• Новости
• Блоги
• Аналитика
• Новости компаний
• В СНГ и в мире
• Анонсы

М. Башлыков (КРОК): "Системный интегратор может быть провайдером публичного облака, обеспечивая его безопасность"

Все больше интеграторов становятся провайдерами облачных сервисов. А есть ли для потребителя выбор – возможность использования облачных приложений от разных провайдеров? Читайте полную версию Дискуссионного клуба темы номера "ИКС" №9'2012 "Дорожная карта облачной безопасности". Часть 7.

"ИКС": Насколько реальна перспектива появления на рынке продуктов, способных интегрировать множество ИТ–приложений от разных поставщиков и провайдеров?

Валерий Андреев, заместитель директора по науке и развитию, ЗАО ИВК: Пока что совершенно нереальна. Даже на уровне функционала, не говоря уже о проблемах ИБ. Отсутствие "облачных " стандартов не дает возможности к интеграции, но все впереди.

Александр Трошин, технический директор «Манго Телеком»: Я пока не вижу таких продуктов на рынке. Но, в то же время, ничего нереального в их создании нет. И когда нибудь их появление станет очень актуальным, так как множество различных не стандартизированных инструментов управления виртуальными средами могут однажды загнать пользователя в тупик. Думаю, как раз тогда,  лет через пять, и выйдут некие продукты, которые смогут определенным образом (например, с помощью API) взаимодействовать с разными провайдерами и управлять всеми разрозненными виртуальными продуктами.

Артем Гарусев, исполнительный директор компании CDNvideo: Эта перспектива не только реальна, без этого «облачные» сервисы развиваться не смогут. В традиционной корпоративной среде все привыкли к интегрированным системам, вручную переносить информацию из программы в программу никто не хочет. Думаю, примерно таким же путем будет развиваться и интеграция «облачных» сервисов. Но интеграция всегда создает риск, т. к. эта территория полностью не контролируется разработчиками взаимодействующих систем. В традиционной архитектуре наилучшее решение – это middleware с интегрированными средствами защиты. Наихудшее – это «зоопарк» коннекторов, непонятно кем и когда сделанных.

Антон Хрипунов, руководитель направления Центров Обработки Данных компании CTI: В подавляющем числе бизнес-приложения клиента не являются "коробочными продуктами", которые уже предоставляют или планируют предоставлять облачные провайдеры. На текущий момент для клиента наиболее оптимальной схемой работы одновременно с несколькими облачными провайдерами является уровень IaaS, который позволяет погрузить в облака провайдеров собственные бизнес-приложения, как готовые серверные сущности, не занимаясь модернизацией бизнес-приложений под перевод их в облака на уровне SaaS. Простой пример. Есть небольшая компания, которая на протяжении более 5 лет использует и постоянно дорабатывает под свои нужды ПО 1С. Для перевода ПО 1С в облако провайдера на уровне предоставления приложения, самим провайдером требует выполнения всех тех доработок в 1С, которые выполнил клиент у себя. При переводе 1С-приложения на уровне серверов и виртуальных машин в облако клиенту необходимо лишь передать целостные копии данных серверов и виртуальных машин провайдеру и приложение уже в облаке. Этот вариант максимально гибок и позволяет не привязываться только к тем облачным провайдерам, которые предоставляют ПО 1С из облака - вряд ли Amazon или Google планируют предоставление 1C как сервиса.

Александр Колыбельников, эксперт по информационной безопасности «Микротест»:  Что касается минимизации рисков. Дополнительных рисков тут не так много, в основном они связаны с передачей информации по отдельным каналам связи между различными облаками. Вопрос в безопасности только этого канала информации. Что касается вопроса появления продукта для интеграции сетевых приложений - на рынке такие продукты уже есть, и они давно и успешно используются. Например, системы сбора и анализа данных журналов событий работают с разными приложениями. Если появится заказ рынка на другие приложения, то они появятся.

Владимир Удалов, руководитель направления корпоративных продуктов в странах развивающихся рынков «Лаборатории Касперского»: Прежде всего, при выборе провайдера и облачных приложений, необходимо руководствоваться бизнес-критичностью тех данных, которые вы планируете размещать в облаке. Многие компании предпочитают хранить и обрабатывать особо важные и конфиденциальные данные внутри компании, менее важные данные – в публичных облачных сервисах. Это позволяет минимизировать риски и должно быть прописано на уровне политики безопасности каждой конкретной компании.

