Новый взгляд на безопасность операционных систем

XI научно-практическая конференция OS DAY состоялась в Москве в РЭУ имени Г.В. Плеханова. Ее центральной темой стал вопрос безопасности операционных систем на уровне инженерных или архитектурных решений, обеспечивающих ответы на модели угроз. Также предметом обсуждения на конференции стало внедрение национального стандарта разработки безопасного программного обеспечения.

Прозвучавшие на конференции доклады были посвящены автоматизации процессов анализа безопасности и строительству технологически безопасных экосистем, инструментам доверенной разработки и доверенной загрузки, мониторинга и диагностики, различным подходам к построению безопасной архитектуры операционных систем.

«Безопасность строится на всех уровнях программного обеспечения, начиная от ядра ОС, через прикладные программы и заканчивая скриптами в браузере, – подчеркнул Валерий Егоров, технический директор  НТП «Криптософт». – На каждом уровне возможно возникновение уязвимости, которая в итоге может стать окном для злоумышленника. Необходим комплексный подход к безопасности всей информационной системы. 

Также на OS DAY 2024 обсуждались преимущества архитектуры проприетарных операционных систем и системного программного обеспечения, созданного с использованием открытого кода, использование принципа secure-by-design, безопасность операционных систем для промышленных устройств. Прозвучал доклад о процессе создания национального стандарта «Доверенная среда исполнения». Вызвала дискуссию тема взаимодействия с международным сообществом разработчиков при исправлении обнаруженных уязвимостей в открытом коде. Несколько выступлений было посвящено российским операционным системам для мобильных устройств.  

«Некоторое время назад казалось, что в разработке ОС заинтересована очень незначительная часть индустрии, – заявил на открытии OS DAY Андрей Духвалов, директор департамента перспективных технологий «Лаборатории Касперского». – С течением времени интерес стал расти, в основном – с уклоном на импортозамещение.  Сейчас стало совершенно ясно, что контроль над развитием операционных систем – один из основополагающих факторов цифрового суверенитета страны не только в области цифровых технологий, но и для широкого спектра индустрий, многие из которых сейчас критически зависят от цифры. Более того, в силу своего положения ОС задает степень доверия и безопасности к цифровым системам и значит – к оборудованию в целом. Так что интерес к суверенным ОС сейчас растет во всем мире. От нас с вами зависит, насколько можно будет доверять информационным системам, в том числе – в промышленности». 

«Информационная безопасность – очень динамичная сфера, – отметил Роман Аляутдин, директор департамента разработки операционных систем и сервисов компании «Открытая мобильная платформа». – За последние год-два лидирующие продукты в области системного программирования и средств защиты информации значительно изменились, а индустрия совместно с регуляторами формирует новое поколение стандартов, задавая новый уровень архитектурных решений и практик разработки ПО. 

Внедрению единого стандарта безопасной разработки программного обеспечения был посвящен круглый стол «Национальные стандарты по разработке безопасного программного обеспечения», состоявшийся в начале второго дня конференции. Его участники обсуждали перспективы использования разработанного представителями ИТ-отрасли совместно с государственными регуляторами ГОСТ Р 56939 «Защита информации. Разработка безопасного программного обеспечения. Общие требования». Ожидается его введение в действие до начала 2025 года. На круглом столе обсуждали вопросы готовности к внедрению этого национального стандарта ИТ-индустрии в целом и отдельных компаний, создающих системное программное обеспечение, возможные последствия этого шага для рынка российских ОС, связанные с ним сложности. Участники дискуссии пришли к выводу, что в целом стандартизация процессов безопасной разработки необходима, хотя и потребует от вендоров дополнительных затрат и усилий. 

В первую очередь дополнительная стандартизация необходима компаниям, создающим операционные системы для критических отраслей. Так, Анна Кан, начальник аналитического отдела департамента координации и сопровождения программ НИЦ «Институт имени Н.Е. Жуковского», подчеркнула, что хотя современное законодательство не подразумевает обязательное использование государственных стандартов, ориентироваться на них необходимо. В частности, при создании российского программного обеспечения для авионики.  

«Это такая сфера, где проверяется решительно всё и решительно на всех этапах производства, – подчеркнула Анна Кан. – Проверяется, но человеческий фактор всё равно присутствует. Поэтому, если есть ГОСТ по кибербезопасности, его конечно же лучше применять, – он в определенной мере поможет. Тут мы можем ориентироваться на европейский опыт. Там есть ГОСТы для автомобилестроения, ГОСТы для авионики, ГОСТы для железных дорог, – отработанные, унифицированные, учитывающие лучше практики». 

«Видно, что стандарт не оторван от реальности, – отметил Михаил Новосёлов, инженер-разработчик НТЦ ИТ РОСА. – Это очень хорошо, индустрии будет легче его внедрить. Сейчас существует такая проблема, что обновления несертифицированных операционных систем происходят проще и оперативнее, чем сертифицированных. Переход к сертификации процесса разработки вместо сертификации конечного изделия должен ускорить доставку обновлений до потребителя и повысить реальную безопасность». 

Большинство представителей отрасли, принимавших участие в круглом столе, убеждено, что к введению нового национального стандарта отрасль готова. 

«В ГОСТе описаны те процессы, которые сегодня приняты у нас в разработке, – сообщил Денис Медведев, начальник отдела разработки и сертификации защищенных решений компании «Базальт СПО». – Причем очень правильно, что они описаны в минимально достаточном ключе, и каждый разработчик вправе расширять требования к ним, добавлять в свои процессы что-то новое. И делать свой продукт настолько безопасным, насколько позволит его фантазия». 

«Для нас тут нового ничего нет, – подтвердил Олег Шапошников, начальник отдела информационной безопасности РЕД СОФТ. – Однако создателям ГОСТа большое спасибо за то, что они привели в порядок и систематизировали все процессы. Думаю, мы достаточно быстро все внедрим».

В качестве итога круглого стола можно привести фразу, прозвучавшую в ходе прений: безопасность всегда подразумевает ответственность. Если нужна безопасность, ответственность должна быть. 

Актуальность обсуждавшихся на OS DAY 2024 тем и их важность для страны подчеркнул директор ИСП РАН Арутюн Аветисян. Он отметил, что всего за несколько дней до этого события в свет вышел Указ Президента Российской Федерации «Об утверждении приоритетных направлений научно-технологического развития и перечня важнейших наукоемких технологий». «Это настоящий подарок нам всем, кто занимается системным программированием, – сказал он. – Читаем в Указе список приоритетных направлений и видим в пункте 4: «безопасность получения, хранения, передачи и обработки информации». Понятно, что это касается всего нашего спектра, – и искусственного интеллекта, и больших данных. Но это еще не все. Потому что в перечне важнейших наукоемких технологий под номером 13 значится «технология создания доверенного и защищенного системного и прикладного программного обеспечения». 

Представители консорциума организаторов OS DAY выразили надежду, что конференция, которая состоится в июне следующего года, будет настолько же актуальна для отрасли. Планируется, что OS DAY 2025 так же пройдет на базе Российского экономического университета имени Г.В. Плеханова.

«Мы рады, что OS DAY проходит именно у нас, в РЭУ им. Г.В. Плеханова, – отметила проректор университета Ксения Екимова. – Наш университет становится площадкой, где профессиональное сообщество обсуждает актуальные темы, в том числе, – связанные с разработкой отечественного программного обеспечения». 

Конференция проводится при поддержке: РАН, ФСТЭК России, АРПП «Отечественный софт», НП «РУССОФТ».