Алексей Андрияшин, технический директор Fortinet в России, поделился своей точкой зрения на источники кадрового дефицита в области безопасности облачных сред.

Не секрет, что многие организации в настоящее время испытывают нехватку кадров по ряду ИТ-специальностей, в том числе в области администрирования серверов и систем (43%), общего сетевого администрирования (36%) и администрирования баз данных (31%). Дефицит опытных профессионалов в области кибербезопасности еще более выражен: разрыв в спросе и предложении таких специалистов составляет чуть менее 3 млн человек. В результате, согласно отчету ESG, 53% респондентов считают, что нехватка кадров в области кибербезопасности составляет проблему для их организации. И это касается только общих специалистов по кибербезопасности, которые занимаются поддержкой и защитой в первую очередь традиционных сетевых окружений.

По мере того, как сети расширяются и охватывают теперь еще и облачные сервисы, эта проблема становится еще более острой. Почти треть организаций заявили о сложностях с поиском сотрудников, способных управлять конвергентными инфраструктурами, которые объединяют традиционные и облачные сети в когерентное сетевое окружение. Нехватка квалифицированных сотрудников в области облачных сетей и их развитии во многом схожа с ситуацией в сфере ИТ, где 41% организаций испытывают трудности с поиском квалифицированных DevOps-инженеров, а 37% ищут сотрудников, имеющих опыт в области администрирования контейнеров.

Поэтому неудивительно, что разыскать специалиста по безопасности с навыками работы с облачными технологиями – все равно что найти иголку в стоге сена. В результате, подходы к обеспечению безопасности в облаке все чаще напоминают подходы к обеспечению безопасности физической сети, то есть решения внедряются разрозненно. Ситуацию усугубляет то, что политики безопасности, устройства, конфигурации и протоколы, развернутые в облаке, зачастую управляются совершенно другой командой специалистов, а это означает отнюдь не самый высокий уровень согласованности с точки зрения применения политик, взаимного соответствия, управления или оркестровки.

Есть ряд основных причин кадрового дефицита, характерных для организаций, использующие облачные сети и сервисы.

Нативная облачная безопасность. Организации, внедряющие облачные инфраструктуры, обычно сталкиваются с теми же проблемами безопасности, которые существуют в традиционных сетях. Во-первых, они склонны отодвигать вопросы безопасности на второй план и начинают заниматься этими вопросами обычно уже после того, как были сформированы планы облачной инфраструктуры. Во-вторых, они склонны внедрять в облаке те же устаревшие решения, которые они использовали в базовой сети. Многие просто загружают виртуальные версии своих устройств физической защиты в облачное хранилище, и организации выбирают их, поскольку считают, что они их уже знакомы с ними.

Однако эти решения, как правило, имеют несколько серьезных проблем.

1. Разные инструменты безопасности по-прежнему используются в изоляции друг от друга, а это означает, что не только по-прежнему не удается использовать информацию об угрозах или событиях безопасности одновременно в разных решениях, но и нельзя использовать эту информацию одновременно в различных сетевых окружениях, что лишь усложняет обеспечение взаимной согласованности и выполнение политик.

2. Виртуальные версии решений безопасности, внедренные в облаке, нередко работают совсем не так, как их физические версии. Речь идет не только о том, что отдельные функции работают в них иначе, – многие функции в таких решениях могут отсутствовать вовсе. А это означает, что даже если есть можно видеть все версии межсетевого экрана в централизованной консоли управления, то это еще не гарантирует возможности настроить единые конфигурации и обеспечить согласованное выполнение политик.

3. эти инструменты не позволяют в полной мере реализовать преимущества и встроенную функциональность облака, поскольку они не предназначены для работы с облачными API и нативной облачной функциональностью, а это, в свою очередь, означает, что они работают медленнее и не столь эффективно, как инструменты, изначально созданные для работы в облаке.

Экспертам по облачной безопасности важно уметь развертывать, настраивать и управлять нативными облачными решениями, которые разработаны для работы в том же гибком и распределенном режиме, что и облачные приложения, и которые требуются в современных платформах облачных вычислений, то есть сильно отличается от традиционных инструментов безопасности.