Вячеслав Медведев, аналитик компании "Доктор Веб": Минимизация рисков осуществляется путем: заключения SLA с прописанными условиями предоставления сервиса, включая компенсации на случай неработоспособности сервиса и нарушений требований по безопасности; следования принципу «не кладите все яйца в одну корзину» — необходимо создание резервных локальных сервисов на время недоступности облачных. Появление таких предложений вполне реально, но вот использование их не может быть рекомендовано. В качестве примера можно рассматривать антивирусы, использующие сторонние антивирусные ядра. Несмотря на использование качественных ядер, в тестах на активные заражения (то есть в условиях систем, зараженных последними версиями вредоносных программ, активно противодействующими попыткам их обнаружения) такие продукты показывают во многих случаях не самые высокие результаты.

Александр Герасимов, директор по маркетингу ЗАО "Ай Ко": Переход к использованию облачных сервисов (неважно, публичных или частных) - это элемент стратегии консолидации хранения и обработки всех видов корпоративных данных.
Поэтому очень важно понимать, а какова сейчас структура и локализацияэтих данных? По самым скромным оценкам, хранимая и обрабатываемая локально слабоструктурированная информация составляет не менее 80% объема корпоративных данных. Но точный ее объем просто невозможно оценить. Думаю, что в реальности это 90-95%. Оставшиеся 5-10% – это, в основном, данные транзакционных систем и формализованные элементы документооборота, как правило, договора. За пределами этих 5-10% находится большая часть критически важных для деятельности предприятия или организации данных.
Эта ситуация напрямую определяет низкую степень защиты корпоративных данных, ведь понятно, что при прочих равных обеспечить защиту централизованных (консолидированных) данных намного проще и дешевле, нежели хранимых локально, на рабочих местах. Очевидно, что сейчас от 80 до 95% корпоративных данных недостаточно защищены, либо вообще не имеют защиты. Более того, «локальная» информация «привязана» не просто к конкретному сотруднику (и недоступна для других), но и к конкретному пользовательскому оборудованию сотрудника и недоступна для него же с других устройств.
Решение этой проблемы лежит в первую очередь в организационной области – необходимо отказаться от локального хранения и обработки всех видов корпоративных данных и изменить подход к организации труда персонала, во вторую – в технологической области.
Технологическая реализация включает в себя: во-первых, виртуализацию рабочих мест по технологии «нулевой» (ультратонкий) клиент. «Нулевой клиент» - устройство, работающее по протоколу PCoverIP и используемое только для подключения устройств отображения и ввода (монитор, клавиатура, мышь) и лишенное локального хранилища (жесткий диск, флеш-накопитель и т.п.), на нулевом клиенте также отсутствует операционная система и не исполняется ПО. В отличие от технологии «тонкого клиента», «нулевой клиент» позволяет реализовать 100% виртуализацию рабочего места. На физическом рабочем месте необходимы только средства отображения и ввода, системный блок заменяет «коробочка» нулевого клиента. Данные вообще не покидают пределов ЦОД, по сети передаются только сжатые и зашифрованные описания пикселей. Во-вторых, поскольку консолидация локально хранимых данных потребует радикального увеличенияемкости систем хранения ЦОД, необходимо использование гибких и масштабируемых СХД, позволяющих оптимальным образом хранить очень большие объемы слабоструктурированных данныхразличных видов. Одним из возможных вариантов является использование относительно недорогих систем хранения с архитектурой NAS, с развитыми возможностями масштабирования и виртуализации.

Джабраил Матиев, руководитель группы информационной безопасности IBS Platformix: При использовании приложений от разных провайдеров растет риск нарушения конфиденциальности, но падает риск нарушения доступности. Нивелировать риски можно только убедившись в адекватности принимаемых мер провайдерами и выполняя все рекомендации по обеспечению безопасности данных. Появление интеграционных платформ – это тенденция всех направлений ИТ, однако для облачных технологий пока не существует единых унифицированных интерфейсов доступа и управления. При всей видимой зрелости облачных технологий они находятся в зачаточном состоянии: каждый вендор предлагает свой подход, технологии и модели разнятся, облака пока плохо стандартизованы, процесс унификации еще впереди. Поэтому я бы не стал говорить о ближайших перспективах интеграционных решений для облачных приложений.

Владимир Алеев, главный архитектор бизнес-решений ЦОД ОАО «СИТРОНИКС»: Прежде всего, необходимо заранее проверить возможность обмена данными между различными облачными приложениями, но лучше если этой задачей озаботятся операторы облачных услуг, которые предлагают несколько SaaS-приложений от разных разработчиков.  Спрос на такие платформы интеграции есть, предложение начинает формироваться.

