Мифы и реальность квантовой криптографии (основное сообщение)

Вместо предисловия

  Для того, чтобы глубоко понять принципы работы квантовой криптографии и трезво оценить возможности осуществления неконтролируемого несанкционированного доступа к квантово-криптографическим каналам связи нужно достаточно хорошо разбираться в квантовой физике вообще и в физике работы квантово-оптических приборов, в частности. В данном сообщении я постараюсь вкратце описать сущность квантовой криптографии и возможности несанкционированного доступа к квантово-криптографическим каналам.
  Сначала хочу сказать то, что как таковой квантовой криптографии не существует, а существует квантовое распределение ключа. В последствии, данный ключ используется для шифрования информации надежными симметричными алгоритмами. Вообще, квантовая криптография, это побочный продукт разработок в области квантовых компьютеров. Как известно, уже существуют квантовые алгоритмы быстрой факторизации (разложение на простые множители) бесконечно больших чисел. А это, как известно, является основой безопасности асимметричных алгоритмов шифрования. Также разработаны квантовые алгоритмы быстрого поиска информации в неупорядоченных базах данных. Соответственно, когда будет создан первый полноценный квантовый компьютер, тогда в считанные минуты (за счет природного параллелизма вычислений) будут взломаны все шифры, безопасность которых основана на сложности факторизации больших чисел. Эффективная работа над созданием квантовых компьютеров идет и подтверждением этому является то, что Канадская компания D-Wave продемонстрировала первый работающий квантовый компьютер Orion, состоящий из 16 кубит. Считается, что полноценный квантовый компьютер (квантовый регистр) должен состоять не менее, чем из 1000 кубит. Как считают специалисты это достижимо, т.к. физических ограничений не существует, а существуют пока технологические ограничения.