DevOps или DevSecOps. Специалисты по безопасности должны стать неотъемлемой частью команды DevOps-инженеров – это позволит гарантировать, что безопасность встроена в приложения, инфраструктуру и сервисы с самого начала каждого проекта. Например, для разработки приложений в стиле Agile необходимо уметь связывать функциональность приложения – особенно для обработки критически важных данных – с функциями безопасности в рамках единой надежной цепочки, чтобы обеспечить защиту пользователей, и при этом сохранить высокую эффективность и производительность приложения. Вообще говоря, это требует многих навыков, которые не ограничиваются навыками большинства специалистов по кибербезопасности, сосредоточенных главным образом на основных стратегиях сетевой безопасности.

Контейнерная безопасность. Этот аспект становится все более сложным при реализации специализированных окружений, например контейнеров, где необходимо использовать вполне определенные решения безопасности. Для обеспечения контейнерной безопасности необходим специалист по безопасности, способный решать определенные задачи, в том числе:

— интегрированная контейнерная безопасность для решения проблемы использования поврежденных или вредоносных данных и помещения их в контейнеры;

— инструменты безопасности с поддержкой контейнеров, например межсетевые экраны для веб-приложений, запущенные внутри контейнеров, благодаря которым DevOps-инженеры могут с более высокой эффективностью интегрировать безопасность приложений в свои процессы разработки приложений;

— подходы к безопасности, учитывающие работу с контейнерами, которые предусматривают формирование политик и контроль за их исполнением на основе контекстуальных факторов, например, тегов и меток контейнеров.

— обеспечение безопасности реестра контейнеров, чтобы разработчики не могли выбрать инфицированный модуль и затем создавать функционал нового приложения на основе этого скомпрометированного кода.

Мультиоблачные окружения. Все эти проблемы усугубляются, когда речь идет о мультиоблачных окружениях. А с учетом того, что по оценкам отдельных экспертов 81% предприятий в настоящее время реализуют мультиоблачные стратегии, этот аспект является наиболее важным.

Среди специфических сложностей обеспечения безопасности мультиоблачного окружения:

— обеспечение единообразной унифицированной защиты: приложения, данные и рабочие процессы перемещаются между облачными окружениями; с точки зрения безопасности это означает, что политики безопасности тоже должны мигрировать вслед за любыми транзакциями, чтобы критические данные и ресурсы получали надлежащую защиту независимо от своего размещения;

— обеспечение единообразных политик: различные облачные окружения работают по-разному, а это означает потенциальные проблемы с переносом политик безопасности между различными облачными сетями; необходимо учитывать разницу в функциональности решений безопасности, при этом протоколы должны уметь транслировать правила и политики «на лету», чтобы исключить любые пробелы в их реализации, которыми бы могли воспользоваться злоумышленники.

Нехватка квалифицированных специалистов в области кибербезопасности, особенно обладающих навыками работы с облачными окружениями, может привести к кризису, угрожающему самому существованию молодой цифровой экономики. Для решения этой проблемы необходима координация усилий со стороны как частного, так и государственного сектора. А пока что организациям необходимо определиться с теми ИТ-сотрудниками, предпочтительно с бэкграундом в части DevOps, которых можно было бы специально обучать в области облачной безопасности.

Эти сотрудники затем должны быть включены как в команды инженеров по ИТ-безопасности, так и в команды DevOps-инженеров, чтобы не только внедрять эффективные решения безопасности, но и ликвидировать разрыв между традиционными ИТ и облаком. Неспособность полностью понять проблематику и эффективно реализовать нативную стратегию облачной безопасности может сделать организацию уязвимой с точки зрения пробелов в политике и механизмов ее реализации, а также ограничить производительность и безопасность облачной инфраструктуры, приложений и сервисов. И это может стать решающим фактором в том, сумеет ли организация преуспеть в условиях современной цифровой экономики.