рынке очень много и каждое требует специфической экспертизы. Применение OSS мало чем отличается от собственной разработки, но его необходимо поддерживать и достраивать под ваши конкретные задачи. Для этого нужны ресурсы разработки функционала и грамотная команда ИБ для противодействия атакам, в том числе и со стороны разработчиков OSS», – объяснил Антон Кузьмин, руководитель Центра предотвращения киберугроз CyberART ГК Innostage.

«Общая задача сообщества по кибербезопасности и вендоров – сделать так, чтобы рядовые специалисты даже небольшой компании знали, где взять проверенный код. Сейчас доступно огромное количество open source проектов разной степени зрелости, использование которых может быть связано с повышенными рисками. Также следует развивать сервисы, которые позволят повысить доверие к безопасности открытого кода», – обрисовал картину Дмитрий Шмойлов, руководитель отдела безопасной разработки «Лаборатории Касперского».

Также эксперты отметили, что open sourсe – это осознанность и принятие рисков. При использовании таких решений важно следить за изменениями и регулярно их оценивать.

«Важно пересматривать и закреплять изменения во внутренних нормативных документах организаций. Для этого должны быть метрики для измерения текущего состояния системы управления информационной безопасностью по компании. Также крайне важно, чтобы с материалами регулярно знакомились CEO и акционеры», – комментирует принципы работы с открытым кодом Вячеслав Яшкин, Управляющий директор Аппарата Правления Ак Барс Банка.

Спрос на open source в России растет – по оценкам аналитиков, через 4 года свыше 90% отечественных компаний будут использовать ПО с открытым кодом. При этом большая часть потребителей – заказчики технологий. Это открывает возможности для развития и монетизации OSS-решений, хотя сама отрасль не так развита, как в США и Европе.

«В свете ухода иностранных вендоров и острой необходимости усиленной киберзащиты перспективным вариантом является внедрение открытых решений по сервисной модели «безопасность как сервис», когда вопросы повседневного обслуживания систем ложатся на сервис-партнёров. В ходе создания платформы кибербезопасности на открытом коде, ключевой задачей станет обеспечение гарантии её жизненного цикла, соответствия регуляторным нормам, развитие и необходимая поддержка для использующих её компаний», – подвел нацеленный на будущее итог СЕО Cyberok Сергей Гордейчик.