Основная часть

  Как известно, классическая криптография основана на использовании секретных ключей. При этом секретность криптограммы полностью зависит от секретности используемого ключа. Как показал Клод Шенон [C.E. Shannon, Bell Sist. Tech. J, 28, 656 (1949)], если ключ является действительно случайным, если он такой же длины, что и само сообщение, и если он никогда не используется повторно, то одноразовая передача сообщения абсолютно защищена. В то же время, эта не взламываемая система имеет один существенный недостаток, это распределение ключа. Если решить проблему распределения ключа, то в принципе можно достичь полной секретности. На данный момент существует два очень интересных решения поставленной проблемы: математическое и физическое. Математическое решение называется криптографией с открытым ключом, а физическое известно как квантовая криптография.
  Хотя в системах с открытым ключом нет проблемы распределения ключей, но, к сожалению, их надежность основана на недоказанных математических фактах, таких, как сложность разложения больших целых чисел на простые множители (факторизации). Таким образом, проблема состоит не в том, что невозможно найти секретный ключ по открытому ключу, а в сложности это выполнить. Это означает, что если и как только будут реализованы быстрые и надежные процедуры для факторизации больших целых чисел, вся секретность и надежность криптосистем с открытым ключом сразу исчезнут. Исследования же по квантовым вычислениям показывают, что квантовые компьютеры способны факторизовать гораздо быстрее, чем классические компьютеры [P. Shor, (1994) Proc. of 35th Annual Symposium on the Foundations of Computer Science, (IEEE Computer Society, Los Alamitos), p.124 (Extended Abstract)]. Это значит, что любое сообщение, зашифрованное, например, с помощью RSA, может быть расшифровано посредством супер-ЭВМ.
  Квантовая криптография предлагает принципиально иной способ решения проблемы распределения ключа. Как отмечается в [Физика квантовой информации: Квантовая криптография. Квантовая телепортация. Квантовые вычисления / Под ред. Боумейстера Д., Экерта А., Цайлингера А.; Пер. с англ. Кулика С.П., Шапиро Е.А. - М.: Постмаркет, 2002. - 375 с.], квантовая криптография обеспечивает абсолютно защищенное распределение ключа, поскольку, в отличие от классической криптографии, она основана на законах физики, а не на ограниченности вычислительных мощностей.
  На данный момент существует несколько протоколов квантового распределения ключа, основу которых составляют следующие принципы. Квантовое распределение ключа начинается с пересылки одиночных или перепутанных квантов от отправителя к пользователю. Предполагается, что отправитель отправляет пользователю конфиденциальную информацию. Несанкционированный съем информации агентом (злоумышленником), с физической точки зрения, основан на серии экспериментов, выполняемых агентом на носителях информации, в данном случае на пересылаемых квантах. Согласно правилам квантовой механики, в общем случае любое измерение, выполняемое агентом, неизбежно меняет состояния передаваемых квантов. Отправитель и пользователь могут это обнаружить (выяснить) в последующей открытой связи [Физика квантовой информации: Квантовая криптография. Квантовая телепортация. Квантовые вычисления / Под ред. Боумейстера Д., Экерта А., Цайлингера А.; Пер. с англ. Кулика С.П., Шапиро Е.А. - М.: Постмаркет, 2002. - 375 с.]. Таким образом, основные составляющие квантового распределения ключа таковы: квантовый канал для обмена квантами и так называемый открытый канал, который используется, чтобы проверить искажено ли сообщение через квантовый канал.
  Во время квантовой пересылки ключ либо закодирован с использованием заданного набора неортогональных квантовых состояний одной частицы, либо он получается из заданного набора измерений, выполняемых на перепутанных частицах после пересылки. В последнем случае во время пересылки ключ еще даже не существует.
  При использовании неклассических свойств перепутанных пар частиц становится возможной реализация ряда новых особенностей криптографии [J.F. Clauser and M.A. Horne, Phys. Rev. D10, 526 (1974)]. Однако, на основе существующей технологии построить такие схемы оказывается значительно труднее, чем одночастичные, в основном, из-за необходимости генерировать состояния с высокой степенью перепутывания. Неполное перепутывание между фотонами, поступающими к пользователям, может быть улучшено только при использовании техники очищения перепутывания, которая, при современном уровне развития технологии, не может быть реализована [Физика квантовой информации: Квантовая криптография. Квантовая телепортация. Квантовые вычисления / Под ред. Боумейстера Д., Экерта А., Цайлингера А.; Пер. с англ. Кулика С.П., Шапиро Е.А. - М.: Постмаркет, 2002. - 375 с.], хотя теоретически доказана.
  Квантовые протоколы распределения ключа, основанные на передаче одиночных фотонов с неортогональными состояниями поляризации, наиболее привлекательны в свободном пространстве, где сохраняется их поляризация, но их труднее осуществить в оптических волноводах, из-за деполяризации и случайно флуктуирующего двулучепреломления. Деполяризация не является основной проблемой: ее действие можно подавить посредством достаточно когерентного источника. Временные флуктуации двулучепреломления при стационарных условиях являются довольно медленными (1 час). Электронная система компенсации, осуществляющая непрерывное отслеживание и исправление поляризации, возможна, но она требует процедуры согласования между отправителем и пользователем. Несмотря на эти недостатки ученым из GAP-Optique удалось создать устройство квантового распространения ключа [G. Ribordy, J.-D. Gautier, N. Gisin, O. Guinnard and H. Zbinder Electronics Letters 34, 2116-2117 (1998)].
   Квантовая криптография, реализуемая в открытых линиях связи, лишена такого недостатка как изменение поляризации. Однако здесь возникает проблема прохождения света через турбулентную атмосферу и детектирование единичных фотонов при интенсивной фоновой засветке. В то же время, сочетание узкополосной частотной и пространственной фильтрации с наносекундной техникой позволяет осуществить генерацию ключа с приемлемыми величинами относительной ошибки [W.T. Buttler, R.J. Hughes, P.G. Kwiat, S.K. Lamoreaux, G.G. Luther, G.L. Morgan, J.E. Nordholt, C.G. Peterson, and C.M. Simmons, Los Alamos preprint, quant-ph/9805071].
  В связи со сказанным можно заключить, что наиболее привлекательными на данный момент с точки зрения практической реализации являются протоколы квантовой криптографии, основанные на передаче одиночных не связанных квантов с кодировкой поляризационных состояний в двух альтернативных базисах, не ортогональных друг другу.
  Одним из распространенных протоколов квантовой криптографии является одночастичный протокол ВВ84 [Bennett C.H. Phys. Rev. Lett. 68 3121 (1992)]. Секретность этого протокола (как и всех квантово-криптографических протоколов) основана на том факте, что в случае несанкционированного съема информации в квантовом канале агентом, отправитель и пользователь смогут выявить сам факт съема информации по частоте ошибок и вынуждены будут повторно возобновить процедуру обмена конфиденциальной информацией.
  Если говорить о непосредственном измерении поляризационного состояния фотона, то таких способов съема существует несколько:
  - способ съема информации в квантово-криптографическом канале, использующий непосредственное измерение поляризационного состояния фотона [Физика квантовой информации: Квантовая криптография. Квантовая телепортация. Квантовые вычисления / Под ред. Боумейстера Д., Экерта А., Цайлингера А.; Пер. с англ. Кулика С.П., Шапиро Е.А. - М.: Постмаркет, 2002. - 375 с.];
  - "некогерентная" атака [B.A. Slutsky, R. Rao, P.-C. Sun and Y. Fainman, Phys Rev. A 57, 2383 (1998)];
  - "когерентная" атака [D. Mayers, Unconditional security in Quantum Cryptography, quant-ph / 9802025 (1998)];
  - "коллективная" атака [E. Biham, M. Boyer, G. Brassard, J. van de Graaf and T. Mor, Security of Quantum Key Distribution against all Collective attacks, quant-ph / 9801022 (1998)].
Все эти способы несанкционированного съема информации вносят большой процент ошибок в передаваемый ключ и могут быть обнаружены законными пользователями.
  В последнее время в научном сообществе появляются сообщения о возможностях неконтролируемого несанкционированного съема информации с квантового канала связи и возможностях воздействия на фотоприемную аппаратуру легальных пользователей с целью получения необходимой заранее заданной комбинации бит ключа. Вот некоторые из них:
  1. Как заявляют французские физики, они научились "незаметно" следить за фотоном, не поглощая его в процессе наблюдения и измерять его характеристики, не меняя их при этом необратимым образом. Для этого используется так называемая технология QND (quantum non-demolition), видоизмененная для работы с отдельными фотонами.
   2. Исследовательская группа под руководством Вадима Макарова из норвежского научно-технологического института в г.Трондхейм показала возможность взлома квантовых криптографических систем, использующих популярные детекторы SPCM-AQR на базе лавинных фотодиодов производства компании Perkin Elmer. Для этого «третьей стороне», желающей приобщиться к передаваемой информации, но при этом сохранить свое инкогнито, необходимо воздействовать на детектор мощными световыми импульсами. Одна из четырех аномалий, возникающих при облучении детектора световым излучением с пиковой мощностью 1-10 мВт, как показали исследования, может быть использована для взлома системы шифрования информации и, следовательно, является фактором уязвимости. При подаче мощного светового импульса на лавинный фотодиод детектора, работающий в режиме регистрации единичных фотонов, происходящие в электронной схеме детектора процессы приводят к тому, что он перестает реагировать на отдельные фотоны и начинает выдавать выходной сигнал только при регистрации мощного светового импульса. Этот феномен может быть использован для вскрытия систем криптографической защиты. Третья сторона может, регулируя мощность подаваемых на вход приемника «паразитных» световых импульсов, произвольно управлять его выходными сигналами. Это дает возможность проведения атаки типа Intercept-Resend, позволяющей перехватить отправленный заново отправителем криптографический ключ целиком и дешифрировать информацию. При этом факт перехвата сообщения останется загадкой для абонентов криптографических систем защиты данных.
  Для меня всегда оставалось загадкой, почему никто не догадался (хотя я не исключаю тот факт, что данные методы и устройства, которые их реализуют засекречены) использовать эффект вынужденного испускания возбужденных атомов вещества для съема информации в квантовых каналах связи? Ваш покорный слуга является автором патента на данный метод и устройство и поэтому я его опишу ниже.
  Способ основан на использовании эффекта вынужденного испускания атомов вещества (усилитель квантовых состояний). При этом фотон попадая в активную среду стимулирует рождение второго фотона с таким же типом поляризации, направлением распространения, энергией и другими физическими свойствами. При этом, если злоумышленник "возьмет" один из этих фотонов себе, а второй оставит не тронутым, то факт перехвата не будет установлен легальными пользователями. Однако при этом агент не получит никакой дополнительной информации по сравнению со случаем непосредственного съема информации. В этом случае злоумышленник не будет обнаружен легальными пользователями.
  Следует отдельно отметить тот факт, что применение в описанном способе съема информации в квантово-криптографическом канале усилителя квантовых состояний не противоречит теореме о невозможности клонирования неизвестного квантового состояния [С.Я. Килин Квантовая информация / Успехи физических наук, том 169, №5, 1999, стр. 507-526]. Это связано с тем, что усилению подвергается не неизвестное квантовое состояние, такое как суперпозиционное состояние поляризации фотона, а такая его физическая характеристика, как тип поляризации. Следует отличать тип поляризации фотона от его состояния поляризации [Суханов А.Д. Лекции по квантовой физике- М.: Высш. шк., 1991. 383 с.]. Суперпозиционное состояние поляризации фотона является его специфической волновой характеристикой и оно действительно не может быть клонировано. В то же время, можно получить копию фотона с заданным типом поляризации, например, вертикальным, посредством усилителя квантовых состояний [Пихтип А.Н. Оптическая и квантовая электроника, 2001]. Фотон, со строго заданным типом поляризации, например, вертикальным, может быть представлен в виде различных суперпозиционных состояний, каждое из которых "формируется" при взаимодействии с различными макроскопическими телами. В нашем случае под различными макроскопическими телами подразумеваются поляризационные анализаторы с различными направлениями осей кристаллов.
  Попробую на пальцах пояснить различие между типом и состоянием поляризации. В классическом мире с помощью измерительных приборов мы можем измерить ту, либо иную характериатику сигнала (амплитуда, частота, фаза, поляризация), т.е. данная характеристика уже существует до измерения и мы после измерения просто констатируем факт. В квантовом мире все совершенно иначе. Квантовые частицы (микрочастицы) до измерения находятся в неизвестном суперпозиционном состоянии. Как только они начинают взаимодействовать с измерительными приборами их характеристики (волновые и/или корпускулярные) принимают конкретное значение. Т.е. измерительный прибор устанавливает значение измеряемой характеристики микрочастицы. Все это наглядно иллюстрирует принцип неопределенности Гейзенберга (при котором факт измерения меняет измеряемую величину), т.е. если мы можем с большой точностью определить координату микрочастицы (т.е. фактически устанавливаем нашим измерительным прибором эту координату), то у нее оказывается полностью размыт импульс (одна и та же микрочастица может одновременно обладать разными импульсами) и наоборот, если мы измеряем импульс частицы (т.е. устанавливаем нашим измерительным прибором этот импульс), то частица будет полностью размыта в пространстве (одна и та же частица одновременно находится в любой части пространства). Тоже самое относится и к соотношению энергии микрочастицы и времени ее жизни с этой энергией, а также к соотношению неопределённостей между двумя ортогональными компонентами оператора полного углового момента частицы. Также для понимания будет полезным вспомнить классический опыт по квантовой физике из школьного учебника по регистрации электрона в интерферометре, состоящем из экрана (на котором фиксируется интерференционная картина), диафрагмы с двумя щелями и источника единичных электронов (электронной пушки слабой интенсивности). Этот опыт наглядно показал, что отдельные электроны обладают волновыми характеристиками и "одновременно" пролетая через две щели образуют на экране интерференционную картину. Это происходит из-за того, что каждая микрочастица (в нашем случае электрон) находится в суперпозиционном состоянии перед отверстиями диафрагмы. Также этот опыт показал, что если мы пытаемся наблюдать, через какое именно отверстие пролетает электрон, то интерференционная картина на экране сразу исчезает и мы наблюдаем на экране обычное распределение максимумов интенсивностей напротив этих щелей.

