«Мы являемся свидетелями столкновения двух мировых систем и культур»

CNews: Российский ИТ-бизнес столкнулся с беспрецедентными санкциями со стороны иностранных компаний. Когда начался этот процесс?

Сергей Груздев: Не ИТ-компании, а вся страна. Как всё развивалось?

Ключевая, точнее переломная дата — 11 сентября 2001 г. — атака на башни-близнецы в Америке. Она разделила мир на до и после не только для США, но и для всего мира.

Америка начала вести себя по-другому — задача борьбы с терроризмом стала новым флагом, оправдывающим то, как много Америка стала себе позволять. Национальные интересы Америки с тех пор поставлены выше всех других (эта страна стала действовать без резолюций ООН), интересы национальной безопасности были возведены в ранг религии. Цель оправдывает средства, а на войне все средства хороши — были запущены программы «цветных революций», смещения неугодных правительств с целью получения новых «колоний».

Следующая важная веха — 2012 г. Президент США Барак Обама подписал два знаковых документа — Cloud Act и PPD-20 о закладке в объекты КИИ России так называемых «кибербомб», об отработке информационной составляющей ведения гибридных войн под чужим флагом (это ровно то, что мы сейчас видим на Украине), об отработке технологии «управление толпой» (для реализации «цветных революций»), об обязанности всех американских вендоров собирать и передавать в ЦРУ, АНБ, ФБР так называемую «телеметрию» — данные о ПО, окружении, версиях, используемом «железе» и пр., о запрете на раскрытие исходных кодов ПО и прошивок «железа», о праве США наносить киберудары по любой стране без санкции ООН, о возможности Америки на военный удар в ответ на кибернападение на них.

В 2018 г. Дональд Трамп изменил парадигму поведения Америки — отказ от «мягкой силы» и переход к концепции «мир через силу» — через силовое разрешение любых противоречий и угроз доминированию Америки.

Мы хорошо помним его предвыборный лозунг: «Сделаем Америку снова великой». Как он собирался это сделать?

В далеком 1971 г. президент США Ричард Никсон отвязал доллар от золота и привязал его к нефти. Нефть была мировой кровеносной системой. Кто контролировал продажу нефти, тот контролировал всю мировую экономику.

Сейчас мир сильно изменился, и чтобы управлять им, надо контролировать рынок полупроводников. Без них ничего не летает, не ездит, не работает, не стреляет. Экономика любой страны без них просто встанет.

Контроль за производством полупроводников — вот новая цель США, ради которой и затеян весь этот очередной передел мира.

Однако 60% всего высокотехнологичного производства полупроводников расположено на Тайване, и лидером здесь является не США. Производить микросхемы ниже 10 нанометров США не может, все необходимые супертонкие технологии имеются только у тайваньской фабрики TSMC.

Трамп запустил программу возвращения в США высокотехнологичных производств. Не всё успел… Но президенты меняются, а принятые стратегии доминирования продолжают выполняться.

Новая администрация Байдена запустила процесс, приведший к коллапсу на рынке полупроводников. Американцы ударили там, где тонко — по тонкой химии, которая используется при производстве кремниевых пластин и микросхем, корпусированию, меди и так далее.

В результате, последние три года мы живем в условиях жесточайшего кризиса на рынке полупроводников. Предпринимаются попытки его кардинального передела, полного запрета на трансфер технологий и жесточайших санкций для российских компаний.

CNews: Как вы решаете эту проблему?

Сергей Груздев: В компании «Аладдин Р.Д.» разработка и производство расположены в России. Как и у всех, сейчас основная проблема с электронной компонентной базой для производства многих наших продуктов связана с полной блокировкой поставки полупроводников в Россию, в разы выросшими ценами и сроками их производства.

Мы разработали ряд программных решений для создания собственной доверенной ИТ- и ИБ-инфраструктуры вокруг наших аппаратных средств аутентификации и электронной подписи (USB-токенов и смарт-карт) за предыдущие несколько лет. Практически все из них — на платформе Linux.

И вот сейчас, когда импортозамещение для всех стало не показухой для отчетности, а реальной потребностью, всё это одновременно «выстрелило» и стало осознанной потребностью.

Доля инфраструктурного импортозамещающего ПО в обороте компании растет в разы.

