Поделиться
ЦБ РФ: Облачные технологии меняют менталитет
С недавних пор банки стали активно обращать внимание на «облака». Эта технология постепенно завоевывает доверие крупных организаций. И хотя никто не торопится переносить в данную среду свои критические бизнес-процессы, «облака» вполне успешно используются как тестовые полигоны. О проекте по развертыванию системы облачных вычислений на опытном стенде Центробанка рассказал Александр Шибаев, начальник управления обеспечивающих систем МЦИ Банка России.Под платформой в «облаке» мы понимаем два продукта: SQL-сервер и SharePoint как платформу для коллективной работы. Что этот сервис означает? Если у отдела возникает необходимость провести тестирование или анализ, которые предполагают наличие СУБД, то достаточно просто воспользоваться этим сервисом. Отпадает необходимость каждый раз изыскивать или покупать «железо» и думать о лицензиях, установке, администрировании. Сотрудники думают лишь о том, какие приложения будут использовать СУБД. Сервис SharePoint-портал на нашем стенде предоставлен больше для примера.
Развертывание виртуальных серверов происходит за несколько минут. Настройка СУБД занимает чуть больше времени, но в любом случае речь идет о минутах, и по сравнению с тем, что было в прошлом, когда на это могла уйти неделя, это очень существенная перемена. Важное и обязательное условие для реализации IaaS и PaaS – наличие в облаке достаточных ресурсов. Наличие резерва из расчета 20–30 % от потребляемого недостаточно. Должно быть не менее 100 %.
Александр Шибаев: «Облако» достигнет своего наивысшего КПД, когда приложения будут предлагаться как сервис
Что касается сервиса приложений, то есть SaaS, то его у нас в «облаке» нет, потому что в Банке России нет таких приложений.
«Облако» достигнет своего наивысшего КПД, когда приложения будут предлагаться как сервис. Ликвидация собственного ИТ-подразделения и потребление сервиса из «облака» – весьма рискованное мероприятие, и я не думаю, что SaaS сейчас так популярен, как о нем говорят. К проблемам доступности и безопасности добавляется полная зависимость от поставщика сервиса. Почему-то считается, что малые предприятия, которые могут им воспользоваться, рискуют малым: ну что такое для бизнеса потерять миллион в случае недоступности сервиса SaaS облачного провайдера? Но для небольшой фирмы это то же самое, как для более значительной лишиться миллиардов, и может означать закрытие бизнеса.
Перенос приложения в «облако» – риск, и большие организации на него пойти не могут (хотя сам подход – развернуть SaaS в собственном частном «облаке» — уже начал применяться). Мы не тестируем это решение еще и потому, что решение о переносе (на самом деле переписывании) приложений в «облако» пока не принято. Это вопрос даже не завтрашнего дня.
CNews: Если говорить о бизнес-процессах, что тестируется на стенде?
Александр Шибаев: Дело в том, что развертывание в «облаке» бизнес-процессов требует знаний и времени. Так просто это сделать не получится. Фактически сейчас мы испытываем инфраструктурные решения, которые за год работы привели нас к мысли, что внедрение «облака» – это не вопрос технологии, он как раз решен. Главная составляющая – в идеологии и менталитете, которые надо менять.
Для служб ИБ, например, важно понять соответствие между текущими требованиями и решениями по информационной безопасности и требованиями и возможностями облачных технологий. Важно разобраться и учесть особенности технологии для разработки требований по информационной безопасности. Но, в свою очередь, требования по ИБ должны быть выполнимыми, а угрозы – реально реализуемыми. Я слышал «мощную» мысль, что «для выполнения требований информационной безопасности в случае таком-то, следует размещать каждую виртуальную машину на отдельном физическом сервере». Ответственно могу сказать: не существует проблем в информационной безопасности «облака», которые надо решать, отказываясь от виртуализации.
Не теряет актуальности древнее изречение "Abusus non tollit usum", которое в одном из вариантов переводится как «злоупотребление не отменяет употребление». Ведь и космос так же осваивался: сколько бы ракет ни упало, никто эту работу не бросил. Замены облачной технологии – той, что позволяет забыть о «железе» и думать только о сервисе, – пока нет.
CNews: Какие требования готовит Центробанк к ИБ в коммерческих банках?
Александр Шибаев: Требования Центрального Банка жесткие. И правильность такого строгого подхода только подтверждается в различных докладах на конференциях, где я бываю. Банки всего мира – и Россия не исключение – не могут вести бизнес, если у них не обеспечен удобный доступ клиента к расчетным услугам. Это значит, что банки должны иметь, скажем так, какой-либо интернет-вход. Отсюда и возникают все опасности.
Какое мнение пользователей о всяческих соцсетях? Это просто и безопасно, если я не хочу, то мою информацию никто не читает. Какое мнение сложилось у многих пользователей по отношению к «безбумажным» расчетам? Это просто и безопасно, а в случае изменения счета придет sms-уведомление. Но sms-уведомление – это не сторож пользовательского счета, а всего лишь одно из звеньев в цепи операций. А ведь к вашему счету можно прийти и не по этой цепочке, и тогда sms вовсе не придет.
Вот на защиту такого наивного пользователя от неведомых ему проблем и направлены требования Центрального Банка. Но если мы все не будем серьезно относиться к собственной финансовой безопасности, то никакие самые жесткие требования не сработают. Отчасти в результате невнимательности самих пользователей злоумышленники имеют возможность проникать в системы коммерческих банков и списывать деньги в свою пользу.
CNews: Уже есть какие-то прогнозы относительно того, когда облачный тестовый стенд станет промышленным решением?
Александр Шибаев: Да, такой прогноз есть. Он был утвержден в октябре прошлого года. В докладе на техническом совете был озвучен тот факт, что «облако» испытано. Сделаны выводы, один из которых заключается в том, что внедрение облачных вычислений требует пересмотра стратегий облачной безопасности. Эта стратегия закреплена в большом количестве документов, по ней мы сейчас и живем. Но есть большое количество вопросов, которые, с точки зрения безопасности, в «облаке» решаются иначе, чем в физическом мире.
В ходе тестов мы подтвердили: продукты вендоров зрелые, а решения по безопасности стали более удобными и функциональными. Чтобы все задуманное и протестированное осуществить, необходимо принять решение – и мы планируем сделать это до конца 2013 года.
Короткая ссылка