Непрерывность бизнеса в условиях кризиса

   Многие аналитики сходятся во мнении, что кризис негативно сказывается практически на всех аспектах бизнеса. Так, не стало исключением и значительно ослабло намерение руководства многих компаний внедрить Системы Управления непрерывностью бизнеса. Управление непрерывностью бизнеса (Business Continuity Management, BCM) - это процессы, методы и техника, направленные на обеспечение непрерывного функционирования критичных бизнес функций (http://www.bcp.ru/). Планирование непрерывности бизнеса (Business Continuity Planning, BCP) - это многогранная деятельность, направленная на снижение рисков прерывания бизнеса, негативных последствий таких сбоев, восстановление бизнеса до приемлемого уровня в определенной последовательности и установленные сроки, начиная с момента прерывания.
   Зачастую принято считать, что соответствие лучшим мировым практикам носит больше маркетинговый характер. Также считается, например, что внедрение Системы Управления непрерывностью бизнеса в организации в соответствии с положениями Британского Стандарта BS25999 позволяет только повысить привлекательность компании в глазах инвесторов, партнеров и клиентов (хотя это тоже имеет место быть). Однако, данное внедрение позволяет значительно повысить "живучесть" компании и позволяет полностью не потерять бизнес в случае возникновения форс-мажорных ситуаций. Все мы помним трагические события 11 сентября 2001 года в США. Эти события показали, как некоторые из крупных финансовых организаций смогли достаточно быстро восстановить свою деятельность, активизируя и используя планы непрерывности бизнеса.
   К угрозам для непрерывности бизнеса компании относятся не только террористические акты. Существуют гораздо более «прозаичные» и наиболее часто случающиеся инциденты, которые приводят к фатальным последствиям для компаний. Это различного рода сбои телекоммуникационных и энергетических систем, серверов, приложений, пожары, наводнения, штормы, техногенные катастрофы, принудительная эвакуация и т.п. Нельзя не отметить, что особую роль играет пресловутый человеческий фактор – случайные ошибки или преднамеренные действия персонала, уход ключевых сотрудников.
   Если говорить строго, то проблемам непрерывности бизнеса и до кризиса уделялось мало внимания (все делалось и делается на авось и только после того, "как грянет гром"). Многие до сих пор путают проблемы обеспечение непрерывности бизнеса и восстановление после сбоев (данный аспект является техническим).
   В России вопросам непрерывности бизнеса начали уделять наиболее пристальное внимание практически только в начале 2008 года, когда компания BSI (http://www.bsi-russia.ru/) анонсировала новую версию британского стандарта BS25999. После этого, ряд крупных Российских компаний всерьез заинтересовались вопросом внедрения положений этого стандарта. В настоящее время по оценкам российского представительства BSI лидером среди компаний интеграторов, которые внедряют данный стандарт является компания Инфосистемы Джет.
   Вот некоторые основные преимущества, которые получает компания при разработке и внедрении BCP:
   1. Снижение рисков прерываний бизнеса.
   2. Быстрое и эффективное восстановление бизнеса после прерываний/сбоев.
   3. Минимизированные финансовые убытки, связанные с прерываниями/сбоями.
   4. Удовлетворение требований законодательства, клиентов, акционеров, руководства, аудиторов и других заинтересованных структур.
   Поэтому, не смотря на кризис, компании которые заботятся о процветании и повышении эффективности своего бизнеса должны серьезно задуматься не только о разработке собственного плана восстановления после сбоев, но и об внедрении Системы Управления непрерывностью бизнеса.

Партнерский День BSI

   27 марта 2009г. завершился "Партнерский День BSI", который организовала и провела для своих партнеров 2-го уровня (компаний интеграторов) компания BSI.
   Программа мероприятия включала как деловую часть, так и неформальную составляющую. Представитель BSI Роман Приходько рассказал про достижения BSI в 2008 году и от лица компании поздравил представителей четырех партнерских организаций, которые были наиболее успешными и активными в прошедшем году в вопросах внедрения и сопровождения Систем Управления в соответствии с ISO27001, ISO20000 и BS25999, а также своего зарубежного партнера компанию Цебит (Украина). Также BSI обратились к своим партнерам с призывом о том, что не смотря на кризис необходимо искать пути, которые позволили бы объединить усилия и повысить эффективность и спрос Российских компаний на лучшие практики Международных Систем Менеджмента. BSI готово принимать участие в пресейловых мероприятиях, что может служить преимуществом для компаний.
   После этого я выступил с докладом по перспективным технологиям обучения и повышения осведомленности сотрудников компаний. Все прекрасно понимают, что без наличия подготовленных специалистов невозможно внедрить и эффективно сопровождать какую бы то ни было Систему Управления бизнес-процессами. С другой стороны и руководство компаний и сотрудники стали жертвами кризиса. Поэтому Академия Информационных Систем выступает с предложением проведения обучения в так называемых "виртуальных классах". Данные технологии позволяют объединить несколько видов синхронных коммуникаций и эмулировать обычное классическое живое аудиторное обучение и общение в реальном режиме времени с преподавателем и другими слушателями. При обучении в "виртуальных классах" слушатели экономят на самом обучении, а так же у них полностью отсутствуют командировочные расходы и расходы на переезд и проживание в гостиницах.
   Завершил деловую часть тренинг по британскому стандарту BS31100:2008 "Code of practice for risk management" (Свод практик для риск-менеджмента), который провел сертифицированный тренер BSI Сергей Романовский. Этот британский Стандарт дает основы для понимания, разработки, внедрения и сопровождения процессов управления рисками в организации, с целью повышения вероятности успешного достижения организацией своих бизнес целей. Этот стандарт определяет принципы и терминологию в области управления рисками, а также предоставляет рекомендации относительно модели, базовой структуры, процесса и реализации управления рисками.
   Прелесть таких мероприятий заключается еще и в том, что помимо формальной деловой части предусмотрена так называемая часть "без галстуков". Именно в это время можно не принужденно пообщаться с коллегами по цеху, обсудить на чашечкой кофе или бокалом более крепкого напитка, возникающие в профессиональной деятельности вопросы и проблемы, установить новые контакты. Зачастую наиболее крепкие и наиболее эффективные связи и взаимоотношения возникают при личном не формальном и не принужденном общении вдали от стен собственных офисов.
   Опыт проведения подобных мероприятий показывает, что они положительно сказываются на долгосрочных отношениях и повышают лояльность партнеров. Подобные мероприятия помогают сглаживать всевозможные недопонимая, которые неизбежно возникают в любых взаимоотношениях.

Перспективные технологии обучения (взгляд 2)

   В настоящее время, все, что касается обучения, это достаточно больная и не благодарная тема для обсуждения по нескольким причинам. Во-первых, практически все организации бросились оптимизировать свои расходы и разрабатывать и внедрять локальные антикризисные меры. Как я писал в нескольких своих СООБЩЕНИЯХ (_1_, _2_), одной из самых значительных, но далеко не самых популярных среди сотрудников мер, стало частичное, либо полное сокращение бюджетов на обучение. Во-вторых, многие специалисты практически лишились возможности повышения собственной квалификации и уровня компетенции за счет организации. Все это, естественно, не может положительно сказываться на лояльности сотрудников.
   При всем этом мы все прекрасно понимаем, что проводить обучение и тестирование (проверку уровня компетенции) сотрудников необходимо периодически. Как минимум об этом нам говорит наш здравый смысл, а как максимум – обязательные требования законодательства.
   В пользу необходимости периодического проведения обучения говорят следующие факторы:
   1. Обязательные требования законодательства и стандартов (ФЗ №152-ФЗ, PCI DSS и т.п.);
   2. Рекомендательные требования национальных и м/н стандартов (СТО БР ИББС, ГОСТ27001, ISO/IEC 27001 и т.п.);
   3. Обучение с целью наиболее эффективного использования (эксплуатации) имеющихся средств и систем;
   4. Повышение осведомленности в области ИБ и, соответственно, уменьшение вероятности возникновения инцидентов ИБ.
   Все это работодатель (владелец бизнеса; первое лицо компании; лицо, принимающее решение и т.п.) прекрасно понимает (в большинстве случаев), но тратить достаточно большие средства, как раньше, не собирается. Все это в большей части относится к очному обучения сотрудников.
   Соответственно, возникает вопрос, каким образом, можно уменьшить стоимость обучения каждого сотрудника и при этом не потерять, а возможно даже повысить качество обучения? Все это возможно с использованием современных дистанционных технологий.
   Два основных фактора изменили дистанционное обучение и сделали его доступным и эффективным в современном мире:
   1. Повсеместное распространение персональных компьютеров;
   2. Развитие сети Интернет.