CNews: Задача построения безопасной инфраструктуры при миграции с Windows на Linux стоит у многих. Расскажите, пожалуйста, что это за продукты?

Сергей Груздев: Большинство российских компаний решают проблему импортозамещения путем перехода с Windows на Linux на рабочих компьютерах пользователей. Так очевиднее и проще, в том числе и отчитаться об успехах импортозамещения.

При этом главные информационные активы и инфраструктурные элементы, требующие замещения и защиты в первую очередь, как правило, находятся вне зоны внимания или оставляются на потом. Это базы данных, содержащие критическую для функционирования предприятий информацию, службы и сервисы аутентификации, дистанционного доступа, центры выдачи и обслуживания цифровых сертификатов.

Правильнее замещение иностранных продуктов начинать с них. Мигрировать с MS SQL и Oracle можно на отечественные СУБД Postgres Pro или Jatoba с установкой нашего сертифицированного средства защиты «Крипто БД».

В случае же с очень большими базами данных на Oracle, такой переезд не всегда возможен. И здесь сможет помочь «Крипто БД», позволяющее обеспечить безопасность и остаться на Oracle. Для импортозамещения встроенные в СУБД Oracle американские средства защиты необходимо поменять на российские, сертифицированные. «Крипто БД» позволяет обезличить и «изолировать» обрабатываемые и хранимые данные от самой СУБД и предотвратить их утечку или несанкционированное изменение.

Ещё одним важнейшим компонентом инфраструктуры является сервер аутентификации. Многие, кто использовал для этого импортные решения, уже столкнулись с проблемой блокирования этих сервисов.

Наш сервер аутентификации JAS (JaCarta Authentication Server) позволяет продолжить использование настроенных методов аутентификации при импортозамещении имеющихся средств аутентификации с генерацией одноразовых паролей (ОТР), USB-токенов и смарт-карт, U2F-токенов. При этом чаще всего заказчики выбирают для выработки ОТР применение нашего сервера аутентификации и смартфонов с программными средствами аутентификации.

Что же касается цифровых сертификатов, которые зарубежные службы начинают массово отзывать и блокировать работу сетевого и телекоммуникационного оборудования, серверов, электронных сервисов, то у нас уже готов к выпуску технический релиз собственного корпоративного центра выпуска и обслуживания сертификатов доступа на базе платформы Linux — Aladdin Enterprise Certificate Authority (Aladdin eCA), призванного заменить импортный Microsoft CA.

Ведутся совместные работы по интеграции его в экосистемы российских разработчиков Linux, проводятся крупные пилоты, получено решение о его сертификации для работы с гостайной (на УД-2).

Важность этой компоненты (Aladdin eСА) для инфраструктуры организаций и объектов КИИ неоценима — это основа PKI (инфраструктуры открытых ключей), на базе которой строятся системы доверия и управления доступом.

Aladdin eCA позволяет «из коробки» разворачивать домены безопасности и обслуживать сертификаты контроллеров доменов, серверов, сетевого и IoT/M2M оборудования, а также пользователей.

Aladdin eCA также выступает корнем доверия, без которого невозможно получить действительно санкционно-независимую базовую ИТ-инфраструктуру организации.

Aladdin eCA позволяет обеспечить непрерывность и связанность сервисов при миграции с Windows на Linux, бесшовно и плавно перейти со старой работающей инфраструктуры на новую отечественную доверенную экосистему, а также одновременно обслуживать пользователей, ещё продолжающих работать в Windows, и уже мигрировавших на Linux. А это очень важно — ведь переезд в новую экосистему не происходит за один день.

Еще одной важнейшей компонентой безопасной инфраструктуры современной организации является строгая двухфакторная аутентификация (2ФА) пользователей с использованием USB-токенов и смарт-карт. В Windows — это привычная многим встроенная подсистема Windows Smartcard Logon. В Linux же — это конструктор «сделай сам». И с ним мало кто справляется…

Для быстрого полноценного и безопасного переезда на Linux с сохранением пользователями своих привычек служит Aladdin SecurLogon. Он добавляет недостающие компоненты на клиентские ОС, автоматически конфигурирует пользовательский компьютер для единого аутентифицированного входа в различные домены (Samba DC, FreeIPA, MSAD), поддерживает 2ФА в различных инфраструктурах — с развернутой PKI и без неё, обеспечивает работу прикладного ПО с электронной подписью (в электронной почте, браузере, СЭД), поддерживает автоматическое централизованное конфигурирование клиентских компьютеров, что существенно снижает нагрузку на администраторов и ускоряет полноценную миграцию на Linux.

