Взаимодействие многочисленных подразделений банков в разных регионах страны нужно защищать, поэтому финансовым организациям не обойтись без VPN-технологий. В большинстве банков ориентируются на западные продукты, например, используют IPsec VPN с шифрованием по западным алгоритмам. Но для соответствия отраслевому стандарту СТО БР ИББС необходимо применять VPN-шлюзы, сертифицированные ФСБ России. Подобных VPN-продуктов, подходящих для банковского сектора, не так уж много. Связано это с серьезными требованиями, предъявляемыми данной сферой бизнеса.

СТАНДАРТИЗАЦИЯ

Несоблюдение данного требования может доставить значительные неудобства. Использование проприетарного протокола влечет за собой технологическую зависимость от поставщика. Также нужно быть готовым к возможным ошибкам в дизайне протокола, его уязвимостям, недокументированной работе.

Необходимо применение стандартных, общепринятых VPN-протоколов, в том числе международных стандартов IKE/IPsec в соответствии с RFC 2401-2412, как это реализовано, например, в продуктах С-Терра. Протоколы полностью документированы, независимы от производителя, а применение алгоритмов ГОСТ исключает нарушение конфиденциальности и целостности.

ПРИВЫЧНОЕ УДОБСТВО АДМИНИСТРИРОВАНИЯ

Практически каждое средство защиты имеет собственный интерфейс администрирования. При появлении нового продукта заказчик вынужден будет обучить группу инженеров либо передать администрирование системы безопасности сторонней организации. Эти процессы требуют временных и финансовых затрат. А добавление в инфраструктуру отдельной системы управления или мониторинга для каждого продукта приведет к громоздкому «зоопарку» решений, который будет сложно поддерживать.

В связи с этим необходимо использование интуитивно понятных инструментов администрирования, а также интерфейсов, уже известных администраторам. Например, большинству сетевых инженеров хорошо знакомо оборудование Cisco. Именно поэтому наряду с собственной системой управления в линейке продуктов С-Терра в качестве консоли управления используется подмножество команд Cisco IOS, а также поддерживается управление через Cisco Security Manager (CSM).

МАСШТАБИРОВАНИЕ

Современные банковские информационные системы насчитывают тысячи объектов, поэтому внедрение идет постепенно, в сети постоянно происходят изменения. Ручная перенастройка большого количества оборудования очень трудоемка и грозит ошибками, связанными в том числе с человеческим фактором.

Важно, чтобы при добавлении нового объекта изменения в уже настроенных шлюзах были минимальны, в идеале нужно обойтись без перенастройки. Это достигается в том числе путем применения специализированных сценариев использования продуктов. Например, динамический VPN (аналог DMVPN), реализованный в новой версии продуктов С-Терра, позволяет легко настроить полносвязную топологию (full mesh), необходимую для мультимедийных сервисов. А высокая производительность на многопроцессорных платформах позволяет не беспокоиться за пропускную способность VPN-концентраторов в центральных офисах и ЦОД.

ФУНКЦИОНАЛЬНОСТЬ

Не секрет, что функциональность отечественных VPN-продуктов несколько отстает от западных аналогов. В такой ситуации заказчик вынужден реализовывать некоторые необходимые ему функции на стороннем оборудовании.

Постепенно отставание от западных вендоров сокращается: например, у шлюзов С-Терра появился stateful межсетевой экран, time-based ACL, поддержка Radius, ведется разработка IPS/IDS. Уже сейчас продукты выпускаются в виде виртуальной машины для популярных гипервизоров. Благодаря этому шлюз становится самодостаточным объектом.

СООТВЕТСТВИЕ ТРЕБОВАНИЯМ РЕГУЛЯТОРОВ

Многие компании при встраивании сертифицированного криптопровайдера позиционируют свой продукт как сертифицированное СКЗИ. Однако мнение регулятора здесь однозначно: СКЗИ должно сертифицироваться полностью, то есть сертификата на криптопровайдер или корректность встраивания недостаточно. Согласно СТО БР ИББС необходимо применять СКЗИ, сертифицированное ФСБ России по классу КС2. Несоответствие этим требованиям может нести за собой финансовые, репутационные и другие потери. Применение продуктов С-Терра, сертифицированных ФСБ России по классам КС1/КС2/КС3 и ФСТЭК России, позволит полностью выполнить данное требование.

Западные продукты, бесспорно, обладают более широким перечнем функциональных возможностей, но не учитывают национальную специфику – поддержку алгоритмов ГОСТ и сертификацию регуляторов. Отечественные аналоги уступают по функционалу, но, как правило, легитимны с точки зрения законодательства. «С-Терра СиЭсПи» нашла баланс между этими крайностями и предлагает решение, соответствующее как всем современным вызовам в области информационной безопасности, так и требованиям регуляторов. Именно такой подход позволяет надежно защитить банковскую информационную систему.