Владимир Ткачев, технический директор VMware, Россия и СНГ: Модель потребления приложений от разных поставщиков из облака пока еще только развивается. Тем не менее, очевидно, что точечные сервисы, быстро развивающиеся и решающие узкие задачи, будут набирать обороты. Программное обеспечение становится очень "динамичным" с точки зрения сроков разработки и времени жизни отдельных версий. Это неизбежно приведет к тому, что в арсенале бизнес потребителя будет широкий спектр программных продуктов, потребляемых по различным моделям - от локальных, до внутренних облаков или публичных поставщиков. Отделы ИТ, как и отделы ИБ, столкнутся с пока еще новыми задачами в этой связи - начиная от управления доступом к широкому спектру внешних услуг и заканчивая сохранностью данных, необходимых для работы этих сервисов. VMware активно развивает направление продуктов для удобной работы пользователей в пост-ПК эре и сейчас уже решает задачи, о появлении которых на локальном рынке мы говорим пока в будущем времени.
Например, VMware Horizon Application Manager централизует управление приложениями вне зависимости от модели их предоставления пользователям - будь то SaaS, web-приложения или традиционные Windows приложения. Horizon Application Catalog может использоватья уже сегодня для безопасного доступа пользователей к приложениям с того типа устройства, которое они предпочитают. По мере того, как новая модель потребления будет набирать обороты, функциональность и акценты решений будут меняться, но все изменения однозначно будут происходить с соблюдением принципов безопасности доступа и безопасности данных и с учетом возможности использования разных провайдеров, разных моделей доступа к приложениям и разных платформ.

Илья Трифаленков, начальник отдела информационной безопасности ОАО «Ростелеком»: Вообще-то целесообразность работы с несколькими провайдерами сомнительна и требует обоснования – ведь при построении корпоративных систем никто, как правило, не стремится использовать конкурирующие решения для одной задачи. Провайдеры таких сложных услуг по определению должны быть достаточно крупными организациями с опытом работы на рынке, так что риск связанный с неспособностью оператора обеспечить услугу минимален. А проблемы при использовании нескольких провайдеров велики.
 

"ИКС": Роль системных интеграторов на рынке безопасности публичных облачных услуг: в каких случаях привлечение «третьей стороны» неизбежно и почему?

Александр Трошин, технический директор «Манго Телеком»: Сейчас все больше интеграторов становятся «провайдерами» облачных сервисов, вот и все. И на рынке уже, наверное, тяжело различить кто провайдер, а кто интегратор. И эта тенденция со временем будет только усиливаться.

Алексей Иванов, руководитель проектов, департамент инфраструктурных решений, DigitalDesign: Системный интегратор может стать тем «третейским судьей», который поможет потребителю, с одной стороны, не испугаться новых решений, с другой – не «повестись» на завлекательныеречи провайдеров, доходчиво разъяснит все плюсы и минусы. Наверное, ситуаций, в которых привлечение «третьей стороны» было бы неизбежно, нет. Всегда можно решить все задачи своими силами, с тем или иным успехом. Однако привлечение системного интегратора может помочь снизить риск ошибок в принятии решений, обеспечить переход в облака с минимальными трудностями.

Михаил Готальский, генеральный директор TrueConf:  Привлечение интеграторов как третьей стороны необходимо, так как только в этом случае компания сможет рассчитывать на внедрение качественных услуг. Только интегратор, может как квалифицированная и независимая сторона, потребовать от провайдера предоставления необходимых услуг, может проверить их качество и помочь клиенту провести миграцию сервисов.

Сергей Щербина, заместитель генерального директора компании Esri CIS: Роль системных интеграторов при создании «облака» и обеспечении их безопасности в целом аналогична их роли в других ИТ-проектах: помощь в выборе оптимальной платформы, консалтинг по изменению бизнес-процессов, интеграция «облачных» и «обычных» сервисов, поставка, запуск и поддержка ПО и оборудования. Однако, в данном случае, в силу относительной новизны данной технологии и особых опасений относительно безопасности, заказчикам имеет смысл подумать о проведении независимого аудита степени защиты своих данных и приложений.

Валерий Андреев, заместитель директора по науке и развитию, ЗАО ИВК: Сомнительно. Опять же, все зависит от модели облака. Если вопросы ИБ будет решать пользователь, то интеграторам есть место, а если провайдер - то нет.

Артем Гарусев, исполнительный директор компании CDNvideo: Безопасная интеграция «облачных» сервисов потребует особых компетенций, которыми традиционные интеграторы пока не обладают. Как бизнес по интеграции впишется в новую модель, пока трудно сказать. Потребители ценят облака во многом за то, что они скрывают сложность технической реализации. И интеграция должна соответствовать этой ценности.