Для защиты данных на дисках в Windows многие используют встроенный BitLocker. Продолжать его использовать сейчас — значит рискнуть сыграть в «русскую рулетку» (точнее — в американскую) и остаться без своих данных, полностью потеряв к ним доступ.

Более мощная альтернатива BitLocker — наш продукт Secret Disk — система прозрачного шифрования данных на дисках, в папках, файлах. При этом он доступен с единой лицензией как для Windows, так и для Linux.

Для централизованного управления токенами, сертификатами и др. средствами защиты информации предназначен наш новый сертифицированный продукт JaCarta Management System 4LX (JMS 4LX), работающий и под Linux, и под Windows.

CNews: Как должен измениться подход к разработке ИБ-решений в новых условиях?

Сергей Груздев: Мы очень долго жили в парадигме наложенных средств безопасности. Более того, мы стремились интегрироваться в западную систему координат и проводили сертификацию по общим критериям. Но 30-50% описания этого процесса и испытаний занимают требования как встраивать «правильную» американскую криптографию, естественно, с правильными американскими закладками.

Если посмотреть на объявленные американцами санкции, то они не касаются продуктов, которые могут поставляться в Россию для обеспечения кибербезопасности и до сих пор содержат американскую криптографию. То есть США не хотят лишать себя возможности быть в курсе дел.

Сейчас на ИБ-рынке всё чаще звучит лозунг Secure by Design. То есть сначала должен создаваться скелет безопасности продукта или системы, а на его основе и само решение. Переход к этому способу разработки требует серьезной перестройки процессов.

Важную роль в продвижении такого подхода играет ФСТЭК России и требования по разработке безопасного ПО, которые должны у себя внедрять разработчики не только средств защиты, но и всех программных продуктов, предназначенных для использования в организациях КИИ и госсектора.

Без этого реальную безопасность не обеспечить, и опять всё может остаться на бумаге.

CNews: В 2010-2012 гг. ваша компания на собственном опыте испытала последствия прямого столкновения с американцами. Расскажите, пожалуйста, об этом.

Сергей Груздев: Да, «Аладдин Р.Д.» оказался в эпицентре событий и испытал тогда все прелести и приемы того, что сейчас американцы делают со всей нашей страной.

До 2010 г. мы работали с израильской компанией Aladdin Knowledge Systems: покупали аппаратные USB-токены eToken, перешивали встроенное в них программное обеспечение, встраивали российскую криптографию и продавали на российском рынке. Потом израильскую компанию купили американцы, и мы сразу почувствовали разницу.

Первое, что сделали американцы — отрезали нас от технологий и доступа в центр разработки, и нам было сказано (в довольно грубой и свойственной американцам форме): «Мы лучше знаем, что вам нужно и как приучать вас к демократии. Жрите, что дают и не задавайте лишних вопросов».

Все годами выстроенные горизонтальные связи с разработчиками были перечеркнуты за один день.

Потом, по аналогии с банками, американцы попытались запустить программу «Знай своего клиента». От нас стали требовать предоставлять подробные данные по всем нашим заказчикам, фиксировать и отчитываться, кто, где и в какой инфраструктуре использует их продукты. Показали список заказчиков, на ком мы должны были сфокусироваться (хотя тогда, понятия КИИ еще не было и в помине).

И тогда мы предложили сделку — за миллион долларов выкупить пул лицензий на нужное нам программное обеспечение. Они не устояли и согласились.

Развязка наступила в конце 2012 г., уже после подписания Обамой упомянутых документов Cloud Act и PPD-20 о закладке кибербомб в КИИ России — во всех купленных нами лицензиях конечным заказчиком у них значился «Аладдин Р.Д.».

К нам «на разборку» приехал вице-президент компании, долго шумел, стучал кулаком по столу и объяснял нам, что в соответствии с их американскими законами мы обязаны...

К счастью, подошло время обеда, я посадил его в машину, привез на Мытищинский рынок к плакату, висевшему на входе: «Здесь продается все, кроме Родины». На следующий день я получил письмо о прекращении всех поставок и полном разрыве всех отношений.