Перспективные дистанционные технологии обучения

   Как я уже писал в одном из своих сообщений, 26-27 марта 2009 года компания BSI проводит "Партнерский День BSI", на который приглашены ведущие Российские компании интеграторы, являющиеся партнерами второго уровня по стандартам ISO20000, ISO27001 и BS25999. На данном мероприятии планируется, как деловая программа, так и развлекательные мероприятия. В деловую программу включены доклады по основным тенденциям развития указанных стандартов, эффективности их внедрения в Российских компаниях и т.п. Ни для никого не секрет, что эффективное внедрение любой системы управления, будь то управление ИБ, ИТ или НБ, невозможно без наличия в штате квалифицированного персонала. При этом должны решаться три основные задачи:
   1. Донесение до высшего руководства понимания (осознания) того, что внедрение той, либо иной систему управления позволит не только сохранить бизнес в условиях возникновения форс-мажорных ситуаций, но и повысить его эффективность. Конечно, в нормальной практике все должно быть наоборот, важность внедрения должна исходить от высшего руководства;
   2. Обучение (повышение квалификации и/или переподготовка) специалистов и руководителей профильных отделов, которые непосредственно занимаются внедрением и/или сопровождением соответствующих систем управления;
   3. Повышение осведомленности сотрудников не профильных отделов компании. Например, высший менеджмент компании должен осознавать, что необходимо в обязательном порядке повышать осведомленность сотрудников в области ИБ, т.к. от каждого сотрудника зависит безопасность бизнеса всей компании. Инцидент безопасности может произойти не из-за злого умысла того, либо иного сотрудника, а из-за отсутствия элементарных знаний в области ИБ.
   Все это говорит о большой актуальности проведения обучения и повышения осведомленности всех сотрудников организации. Не смотря на очевидную актуальность обучения сотрудников, компании в условиях кризиса вынуждены значительно сокращать бюджеты на обучение. При этом оставшиеся средства необходимо потратить как можно эффективней и рациональней, в идеале без потери качества. Для решения этой, казалось бы противоречивой задачи, на помощь приходят перспективные дистанционные технологии обучения.
   Данные технологии могут использовать 2 вида коммуникаций:
   1. асинхронные коммуникации (электронная почта, форумы, доски объявлений, т.е. коммуникации при которых обмен сообщениями происходит в произвольное время);
   2. синхронные коммуникации (видео, аудио конференции, чаты, т.е. коммуникации при которых обмен сообщениями происходит в режиме реального времени).
   Наиболее технически сложными (и наиболее эффективными) являются синхронные коммуникации, т.к. они осуществляются в режиме реального времени.
   К синхронным коммуникациям относятся следующие технологии:
   1. чат (текстовые конференции);
   2. мгновенный обмен сообщениями;
   3. совместное использование приложений;
   4. аудиоконференции;
   5. видеоконференции (односторонние и двусторонние);
   6. веб-конференции (онлайн-семинары, вебинары);
   7. виртуальный класс.
   Если говорить строго, то первые два вида синхронных коммуникаций можно отнести и к асинхронным, но их отличие от электронной почты, досок объявлений и т.п., заключается в том, что пользователи, например, заранее договорившись, могут обмениваться текстовой информацией в режиме реального времени.
   Совместное использование приложений - этот вид коммуникаций, как правило, предназначен и удобен для демонстрации или обучения работе с программными продуктами. Изучаемый программный продукт запускается только на одном компьютере в сети, а на всех остальных компьютерах доступно содержимое экрана этого компьютера. При этом существует возможность удаленного управления программой мышью и клавиатурой.
   Аудиоконференции могут быть организованы путем установки на рабочих станциях специализированного ПО, либо с помощью стандартных инструментов браузера.
   Видеоконференция - это вид групповых телекоммуникаций, который позволяет группе людей из трех и более человек видеть и слышать друг друга, а так же обмениваться данными с персонального компьютера (передача данных), независимо от разделяющего их расстояния. Для организации видеоконференций используется технология - видеоконференцсвязь. Исследования ученых показали, что если к общению собеседников по звуковому (аудиальному) каналу добавляется визуальный невербальный язык (жесты, мимика и т.п), то у собеседников (например, преподаватель и слушатель) повышается эффективность восприятия информации. Видеоконференции часто сопровождаются передачей данных. Он означает интерактивный показ компьютерной информации параллельно со звуком и видео в том же канале. Для общения в режиме видеоконференции абонент должен иметь терминал видеоконференцсвязи. Обычно этот терминал состоит из микрофона, видеокамеры, устройств отображения информации и воспроизведения звука, а также центрального устройства - кодека, обеспечивающего кодирование/декодирование аудио и видео информации, захват и отображение контента. В качестве кодека может использоваться компьютер с программным обеспечением или программно-аппаратный комплекс.
   Под веб-конференцией (онлайн-семинаром) понимается проведение онлайн-встреч или презентаций через Интернет в режиме реального времени. Во время веб-конференции каждый из участников находится у своего компьютера, а связь между ними поддерживается через Интернет посредством загружаемого приложения, установленного на компьютере каждого участника, или через веб-приложение. В последнем случае, чтобы присоединиться к конференции, нужно просто ввести адрес сайта.
   Одним из видов веб-конференции является вебинар. Вебинар - это особый тип веб-конференций. Связь, как правило, односторонняя — со стороны говорящего, и взаимодействие со слушателями ограниченно. Вебинары могут быть совместными и включать в себя сеансы голосований и опросов, что обеспечивает полное взаимодействие между аудиторией и ведущим. В некоторых случаях ведущий может говорить через телефон, комментируя информацию, отображаемую на экране, а слушатели могут ему отвечать, предпочтительно по телефону с громкоговорителем. На рынке также присутствуют технологии, в которых реализована поддержка VoIP аудио-технологий, обеспечивающих полноценную аудиосвязь через Сеть. Вебинары (в зависимости от провайдера) могут обладать функцией анонимности или «невидимости» пользователей, благодаря чему участники одной и той же конференции могут не знать о присутствии друг друга.
   Виртуальный класс - это электронная имитация аудиторного обучения. Виртуальный класс это комплекс программных продуктов, реализующих сразу несколько элементов синхронного общения, которые позволяют приблизить общение через локальные или глобальные сети к общению "лицом к лицу" с помощью следующих функций:
- классная доска - возможность писать и рисовать на экране, доступном одновременно всем участникам общения;
- общий широковещательный чат;
- функция «поднятия руки»;
- индивидуальный обмен сообщениями между слушателями и преподавателем;
- демонстрация слайдов, учебных материалов.
   Все эти технологии позволяют вывести обучение на новый уровень.
   Интернет позволил:
- снизить стоимости доставки знаний;
- унифицировать корпоративные сетевые стандарты;
- создать технологические решения, работающие на различных компьютерных платформах, а также открытые стандарты подготовки учебных материалов;
- расширить рынок, что позволило любому человеку имеющему выход в Интернет проходить обучение со своего компьютера не зависимо от того где находится поставщик электронного обучения.

Возможен ли неконтролируемый доступ в квантово-криптографические каналы связи?

Вместо предисловия

   Как я уже писал в одном из сообщений своего блога в период 2-5 апреля 2009 года в Подмосковных Липках пройдет 11-я Международная конференция «РусКрипто”2009». Программа конференции достаточно обширна и включает в себя не только секции с тематическими докладами, но и ряд круглых столов, на которых ведущие эксперты в области криптографии будут дискутировать по современному состоянию вопросов в данной области.

   На данной конференции я буду выступать с докладом по достаточно экзотической теме не только для обычного обывателя, но и для не искушенного безопасника, по теме «Мифы и реалии квантовой криптографии». В настоящем сообщении я попытаюсь осветить некоторые физические явления, которые лежат (или могут лежать) в основе методов неконтролируемого доступа к казалось бы безупречным, с точки зрения безопасности, квантово-криптографическим каналам.

