Интервью с идеологом и вдохновителем Virtualization Security Group Russia - Марией Сидоровой

Мария Сидорова - заместитель руководителя направления «Защита виртуальных инфраструктур» компании «Код Безопасности», руководитель некоммерческого объединения российских специалистов, занимающихся вопросами обеспечения информационной безопасности инфраструктур виртуализации - Virtualization Security Group Russia и главный редактор портала VirtualizationSecurityGroup.Ru.

Добрый день. Спасибо, что нашли время для встречи!

1. Расскажите, что послужило отправной точкой для создания портала VirtualizationSecurityGroup.Ru?

Первоначально была идея создания экспертного сообщества, объединения специалистов, которые занимаются как вопросами виртуализации, так и вопросами обеспечения информационной безопасности, для обмена опытом и популяризации вопросов правильного построения систем информационной безопасности для виртуальных инфраструктур, а также развития рынка в целом. Мы создали страничку группы в LinkedIn, однако со временем нам стало тесно в пределах этого формата, возникало много новых идеи и проектов, и вот результат – в декабре 2009 года у нас появился собственный портал. Портал мы создавали, когда нас было уже шестеро. После появления портала к нашей команде присоединился Алексей Колесников, который в настоящее время вместе со мной координирует работу группы.

2. Какие основные цели преследует данный ресурс? Какова его основная аудитория?

Основная цель – это сбор, систематизация и анализ информации на стыке знаний специалистов по информационной безопасности и специалистов по виртуализации. Выбор именно этой области обусловлен объективными причинами: специалисты по информационной безопасности обычно не в полном объеме владеют спецификой технологий виртуализации, а специалисты по виртуализации – не всегда хорошо разбираются в вопросах обеспечения информационной безопасности. Аудитория нашего ресурса делится в соотношении примерно 60 / 40. Где 60%- это специалисты по информационной безопасности, а 40 – специалисты по виртуализации.

3. Каковы перспективы ресурса, каким Вы видите его дальнейшее развитие?

Сейчас у нас готовится много новых проектов. В самое ближайшее время будет объявлен конкурс продуктов, предназначенных для защиты виртуальных инфраструктур «Best of show», где мы всем сообществом постараемся определить решения, наиболее близкие нашей аудитории по нескольким номинациям.

Кроме того, в ближайшее время будет запущен проект для специалистов, которые только начинают заниматься данным направлением. Суть этого проекта: один специалист по информационной безопасности (хоть и молодой, но подающий большие надежды) будет разбираться в вопросах виртуализации и обеспечения безопасности виртуальных инфраструктур. В процессе он будет фиксировать все свои наблюдения в дневнике. Проблемы и их решения, описанные в этом дневнике, будут представлены на суд общественности.

В настоящее время мы рассматриваем вопрос о присоединении к ассоциации профессионалов в вопросах информационной безопасности RISSPA (Russian Information Systems Security Professional Association), планируем развивать сотрудничество с исследовательским центром поиска уязвимостей компании Digital Security, сообществом VMware User Group Russia, ассоциацией Cloud Alliance.

4. Какие тенденции в области безопасности виртуальных инфраструктур Вы видите на сегодняшний день, и какие можете дать прогнозы по его развитию?

Последние аналитические отчеты говорят о выделении пяти основных проблем, с которыми сейчас приходится сталкиваться компаниям при обеспечении безопасности виртуальных инфраструктур:

• Усиленный контроль доступа администраторов к виртуальной инфраструктуре (Gartner);

• Ролевой и мандатный контроль доступа (Atsec);

• Снижение затрат на процесс управления целостностью конфигураций системы безопасности (Gartner);

• Снижение затрат на соответствие требованиям законов и отраслевых стандартов (Gartner);

• Разделение и делегирование полномочий “суперпользователей” (отраслевые стандарты).

Полагаю, что будущее за теми продуктами, которые позволят решить эти проблемы. Кроме того, наблюдается тенденция усиления средств защиты в платформах виртуализации и появления документов открытых сообществ о лучших практиках в сфере защиты виртуальных инфраструктур.

5. Можно ли говорить о том, что так называемый "кризис" закончился или находится в финальной стадии? Как это отражается на рынке cредств защиты виртуальных инфраструктур в СНГ?

В условиях посткризисной ситуации многим компаниям приходится делать выбор в пользу какого-то одного решения по обеспечению безопасности виртуальных инфраструктур. Несмотря на то, что на самом деле решения могут представлять различные классы. Например, в компании может осуществляться выбор между специализированным антивирусным решением и специализированным средством контроля доступа. Что, на мой взгляд, в корне неверно, если речь идет о построении полноценной системы управления информационной безопасностью с учетом специфических угроз.

Что касается рынка, то покупательская способность восстановилась. Но проблема в том, что не все специалисты до конца осознают, что подход к защите виртуальной инфраструктуры несколько отличается от подхода к защите физической.

В случае с серверной виртуализацией архитектура системы несколько изменяется. Появляются новые компоненты с очень высоким уровнем критичности, которые требуют специализированной защиты. Обеспечить такую защиту традиционными средствами невозможно. Из-за этого также меняются подходы к мониторингу событий информационной безопасности и обнаружению инцидентов. Внедряя технологии виртуализации, мы избавляемся от некоторых атак на сетевом уровне, но получаем взамен новые, специфические для виртуальных инфраструктур угрозы и уязвимости.

6. Какие электронные ресурсы Вы можете порекомендовать как компетентные в вопросах ИБ и защиты виртуализации в частности?

Могу выделить следующие электронные ресурсы:

Более подробный Топ полезных ресурсов по обеспечению информационной безопасности инфраструктур виртуализации можно посмотреть на страницах нашего портала.

7. Что бы Вы посоветовали выпускникам, которые собираются связать свою жизнь с информационной безопасностью?

Основная проблема современного российского образования в области ИБ - это спорный подход к построению программы обучения. Студенты, которые получают образование по специальности, связанной с информационной безопасностью, зачастую не владеют основными навыками, необходимыми специалисту для работы. Их знания оторваны от реалий. По этой причине мне хотелось бы порекомендовать начинающим специалистам как можно раньше приступать к практике. Пусть это сложно, но по окончании ВУЗа вы будете иметь не только диплом специалиста, но и практический опыт работы, что сделает вас более привлекательным для потенциального работодателя. Кроме того, на мой взгляд, будет очень полезно принимать участие в работе ассоциации по информационной безопасности - Virtualization Security Group Russia, Russian Information Systems Security Professional Association и других. Вопреки расхожему мнению, большая часть экспертных сообществ открыта для молодых специалистов. Семинары таких сообществ являются бесплатными и их проводят ведущие российские специалисты. Участие в семинарах позволит вам в неформальной обстановке пообщаться с ними и получить практические знания.

8. Каковы Ваши увлечения, интересы?

В свободное от работы и обучения (я получаю второе высшее образование) время очень люблю заниматься восточными единоборствами, в частности – Айкидо Ай-ки-кай. Особый интерес для меня представляют техники владения мечом. Для таких тренировок у меня есть меч, привезенный из Японии, и от него уже пострадала штукатурка в моей квартире :-). Кроме того, этот стиль Айкидо славится своей дыхательной гимнастикой, которая очень сильно помогает мне в условиях современной жизни.

9. И напоследок, назовите, пожалуйста, свою любимую книгу и свое жизненное кредо.

Книга: Чарльз Диккенс «Посмертные записки Пиквикского клуба».

Кредо: И один в поле воин!