«Для спасения бизнеса единственным вариантом стала разработка собственных продуктов»

CNews: Таким образом, в один день вы лишились своего ключевого вендора?

Сергей Груздев: Да, в один день мы лишились вендора. Он объявил нам войну — «Aladdin must die!». Давление оказывалось и на партнеров, и на сотрудников. Мы потеряли около 40% персонала — многих перекупил наш бывший партнер, который решил отжать наш бизнес и был согласен на все условия американцев.

Нам надо было спасать бизнес и отвечать перед заказчиками, которые с нами работали, и единственным вариантом стала разработка собственной линейки продуктов. У нас было девять месяцев — именно столько компания могла оставаться на плаву за счет складских запасов.

Как известно, русский человек в экстремальных условиях мобилизуется. Мы мобилизовались и через 9 месяцев вышли на рынок с новым продуктом.

Естественно, не всё получалось сразу, пришлось быстро наращивать недостающие компетенции и за год делать то, на что иностранные вендоры тратили 3-5 лет.

Зато сейчас он (JaCarta PKI) полностью свой, российский. И для него есть все необходимые собственные программные решения для построения полной доверенной PKI-инфраструктуры организации любого размера.

В общем, мы справились.

CNews: До самого последнего времени в России работало очень много иностранного программного обеспечения. Вы хотите сказать, что все эти решения собирали данные и готовились к кибератаке?

Сергей Груздев: Говорить про всех, наверное, неправильно. Но зарубежные продукты имели и имеют закладки. Мы видим это сейчас.

Например, известная зарубежная система защиты информации, работавшая в закрытом контуре и занимавшаяся антиспамом, после начала спецоперации отключилась. В приходившем спаме содержалась ключевая фраза, которая была воспринята заложенной закладкой как команда на отключение.

Дорогостоящий американский продукт с оплаченной поддержкой и обновлениями превратился в «кирпич».

CNews: Как быстро вам удалось восстановить бизнес?

Природу не обманешь, есть два выстраданных срока — 9 месяцев (как у людей) и 2,5 года (как у слонов). Первая версия, с которой мы стартовали и благодаря которой выстояли, вернув более половины бизнеса, появилась на свет через 9 месяцев. Через 2.5 года продукт стал полноценным и зрелым, и мы смогли вернуть более 70% бизнеса.

«Заказчики будут сокращать бюджеты»

CNews: Давайте вернемся к ситуации в России. Сейчас у многих заказчиков возникли серьезные материальные проблемы. Как вы думаете, что будет с расходами на ИТ в целом и на ИБ в частности?

Сергей Груздев: Давать прогнозы — дело неблагодарное. Лет семь назад на наших партнерских конференциях я начал рассказывать о том, как работает мировая экономика, как США добивается своего доминирования, и что нас всех ждет. Сейчас мне звонят люди и говорят, что все, о чем я говорил эти 7 лет, сбывается.

Ситуация, в которую мы попали, была запрограммирована. Нас к этому подталкивали много лет.

Естественно, заказчики будут сокращать бюджеты, с одной стороны. А с другой, на программы импортозамещения отводилось три-пять лет. Теперь, когда страна попала в такую ситуацию, они должны реализовываться намного быстрее.

Многие нужные решения уже приняты — с 1 апреля 2022 г. организациям, владеющим КИИ, запрещена закупка импортного программного обеспечения, а с 1 января 2025 г. запрещается его использование, включая прошивку микроконтроллеров.

Об этом говорилось уже давно, но многие заказчики надеялись, что все само собой разрешится. Даже ситуация, когда в 2014 г. в России на один день перестали работать Visa и MasterCard, их ни в чем не убедила. Сейчас маски сорваны, идет борьба за выживание. За последний месяц многие поняли, что пути назад нет, санкции не отменят.

CNews: СМИ сообщают об отъезде из России значительного числа ИТ-специалистов. Как этот процесс уже отразился на рынке ИБ? Каковы ваши прогнозы развития ситуации?