Основное сообщение

   В настоящее время идут широкомасштабные исследования оптических систем связи с использованием протоколов квантового распределения секретного ключа (именно так следует называть квантовую криптографию), являющихся предельным случаем защищенности передаваемой информации. Один из достаточно авторитетных журналов MIT Enterprise Technology Review несколько лет назад опубликовал список десяти наиболее быстро развивающихся технологий, в который включена и квантовая криптография.
   Активные исследования в области квантовой криптографии ведут фирмами IBM, GAP-Optique, Mitsubishi, Toshiba, национальной лабораторией в Лос-Аламосе, Калифорнийским технологическим институтом, компанией MagiQ и холдингом QinetiQ.
   В фирме IBM лабораторией Almaden Research Center продолжаются фундаментальные исследования в области квантовых вычислений, начатые группой Чарльза Беннетта, создателем первого квантового протокола BB84. О последних достижениях фирмы IBM (собственно, как и других компаний) в квантовой криптографии в открытой печати информация крайне скупа.
   Важно отметить успехи в создании новой элементной базе для квантовых каналов связи. Действительно, обычные светодиоды и лазеры испускают фотоны группами, что теоретически дает возможность перехвата части фотонов для извлечения из них необходимой информации. В центре TREL (Великобритания) создан источник одиночных фотонов. 
   Принципиально другой подход в проблеме излучателя для квантовых каналов связи предложен группой Фредерик Гроссан из Института оптики в Орсэ (Франция). Разработанная здесь методика позволяет шифровать сообщения с помощью импульсов, состоящих из нескольких сот фотонов. На приемном конце предложено усреднять значения амплитуды и фазы электрического поля группы фотонов. Здесь учтено, что как и поляризация отдельного фотона, амплитуды и фазы электрического поля группы фотонов связаны друг с другом принципом неопределенности. Однако в отличие от поляризации фотона, принимающей одно из двух значений вдоль каждого ортогонального направления, эти переменные могут принимать непрерывный ряд значений. 
   Исследованиями высокоскоростной квантовой криптографии занимается корпорация NEC в лице своего института NEC Research Institute. Над прототипами коммерческих систем квантовой криптографии, действующих по волоконно-оптическим линиям связи (ВОЛС), работает подразделение телекоммуникационного гиганта Verizon Communications — BBN Technologies.
   Исследования Северо-Западного университета США в области квантовой криптографии финансируются оборонным ведомством США. Известно, что учеными университета совместно с сотрудниками фирм Telcordia Technologies и BBN Technologies несколько лет назад разработаны системы передачи зашифрованных сообщений по ВОЛС со скоростью более 250 Мбит/с.
   Министерством обороны Великобритании поддерживается исследовательская программа в области квантовой криптографии корпорации QinetiQ, которая появилась в результате деления британского агентства DERA (Defence Evaluation and Research Agency) в 2001 г., вобрав в себя все неядерные оборонные исследования.
   К исследованиям в области квантовой криптографии присоединилось и несколько относительно молодых компаний, в том числе швейцарская компания ID Quantique, представившая коммерческую систему квантовой криптографии, и фирма MagiQ Technologies из Нью-Йорка, выпустившая прототип коммерческой квантовой криптотехнологии собственной разработки. 
   В разработке фирмы MagiQ система для распределения ключей Navajo способна в реальном времени генерировать и распространять ключи средствами квантовых технологий, обеспечивая защиту от внутренних и внешних злоумышленников.
   Две швейцарские фирмы ID Quantique и WISeKey и одна интернациональная организация (OISTE) представили совместный проект по внедрению методов квантовой криптографии и развитию инфраструктуры квантовых ключей для правительственных структур, банковских и финансовых институтов и пр. (стоимостью в несколько сотен тысяч долларов).
Европейский союз в течение четырех лет инвестировал 11 млн. евро на разработку защищенной системы связи, в основе которой лежит квантовая криптография. Результатом исследований станет абсолютно стойкий шифр и абсолютная защита от перехвата сообщений. В первую очередь сообщения будут защищены от системы тотального мониторинга и промышленного шпионажа "Эшелон", ведущегося спецслужбами США, Великобритании, Канады, Новой Зеландии и Австралии. В докладе Европарламента, специально посвященном Эшелону, квантовой криптография рекомендована как эффективная мера защиты данных.
   В России вопросами квантовой криптографии активно занимаются в научных центрах Москвы, Санкт-Петербурга, Новосибирска и др.
   Одновременно с системами квантовой криптографии развиваются системы, позволяющие осуществлять доступ к ним. Разработки в данной области являются засекреченными, что не позволяет в полной мере осветить состояние данного вопроса. В то же время возможность съема информации с квантового канала следует из следующих физических явлений:
   - вынужденное излучение возбужденных атомов вещества (А.Эйнштейн, 1916);
   - усиление интенсивности вынужденного излучения (В.А.Фабрикант 1939, СССР);
   - усиление электромагнитных излучений (В.А.Фабрикант, Ф.А.Бутаева, М.М.Вудынский, 1951).
   На отмеченных физических явлениях основана работа реальных квантовых приборов, в первую очередь квантовых генераторов и усилителей оптического диапазона. Известны квантовые усилители, способные усиливать излучение любой поляризации, быстродействующие однопроходные квантовые усилители и квантовые усилители, действующие в широком диапазоне энергий. Здесь вынужденно излученный фотон при определенных условиях тождественен вынуждающему, обладая, в частности, той же энергией, вектором импульса, фазой и поляризацией. Последнее особенно важно для съема информации с квантовых каналов с протоколами обмена на поляризационных состояниях.
   Известны делители и переключатели светового потока, включая быстродействующие рассекатели цуга фотонов (например, на явлениях Поккельса, Керра, Фарадея, самопросветления, самофокусировки Аскарьяна и Пилипецкого). Явление полного внутреннего отражения света практически повсеместно используется в ВОЛС. Известно явление нарушенного полного внутреннего отражения электромагнитного излучения. Созданы устройства для ввода фотонов в световод. Изучено явление квантового замедления света как в обычных, так и в криогенных (сверхтекучих, сверхпроводящих) средах.
   Основой метода доступа к квантовым каналам связи является вынужденное излучение возбужденных атомов вещества. Вынужденное излучение связано с появлением (рождением) фотонов при квантовых переходах системы из более высокого энергетического состояния в более низкое под действием внешнего вынуждающего фактора. В качестве такого фактора может выступать квант света (фотон) внешнего электромагнитного поля. Законы квантовой механики позволяют описывать движение электронов, протонов и других частиц, но не их рождение или исчезновение, т.е. она применима для описания систем с неизменным числом микрочастиц. Процессы испускания (рождения) и поглощения (исчезновения) фотонов детально обсуждаются в квантовой теории поля, которая является обобщением квантовой механики с учетом взаимного превращения частиц. Свободное электромагнитное поле здесь учитывается путем введения операторов рождения и исчезновения фотонов.
   Непосредственный квантовый переход из одного состояния в другое возможен, если в электромагнитном излучении присутствуют компоненты с частотами, удовлетворяющими правилу частот Бора. При взаимодействии квантовой частицы с квантовой системой, удовлетворяющей правилу частот Бора, в результате квантовых переходов «рождается» новый фотон. Данный процесс называется вынужденным (индуцированным) испусканием фотона. Важно, что после процесса взаимодействия оба эти фотона становятся неразличимы, т.е. тождественны.
   На этом элементарном процессе взаимодействия электромагнитного излучения с квантовыми системами основана работа большинства приборов квантовой и оптической электроники, в частности квантовых усилителей и генераторов.
   Принципиально важным является то, что фотон, появившийся в результате вынужденного испускания, неразличим с фотоном, индуцировавшим этот процесс, т.е. оба фотона имеют одну и ту же частоту, фазу, поляризацию и распространяются в одном направлении. Поэтому вынужденное излучение, т.е. электромагнитное излучение, возникающее в результате процессов вынужденного испускания в коллективе атомов, является когерентным. Такое излучение в оптическом диапазоне испускают оптические квантовые генераторы — лазеры. Процесс вынужденного испускания реализуется в квантовых усилителях.
   Таким образом, даже краткий обзор физических явлений и реализующих их устройств позволяет сделать предварительные выводы о возможности неконтролируемого несанкционированного доступа в квантовые каналы связи, для которого достаточно осуществить следующие действия:
   1. Внедрить в квантово-криптографический канал устройство, осуществляющее перенаправление (отведение) потока физических носителей информации (фотонов) из квантового канала в канал злоумышленника.
   2. Отведенные в канал злоумышленника фотоны подают на вход квантового (фотонного) усилителя.
   3. В квантовом усилителе получают цуг не менее чем 2-х фотонов, практически тождественных по энергии, вектору импульса, фазе, и, главное, поляризации.
   4. Образовавшиеся в этом усилителе фотоны (когерентный цуг фотонов) разводят не менее чем на 2 части (не менее чем 2 отдельных фотона, тождественных исходному, кроме разве что времени и положения в пространстве), например, ячейкой Керра или ячейкой Поккельса.
   5. По одной из этих частей (фотону) судят о значении переданного элемента сообщения, т.е. ее регистрируют и анализируют обычным способом, как если бы она была получена непосредственно из квантово-криптографического канала.
   6. Другую часть (фотон) вводят в квантово-криптографический канал ближе к номинальному получателю, чем место отвода исходного фотона.
   7. Остальные (если есть) фотоны поглощают, используют иначе или игнорируют. При этом заботятся о том, чтобы в квантово-криптографический канал "лишние" фотоны не проникли.
   Описанные процедуры осуществления несанкционированного доступа в квантовые каналы связи можно модернизировать. В частности, рассечение (разведение) цуга осуществляют после его выхода из квантового усилителя, либо в процессе генерации фотонных лавин (например, дифракцией на малом отверстии, зеркале, световоде). Возможно установление количества делителей, усилителей и устройств ввода фотона в квантово-криптографический канал равного количеству возможных значений физического параметра фотона, считающегося несущим информацию. Ответвление фотонов из оптического волокна осуществляют без нарушения непрерывности оптического волокна квантово-криптографического канала, приближая к сердцевине оптоволокна сердцевину другого оптоволокна на расстояние столь малое, что туннелирование фотонов из оптоволокна в условиях нарушенного полного отражения достаточно высоко вероятно.
   Замечу, что реализация квантового распределения секретного ключа не предполагает контроля физического состояния канала. Решение о НСД принимается на основании измерения частоты (вероятности) появления ошибочных бит в ключе. Поскольку в описанных случаях НСД частота появления ошибочных бит в ключе не изменяется, то, следовательно, факт НСД в квантовом канале зафиксирован не будет.
   Наиболее надежный съем информации может быть произведен посредством разрыва волоконного световода (ВС). Разрывное подключение требует временного выключения линии, что может сигнализировать о наличии самого доступа. Однако и в этом случае можно исключить обнаружение НСД в квантовый канал. Например, "для отвода глаз", параллельно с подключением будут осуществлены и умышленные повреждения кабеля.
   На настоящий момент известны способы противодействия несанкционированному съему конфиденциальной информации. Например, методом мониторинга "горячих" волокон с помощью рефлектометрического контроля волокон с загрузкой системы (система Atlas фирмы Wavetek Wandel Goltermann, система Orion фирмы Syrus).
   Однако в рефлектометрических системах при зондировании применяют большие длительности и амплитуды оптических импульсов. Поскольку системы мониторинга работают с одним зондирующим импульсом, начало линии (около 1,5 км) оказывается в так называемой мертвой зоне, где происходит перегрузка фотодиода рефлектометра. Как раз в этой области и возможна установка оборудования для несанкционированного доступа.
   Применив волокно с отличающимся от существующего в линии коэффициентом обратного рассеяния, можно избежать обнаружения оптическим рефлектометром потерь, вносимых двумя дополнительными соединениями, а также потери на раздвоение моды в оптическом разветвителе. Действительно, если волокно устройства несанкционированного съема конфиденциальной информации имеет коэффициент рассеяния, соответствующий мнимому увеличению сигнала, то на рефлектограмме получится нормальная картина с завуалированным затуханием.
   Таким образом, существуют физические явления, на основе которых можно осуществлять неконтролируемый перехват конфиденциальной информации в квантовых криптографических каналах, исключив (или значительно уменьшив) вероятность обнаружения несанкционированного съема конфиденциальной информации.