Александр Колыбельников, эксперт по информационной безопасности «Микротест»:  Системный интегратор на этом рынке выполняет ровно свою функцию, то есть роль системного интегратора. Это более чем обоснованно, так как передача каких-либо технологий, ПО,  информации в облако – это акт доверия со стороны пользователя провайдеру. В этих отношениях системный интегратор играет роль третьей стороны, не только в процессе внедрения технологий, но и в процессе аудита безопасности облаков, выдавая некое заключение о безопасности облака, которое позволит провайдеру демонстрировать для потенциальных заказчиков определенную степень защищенности, побуждая доверять им больше. По сути, это способ продвижения на рынке.

Денис Безкоровайный, технический консультант Trend Micro в России и СНГ: На западном рынке уже сформировалась ниша для компаний - «облачных брокеров». Это компании, предоставляющие услуги интеграции сервисов от различных облачных провайдеров и их совместного использования клиентами. Основные плюсы для заказчиков от облачного брокера – возможность переключения от одного провайдера к другому в случае сбоев, оптимизация расходов и упрощение биллинга. В России можно ожидать появления облачных брокеров если провайдеры будут готовы открывать интерфейсы интеграции для сторонних сервисов.

Дмитрий Митрофанов, заместитель директора СЦ по производству компании "Ай-Теко":  Интеграторы, в силу их большей мобильности и прямой работы на рынке, объединяют вендоров и клиентов, и взаимодействие этих трех сторон как раз и дает рынку импульс для развития. Например, HP и IBM больше ориентированы на развитие инфраструктуры, так как их основная компетенция – производство оборудования для построения сетей, и поэтому интегратор дополняет опыт этих вендоров – например, создавая комбинированное облачное решение, закрывающее все вопросы по ПО, телекому, вычислительным мощностям.
Если же говорить о российской специфике, то у нас по закону 152-ФЗ обеспечивать законодательное соответствие предлагаемых клиентам решений должны локальные поставщики, то есть это как раз задача интеграторов. Можно сказать, что интегратор – это глаза и руки вендора, работающие на рынке и позволяющие объединить интересы всех сторон. Системные интеграторы играют роль инжиниринговых компаний по разработке и развертыванию облачных сервисов для сервис–провайдеров. Сервис-провайдеры, в свою очередь, занимаются эксплуатацией инфраструктуры и приложений, а также предоставлением сервисов для конечных пользователей.

Антон Разумов, Руководитель группы консультантов по безопасности Check Point Software Technologies Ltd: Чем сложнее система, тем больший опыт необходимо иметь для грамотного ее проектирования и внедрения. Именно опыт. Просто теоретических знаний будет недостаточно, поскольку знать и уметь - очень разные вещи. Кроме того, у новичка часто разбегаются  глаза от многообразия решений, и для грамотного сравнения, выбора стратегии, нужно изучить множество, в т.ч. те, которые ему вовсе не пригодятся. Поэтому помощь системных интеграторов, имеющих опыт разнообразных проектов, позволяет сэкономить значительные средства, время и избежать критичных ошибок.

Вячеслав Медведев, аналитик компании "Доктор Веб": До перехода в облако желательно привлечение внешнего аудитора — независимого эксперта, который сможет оценить для клиента услуги плюсы и минусы переноса в облако тех или иных сервисов, выработать рекомендации по безопасности и протестировать результаты «переезда».

Джабраил Матиев, руководитель группы информационной безопасности IBS Platformix: Ответ очень прост, если провайдер обладает экспертизой и ресурсом для внедрения и интеграции систем безопасности, то он вполне может обойтись без привлечения третьей стороны. При отсутствии должной экспертизы придется привлекать системного интегратора на рынке безопасности.

Владимир Алеев, главный архитектор бизнес-решений ЦОД ОАО «СИТРОНИКС»: Сейчас часто разработчики SaaS-приложений одновременно выступают их операторами, хотя разделение этих функций является естественным результатом развития рынка. Именно SaaS-оператор создает безопасную облачную среду, отвечает за ее исправное функционирование (как в техническом, так и организационном плане) и предоставляет возможность для внешнего аудита со стороны регулятора или независимого аудитора. Роль SaaS-оператора могут взять на себя системные интеграторы, которые заинтересованы в развитии этого направления бизнеса и имеют опыт предоставления услуг хостинга. 

Михаил Башлыков, руководитель направления информационной безопасности компании КРОК: Системный интегратор может помочь заказчику построить и поддерживать частное облако. Кроме того, системный интегратор может сам выступать в роли провайдера публичного облака, обеспечивая безопасность облака в целом и опционально в зависимости от вида услуг.

Илья Трифаленков, начальник отдела информационной безопасности ОАО «Ростелеком»: Системные интеграторы привлекаются  оператором для построения системы, обеспечивающей облачные сервисы так же, как и для любой другой. Конечно,  оператор может и сам заниматься ее проектированием и внедрением, но поскольку эта  деятельность – непрофильная, то как правило, этим занимается интегратор.