Сергей Груздев: Я не знаю, откуда взялась цифра 70 тыс. уехавших. Недавно Валентин Макаров, президент ассоциации разработчиков программного обеспечения «Руссофт», сказал, что по их данным речь идет о максимум 10 тыс. человек. И все эти люди в большинстве своём продолжают работать на российские компании. Если говорить о рынке ИБ, то от российских компаний я не слышал об отъезде специалистов. Другое дело западные вендоры, которые прекратили работу в нашей стране. Российский бизнес, который сотрудничал с ними, перестал существовать или поставлен на паузу. Компании, у которых основные заказчики были за пределами России, вынуждены были провести релокацию части своих сотрудников. Наверное, их понять можно.

Конечно, нам придется столкнуться со сложностями из-за того, что Россию отрезали от технологий. Тяжелее всего будет компаниям, чей бизнес находится на стыке аппаратного и программного обеспечения. Ведь в сфере ИТ люди часто работают не просто за деньги, но и потому, что имеют возможность пользоваться и развивать новейшие высокие технологии. Если этих перспектив нет, могут опуститься руки. И это основная проблема — ограничение доступа к новейшим технологиям.

«Понадобится до девяти месяцев, чтобы восстановить импорт»

CNews: Но для нашей страны ситуация осложняется еще и санкциями. Как вы будете выходить из этой ситуации?

Сергей Груздев: И наши родители, и мы уже были в подобной ситуации в 90-х гг. Когда был запрещен экспорт в СССР микросхем и разработок, нас спасал серый импорт. В мире найдутся предприниматели, готовые зарабатывать на перепродаже и организации серых схем ввоза. Понадобится порядка 9 месяцев, чтобы восстановить импорт. Да, это приведет к удорожанию, длинным срокам доставки. Но это нас не убьет.

Второй путь — переориентация на Китай. Китайцы не подвержены эмоциям. Они очень системно и давно занимаются развитием технологий, горизонт планирования — порядка 50 лет.

Недавно мне попался в руки очень интересный документ — материалы четвертого съезда компартии Китая. В 2020 г. в Китае заработало 48 тыс. новых компаний в области производства полупроводников. А всего в Китае 230 тыс. компаний полного цикла, занимающихся производством полупроводников. А у нас есть «Микрон» – наше всё…

По поводу наших надежд на помощь со стороны Китая. Поднебесная 1 декабря 2020 г. приняла закон, запрещающий экспорт высоких технологий, в первую очередь, связанных с производством микросхем. Поэтому надо понимать, что в такой ситуации нам будет очень непросто.

«В России к 2025 г. будет написан свой софт и налажены каналы поставок»

CNews: Уже озвучены меры господдержки ИТ-отрасли, но Минцифры намеревается расширить их перечень. Что, по вашему мнению, надо внести в новый пакет?

Сергей Груздев: Эти меры направлены на поддержку импортозамещения, безопасности и независимости от западных вендоров. Налоговые льготы получили разработчики программного обеспечения и дизайн-центры, у которых 90% выручки приходится на собственное ПО и на дизайн микросхем. Но компаний, которые занимаются информационной безопасностью, они не коснулись.

Мы занимаемся аппаратно-программными комплексами: разработкой ПО, дизайном и производством аппаратных средств и так далее. Мало того, что мы не получили меры поддержки, так еще и столкнулись с тем, что разработчики ПО начали «хантить» наших специалистов — не получая поддержки, мы не сможем платить такие деньги, какие предлагают они.

Вторая проблема, которая до сих пор решена не полностью, а из-за этого страдают разработчики средств ИБ, — продажа программного обеспечения без НДС. Для этого ПО должно находиться в реестре Минцифры. Но возникает техническая проблема. Мы разрабатываем софт для информационной безопасности. При регистрации такого ПО в реестре Минцифры надо указать целевую функцию. Если это «Информационная безопасность», система требует приложить сертификат соответствия. Но для получения сертификата соответствия требуется минимум год. Значит, пока наше ПО не в реестре, мы должны продавать его с НДС. Понятно, что ни нас, ни наших заказчиков это не устраивает, и, как результат, мы вынуждены продавать его себе в убыток.

И еще один грустный момент — коллапс на рынке полупроводников привел к существенному увеличению сроков поставки и сильному завышению цены на комплектующие и логистику. Разработчиков ПО это не касается. А мы не только не получили господдержку, но и несем потери еще и по этой причине.