Насколько важно согласование учебных программ с регуляторами?

   В ИТ и ИБ сообществе бытует мнение, что для получения лицензий ФТСЭК на техническую защиту конфиденциальной информации и/или лицензий ФСБ на работу (эксплуатация, разработка, обслуживание, ...) с криптосредствами (средствами шифрования) одним из требований является необходимость обучения (переподготовка, повышение квалификации) по учебным программам, согласованным с соответствующими регуляторами (ФСТЭК и ФСБ). Попробуем разобраться, на сколько это мнение оправдано.
   Во-первых, читаем, что написано в соответствующих лицензионных требованиях (требованиях к соискателям лицензий). Согласно постановления Правительства РФ от 15 августа 2006 г. № 504 "... 4. Лицензионными требованиями и условиями при осуществлении деятельности по технической защите конфиденциальной информации являются: а) наличие в штате соискателя лицензии (лицензиата) специалистов, имеющих высшее профессиональное образование в области технической защиты информации либо высшее или среднее профессиональное (техническое) образование и прошедших переподготовку или повышение квалификации по вопросам технической защиты информации ...". Согласно постановления правительства РФ от 29 декабря 2007 № 957 "... 4. Лицензионными требованиями и условиями при распространении (это относится и к другим видам работ) шифровальных (криптографических) средств являются: ... б) наличие в штате у соискателя лицензии (лицензиата) следующего квалифицированного персонала: руководитель и (или) лицо, уполномоченное руководить работами по лицензируемой деятельности, имеющие высшее профессиональное образование и (или) профессиональную подготовку в области информационной безопасности, а также стаж работы в этой области не менее 5 лет; инженерно-технические работники, имеющие высшее профессиональное образование или прошедшие переподготовку (повышение квалификации) в области информационной безопасности с получением специализации, необходимой для работы с шифровальными (криптографическими) средствами;...". При этом хочу обратить ваше внимание, что предыдущее постановление Правительства Российской Федерации от 23 сентября 2002 г. № 691 имело другую формулировку требований к инженерно-техническому персоналу "... 5. Лицензионными требованиями и условиями при распространении (это относится и к другим видам работ) шифровальных (криптографических) средств являются:... т) наличие следующего квалифицированного персонала:...инженерно-технический персонал, имеющий высшее профессиональное образование или прошедший переподготовку (повышение квалификации) в области информационной безопасности с получением специализации, соответствующей виду шифровальных (криптографических) средств ...". Трактовать действующее постановление № 957 и утратившее силу № 691 можно по разному, достаточно просто вчитаться в смысл.
Как видим, здесь ничего о согласовании не говорится.
   Во-вторых, качество дополнительных образовательных программ (соответственно и качество обучения) регламентируется законами, Постановлениями Правительства и подзаконными актами Министерства образования и науки РФ. К таким документам, в частности, относятся Закон Российской Федерации "Об образовании" и Постановление Правительства РФ "Об утверждении типового положения об образовательном учреждении дополнительного профессионального образования (повышения квалификации) специалистов" от 26 июня 1995 г. № 610 (в ред. Постановлений Правительства РФ от 10.03.2000 № 213, от 23.12.2002 № 919, от 31.03.2003 № 175). Также, здесь не маловажным является вопрос о том, как учебный центр зарекомендовал себя на рынке образовательных услуг и вопрос доверия к нему.
   В-третьих, наличие у образовательного учреждения Свидетельства о Государственной аккредитации, лицензии на образовательную деятельность с перечнем направлений обучения, дающих соответствующие специализации и учебных программ, удовлетворяющих «Требования к содержанию дополнительных профессиональных образовательных программ» (утвержденным приказом Министерства общего и профессионального образования Российской Федерации от 18 июня 1997г. № 1221) говорит о качестве образования. Если в этом возникают сомнения, то это вопросы уже к Департаментам образования соответствующих субъектов, выдавших лицензию, но ни как не к регуляторам в лице ФСТЭК и ФСБ.

   Соответственно, наличие согласования учебной программы с соответствующим регулятором является дополнительной гарантией (но ни как не обязательным условием) того, что при выдаче лицензии вам не будут задавать лишние каверзные вопросы. При этом, если специалист имеет Государственный документ об образовании с соответствующей специализацией, но учебная программа курса, по которому он проходил обучение не согласовывалась с регуляторами, то это не может служить основанием для отказа в выдаче (продлении) лицензии по пункту об уровне компетенции специалистов лицензиата (или соискателя лицензии). ФСТЭК и ФСБ являются исполнительными органами власти, которые осуществляют государственный контроль в рамках своих полномочий и не признание ими Государственных документов об образовании является не совсем правильным (я постарался написать как можно корректнее :)). Уровень компетенции специалистов для того, либо иного лицензируемого вида деятельности может быть не признан регуляторами в том случае, если специализация согласно документу не соответствует тому виду деятельности, который будет выполнять лицензиат. Т.е. для выполнения работ по технической защите информации наличие дипломированных специалистов по криптографической защите информации будет не достаточно и предписание на устранение нарушения будет получено с большой долей вероятности.

   Если говорить о том, что происходит на практике, то здесь мнения одного и того же регулятора в разных Федеральных округах достаточно сильно разнятся. Было несколько прецедентов, когда в одном из банков, наличие двух специалистов с сертификатами по защите информации (не буду конкретизировать специализацию), в которых указана продолжительность обучения менее 72 академ.часов признавалось, как соответствие  пунктам лицензионных требований, а в филиале этого же банка, но находящемся в другом ФО выписывалось предписание о нарушении с необходимостью устранения путем повышения квалификации по ЗИ в объеме не менее 72 часов (при этом в предписании НЕ ПИШЕТСЯ, что обучение должно проводиться по программам согласованным с регулятором, а может писаться необходимый минимальный объем. Главное, чтобы была необходимая специализация). Если говорить строго, то это требование логично, т.к. после обучения в объеме от 72 до 100 академ.часов выдается Государственное Удостоверение о краткосрочном повышении квалификации. А наличие Государственного документа является гарантией качества обучения.

   Кстати, согласно Требований... №1221 (см. выше), помимо таких видов обучения как переподготовка и повышение квалификации есть понятие стажировка, после которой также выдается документ о краткосрочном или длительном повышении квалификации в зависимости от сроков стажировки. При этом стажировка может представлять собой самостоятельную теоретическую подготовку.

Перспективные технологии в образовании и выдаваемые документы

   В период 26-27 марта 2009 года компания BSI проводит "Партнерский День BSI". На данном мероприятии будут присутствовать представители ведущих интеграторов, которые проводят внедрение систем управления ИБ, ИТ и НБ в соответствии с Международными стандартами ISO27001, ISO20000 и Британским стандартом BS25999. Программой мероприятия предусмотрен мой доклад на тему связанную с перспективными технологиями обучения, которые бы позволяли проводить повышение квалификации сотрудников компаний с минимальными затратами и без потери качества обучения. В частности, основной акцент я планирую сделать на дистанционных технологиях обучения и тестирования, онлайн-семинарах (Веб-конференциях), обучении в виртуальных классах и вебинарах (включая VoIP аудио-технологии). Данные технологии обладают рядом преимуществ, основными из которых является достаточно низкая стоимость и возможность проходить обучение без отрыва от производства. Ряд указанных технологий позволяют осуществлять двустороннюю связь между преподавателем и слушателями в реальном режиме времени.

   При проведении обучения с использованием современных дистанционных технологий возникает вопрос о возможности выдачи после такого обучения документа об образовании Государственного образца. Попытаемся разобраться с этим вопросом. В очередной раз изучая документ «Требования к содержанию дополнительных профессиональных образовательных программ» (далее по тексту - Требования) (утвержденны приказом Министерства общего и профессионального образования Российской Федерации от 18 июня 1997г. №1221) приходим к выводу, что это возможно! Основная цель данных Требований, унифицировать содержание образовательных программ обучения (повышения квалификации, переподготовки и стажировки) для осуществления единой гос. политики в области доп.проф.образования. Согласно п.п.2.2 к базовым требованиям относится требование ориентации на современные образовательные технологии и средства обучения, к коим относятся дистанционные технологии. Т.е. понимаем, что данные Требования не то, что не исключают возможность использования дистанционных технологий при повышении квалификации, а наоборот, рекомендуют это делать. Далее в п.п. 2.8 говорится, что повышение квалификации может осуществляться в том числе и путем самостоятельного обучения. А это наводит на мысль о том, что даже после самостоятельного и/или дистанционного обучения не запрещается выдавать документ Гос. образца (согласно п.п. 1.4 Требований данные документы выдаются слушателям успешно прошедшим обучение). При этом, естественно, у образовательного учреждения должна быть лицензия на образовательную деятельность и аккредитация.
   Еще один интересный момент. Согласно п.п.2.8 Требований после прохождения стажировки также может выдаваться документ о краткосрочном или длительном повышении квалификации (в зависимости от сроков обучения). При этом стажировка может проходить в виде самостоятельной теоретической подготовки. О чем это говорит, думаю можно догадаться ;).

Будет ли спрос на обучение по ИБ в условиях кризиса?

Вводные замечания

   В настоящее время многие специалисты (особенно представители учебных центров) задаются вопросом, как же скажется кризис на потребности в обучении вопросам информационной безопасности? Казалось бы, на этот вопрос можно ответить сразу утвердительно в том плане, что спрос на обучение в этой области возрастет, т.к. кризис отрицательно влияет на криминогенную ситуацию в стране вообще и на лояльность сотрудников конкретной компании в частности (в основном из-за сокращения премий, компенсационных и льготных пакетов, не выплаты серой части ЗП и т.п.). Однако, эта проблема гораздо шире, чем может показаться на первый взгляд. Давайте попробуем проследить некоторые тенденции развития ИБ и ИТ, которые имели место в докризисный период и с наступлением кризиса.
Т.е. попытаемся разобраться с тем, что происходило раньше (до кризисный период) и происходит сейчас на кадровом рынке ИБ и ИТ специалистов.
   Хочу сделать оговорку, что ИТ и ИБ в контексте данного сообщения рассматриваются как разные направления деятельности компании, т.е. под специалистами ИТ подразумеваются сисадмины, администраторы баз данных, программисты, т.е. итэшники в классическом понимании. А к специалистам ИБ относятся специалисты служб безопасности, защиты информации и т.п.
   Я условно разбил временной промежуток анализа на две части: Докризисный период (отдельно для ИТ и ИБ) и Период после кризиса (также отдельно для ИТ и ИБ).

Докризисный период (область ИТ)

   Во всем мире декларируются высокие темпы роста информатизации и автоматизации основных бизнес-процессов компаний.
   В 2005 году рынок ИКТ достиг уровня почти 1 триллиона рублей. К 2010 году, согласно концепции развития рынка ИКТ, он должен увеличиться до 40 млрд. долларов. Мининформсвязи (Министерство связи и массовых коммуникаций РФ) в 2005 году даже провозгласили лозунг «Сделать информационные технологии еще одним природным ресурсом России». Все это привело к острой нехватке квалифицированных кадров для обслуживания ИТ инфраструктуры компаний. Эта проблема, казалась, носит глобальный характер, т.к. затрагивает все отрасли экономики и все компании.
   В этот период Интернет пестрил публикациями типа «Дефицит кадров – прямая угроза ИТ-рынку», «Дефицит квалифицированных ИТ специалистов» и т.п.
В России процентный показатель дефицита ИТ специалистов к 2008 году составил порядка 20%.
   Все это привело к тому, что рост зарплат ИТ специалистов зачастую не соответствовал их реальному уровню квалификации.
   Центр аналитических исследований кадрового холдинга «Анкор» приводит следующие данные. Практически все функциональные подразделения компаний показали рост заработных плат в период с сентября 2007 года по сентябрь 2008 года. В частности, за отчетный период заработная плата сотрудников службы ИТ выросла на 24% (это средний показатель и для других подразделений). За период с весны по осень 2008 года увеличение заработной платы ИТ специалистов составило более 10%.
   В кадровых агентствах индекс предложения и спроса (число резюме на одну вакансию) – 0,5 (в первой половине 2008 года).

Докризисный период (область ИБ)

   Отрасль информационной безопасности в России на протяжении последних нескольких лет также развивается быстрыми темпами, показывая в целом рост более 30% и опережая по этому показателю рынок ИТ. Соответственно, темпы роста расходов на обеспечение информационной безопасности в компаниях уже долгое время превышают динамику ИТ в целом. Согласно данным IDC, в 2006 году на программное обеспечение, направленное на защиту компьютерных данных, во всем мире потратили около 8 млрд. долл. По прогнозам IDC (сделанным в первой половине 2008 года), к 2010 году эта цифра может значительно увеличиться и достигнуть отметки в 50 млрд долл. Ведущие аналитики уверены, что рынок средств защиты данных будет самым быстрорастущим.
   В области ИБ также наблюдается дефицит квалифицированных кадров. Порядка 80% респондентов отметили, что испытывают дефицит кадров в области ИБ. В большинстве компаний хотя бы одна ИБ вакансия открыта. В частности это связано с тем, что ключевые международные и отечественные стандарты рекомендуют иметь в штате соответствующую единицу, т.к. это является хорошей практикой и значительно снижает вероятность появления инцидентов ИБ. По данным кадровых агентств в первой половине 2008 года индекс предложения и спроса (число резюме на одну вакансию) составляет 0,7.
   Что касается средних зарплат сотрудников ИБ подразделений компаний, то здесь ситуация не очень радужная. Если даже взять банковскую область, которая всегда считалась благополучной в материальном плане, то в большей части банков (порядка 62%) сотрудники отделов ИБ не получали в среднем и полутора тысяч долларов, а еще в четверти финансовых организаций имели доход от полутора до двух тысяч долларов. Подобный уровень зарплат можно смело назвать низким, т.к. речь идет о банковской сфере. В области ИБ наблюдается существенный «кадровый голод». С учетом "кадрового голода" можно утверждать, что зарплаты специалистов по ИБ должны корректироваться в сторону увеличения.