CNews: Возможно ли расширение санкций или других мер воздействия на страну, например, в сфере ИТ или с использованием ИТ?

Сергей Груздев: Я думаю, что сейчас против нас использовано около 20-30% заложенного потенциала. Говорить о других возможностях и способах я бы пока воздержался.

CNews: Понятно, что в 2022 г. нас ждет падение ИТ-рынка. Каковы ваши прогнозы?

Сергей Груздев: Не факт, что ИТ-рынок упадет. Он неоднороден. Упадет по «железу», а по софту вырастет. Сейчас на наши продукты по ИБ мы видим ажиотажный спрос.

Если говорить о рынке в целом, то, мне кажется, к 2025 г. он должен вернуться к состоянию на 2021 г. — мы напишем свой софт и начнем активно замещать импортный, наладим каналы поставок комплектующих и железа, перестроим наш бизнес и экономику страны в целом. В общем, перестроимся, не в первой.

CNews: Каким вы видите будущее российской ИТ-отрасли?

Сергей Груздев: Конечно, будет тяжело, но мы выживали раньше, выживем и сейчас. К сожалению, в последние годы многие российские компании занимались имитацией импортозамещения.

Еще раз повторю: с тем, что мы имеем сейчас, можно жить. Надо пересматривать логистические цепочки и брать электронику в других местах. Ориентироваться только на Китай опасно — крупные китайские компании не хотят попасть под вторичные санкции и отказываются от поставок, а мелкие ориентированы на внутренний рынок и должны выполнять квоты. Кроме того, нам надо учиться работать с китайскими компаниями — у них совершенно другая ментальность.

Надо ли заниматься развитием собственной элементной базы? Да. Но пока разговоров об этом много, а понимания, с чего начать — не очень хватает. Да и Китай нам в этом, похоже, не очень-то и помощник (в плане поделиться технологиями). На это могут потребоваться многие годы.

Если говорить про импортозамещение ПО, то это вопрос кооперации и времени. В России есть сильная математическая школа, сделать качественные российские продукты мы сможем.

CNews: Что вы можете посоветовать компаниям исходя из вашего опыта? Какие меры надо срочно предпринимать, а какие можно отложить на некоторое время?

Сергей Груздев: Ситуация у всех разная. Поэтому воспользоваться чужим опытом не всегда удается. Безусловно, надо учиться у коллег, но пропускать это через себя.

Мы на собственном опыте убедились, что кризис — это новые возможности. Каждый кризис мы наращивали инвестиции. Например, сейчас это инвестиции в людей и в новые продукты для импортозамещения. Западные компании уходят с рынка, освобождаются специалисты, которых мы искали годами. Для нас это новая возможность.

Кроме того, в кризис существенно ускоряется процесс принятия решений. Например, из 15 предложений по ускорению процесса прохождения сертификации, поданных регулятору, 12 было принято. Раньше об этом можно было только мечтать.

Мы всегда входили в кризис с хорошим заделом, позволяющим какое-то время «держаться на плаву». Сейчас мы видим ажиотажный спрос на нашу продукцию, и пока у нас есть достаточные складские запасы.

И еще, я думаю, надо отбросить длинные проекты с непонятным результатом и сконцентрироваться на главном. Сейчас важно продержаться. Думаю, в конце второго квартала ситуация станет более предсказуемой, появятся новые логистические цепочки. А люди перестанут тешить себя надеждой, что все вернется на круги своя. Этого не будет.

Вторая реперная точка — август. К этому времени начнут заканчиваться запасы — как складские, так и денежные. А значит, должны быть налажены новые логистические цепочки, найдены другие производители. Люди поймут, что жизнь изменилась, но не остановилась.

Конец года, ноябрь-декабрь, будет тяжелым. И к этому надо быть готовым. Начнут сказываться отложенные последствия санкций. Мы все привыкли к тому, что на конец года приходится две трети бюджетных платежей. В этом году они значительно снизятся, и всем нам придется затянуть пояса.

К январю 2023 г., на рынке начнут появляться первые продукты, способные заменить исчезнувшие. В целом 2023 г. для всех нас будет очень непростым. Дай Бог нам всем его пережить.

Нашей компании хватило двух с половиной лет, чтобы полностью перейти на собственные продукты. У России возможностей побольше, выживем и перестроимся. Я верю!