В период кризиса (область ИТ)

   Что касается ИТ рынка вообще, то по оценкам IDC в 2009 году развитие и рост ИТ не остановятся, хотя темпы роста будут значительно ниже 2007 и 2008 годов.
   Что касается ИТ специалистов и их зарплат, то аналитики кадровых агентств сходятся во мнении, что рост ИТ-ставок не только замедлится, но и обратится вспять. В первую очередь, урезаны будут компенсационные и льготные пакеты (что собственно сейчас и происходит). При этом среди опрошенных компаний, более чем в трети из них сокращение либо отмена компенсационного пакета уже произошли. Почти в 50% случаев эта мера будет реализована в 2009 году.
   Как выяснилось, в первую очередь будут урезаны программы обучения и повышения квалификации (более чем в 75% случаев). Почти треть кампаний планируют сократить рабочий день на 1,5 часа. Что касается сокращения численности персонала, то более 60% респондентов заявили, что оно уже произошло.
   Кадровые агентства отмечают, что многие проекты по поиску редких ИТ специалистов “заморозились” на неопределённый срок, заметно увеличилось количество резюме кандидатов, желающих найти или поменять работу. В агентствах количество открытых новых вакансий уменьшилось более чем на 40%.
   Все это привело к тому, что сейчас в Интернет достаточно много публикаций типа «Кризис: Российским айтишникам урежут зарплаты», «На кадровом ИТ-рынке лопаются "мыльные пузыри"», «Обиженные айтишники готовы мстить своим работодателям», «Сотрудники утратили моральные нормы в условиях кризиса», «Кризис: инсайдеры вооружаются», «Кризис: уволено более 100 тыс. IT специалистов», «В США из-за кризиса работу потеряли 140 тыс. ИТ-специалистов» и т.п.

В период кризиса (область ИБ)

   Несмотря на кризис аналитики агентства Forrester считают, что в условиях смены роли ИТ на предприятии, некоторые должности (позиции, роли) на нашем рынке будут востребованы как никогда. В частности, Forrester называет экспертов по ИБ - самой востребованной специальностью на ближайшие годы! При этом имеются в виду не выпускники ВУЗов по специальностям связанным с ИБ, а высококвалифицированные специалисты с большим практическим опытом.

   Соответственно, если резюмировать все сказанное можно выделить несколько основных отрицательных аспектов кризиса (помимо значительного снижения темпов роста мировой экономики):
   1. Снижение зарплат ИТ специалистов, полные, либо частичные не выплаты премий, сокращение льготных и компенсационных пакетов. Как следствие, обиженные специалисты, имеющие доступ к критичным активам организации, будут всячески пытаться получить из этого личную выгоду. На лицо усиление инсайдерской и коррупционной составляющей (и это при всем том, что до кризиса в большинстве случаев утечек конфиденциальной информации также были виновны инсайдеры).
   2. Массовые увольнения сотрудников, что приводит к ухудшению криминогенной ситуации в стране и в мире.
   Все это вынудит компании, КОТОРЫМ ЕЩЕ ЕСТЬ, ЧТО ТЕРЯТЬ, сильнее озаботиться обеспечением безопасности и непрерывности своих бизнес-процессов.

   Приведенные рассуждения показывают, что росту спроса на обучение специалистов по ИБ в условиях кризиса способствуют следующие факторы:
   1. Из-за роста инсайдерской составляющей компании будут тратить значительные финансы на средства защиты. Администрировать эти средства защиты должны высококвалифицированные специалисты. ИБ - не то, на чем следует экономить, если дорога репутация.
   2. В связи с оптимизацией расходов на содержание персонала, ИТ специалистам в компаниях придется совмещать (зачастую вынужденно) функции безопасника. Соответственно, будут востребованны курсе повышения квалификации и переподготовки.
   3. Российское законодательство в области защиты информации совершенствуется с каждым годом быстрыми темпами. У регуляторов в области ИБ есть жесткие требования к опыту и уровню компетентности сотрудников компаний, эксплуатирующих криптосредства и обеспечивающих техническую защиту информации.
   4. Для повышения конкурентоспособности на мировых рынках (что немаловажно в условиях кризиса) компании будут проводить сертификации своих СУИБ. Это сделать очень сложно, если в штате нет подготовленных специалистов.
   5. Работникам, чтобы не остаться «у разбитого корыта», в любой ситуации, тем более во время кризиса, следует заботиться о повышении собственной квалификации.

Спрос на квалифицированных и опытных сотрудников будет всегда!

Потребность в обучении в условиях кризиса

   В конце февраля 2009 года в Академии Информационных Систем состоялся очередной День открытых дверей для партнеров, на котором я выступил с докладом на тему "Перспективы развития направлений обучения АИС по информационной безопасности и м/н системам менеджмента". В условиях кризиса прогнозирование развития обучения по каким бы то ни было направлениям является не благодарным занятием. В первую очередь это связано с сокращением бюджетов на обучение практически во всех компаниях. Однако, нет худа без добра. В условиях совершенствования законодательной базы (правда не всегда разрабатываемые законы адекватны современному состоянию Российского общества) возрастает потребность в курсах по ИБ, необходимых для получения лицензий ФСТЭК и ФСБ. Эти регуляторы строго следят за соблюдением каждого пункта лицензионных требований. Это относится и к компетенции специалистов (т.о. повышение квалификации по ТЗИ и/или шифрованию является обязательным условием). Программы обучения должны соответствовать Российскому законодательству в области образования, в частности «Требованиям к содержанию дополнительных профессиональных образовательных программ» (утвержденным приказом Министерства общего и профессионального образования Российской Федерации от 18 июня 1997г. №1221). Для получения лицензий необходимо наличие не менее 2-х подготовленных специалистов в каждом филиале (подразделении) компании.

Мифы и реальность квантовой криптографии

   В период с 2 по 5 апреля 2009 года в Подмосковных Липках пройдет 11-я м/н конференция "РусКрипто'2009". Я планирую выступить с несколькими докладами. Тема одного из них посвящена экзотико-практической теме "Квантовая криптография". Необходимо понимать, что как таковой квантовой криптографии не существует. Существует множество алгоритмов квантового распределения ключевой информации, а в качестве криптографических преобразований используются классические симметричные алгоритмы! Задается много вопросов, связанных с перспективностью и надежностью квантово-криптографических технологий. Ведь в соответствии с фундаментальными законами квантовой физики невозможно клонировать неизвестное квантовое состояние микрочастицы без внесения в него изменений. Однако те же самые законы не запрещают копировать квантовую частицу! Автор данного блога является автором патента, на метод и устройство, которое позволяют это делать со всеми вытекающими из этого последствиями ;). Соответственно, возникают вопросы, являются ли квантовокриптографические технологии панацеей в области криптографической защиты информации?

Спрос на услуги аутсорсинга ИБ в условиях кризиса

   Услугами аутсорсинга во все времена, в независимости от кризиса, пользовались компании в целях оптимизации затрат и наиболее эффективного использования собственных ресурсов, будь то материальных или человеческих. Область ИБ не является исключением. Можно с большой долей уверенности утверждать, что спрос на услуги аутсорсинговых компаний в области ИБ в условиях мирового финансового кризиса будет возрастать. Это связано с рядом причин. Во-первых, в условиях массовых увольнений персонала компаний, включая сотрудников имеющих непосредственный доступ к конфиденциальной информации (базы данных клиентов, финансовая информация и т.п.) и к информации, составляющей коммерческую тайну, резко возрастает уровень инсайдерских угроз (и это при том, что эти угрозы и так всегда лидировали) и уровень криминализации общества. Во-вторых, компании в условиях жесткой экономии уже не могут себе позволить построить адекватную систему защиты, мониторинга и противодействия всем видам угроз ИБ, которая предполагает закупку, внедрение, настройку, администрирование и сопровождение дорогостоящих систем защиты информации. Соответственно, тем компаниям, которым еще есть, что терять, на помощь приходят аутсорсинговые компании, специализирующиеся на ИБ.
   Основной вопрос заключается не в том, будет ли спрос на аутсорсинговые услуги в области ИБ, а в уровне доверия к компаниям предоставляющим такие услуги. С этой точки зрения предпочтение следует отдавать надежным, проверенным и зарекомендовавшим себя компаниям и стараться избегать малоизвестные компании, в штате которых работают не опытные сотрудники из числа студентов.
   Также необходимо отметить, что даже при полном переводе ИБ компании на аутсорсинг, данная компания должна четко осознавать, что основными источниками угроз являются сотрудники компании. Поэтому необходимо периодически проводить повышение осведомленности всех сотрудников в вопросах ИБ. Это, в первую очередь, важно с той точки зрения, что сотрудники должны четко понимать, какую они несут персональную ответственность за те, либо иные действия или бездействия, приведшие к инцидентам ИБ. Только комплексный подход, при котором каждый сотрудник компании четко осознает свое место и значение в обеспечении безопасности бизнес-процессов организации и аутсорсинговая компания ответственно выполняет взятые на себя обязательства, позволит в условиях кризиса экономить финансовые средства без ущерба для безопасности всей организации.