Мнение нобелевского лауреата о рынке ИБ

Тут же вспомнился фильм "Игры разума"… С Алексеем в главной роли …

Для потребителя в цене. Или в репутации/гарантии, что в России пока мало оценивается на нужном уровне.

Со многим из выводов не согласен:
1. Исключить вмешательство государства в вопросы регулирования ИБ для широкого спектра приложений (…)
— а сейчас вмешивается разве? Можно пример? Кроме ПДн есть еще что-то?
2. Принять международные стандарты в области ИБ или гармонизировать с ними отечественные требования ("Общие критерии" подходят для этого как нельзя лучше)
— кто мешает бизнесу прямо сейчас начать соответствовать хоть марсианским стандартам? Как данное пожелание согласуется с п. 1 кстати?
2. Превратить сертификацию средств защиты из обязательной в добровольную, сделав её реальным дифференциатором и ключевым отличием от конкурентов.
— то есть сейчас она обязательна? Для кого и в каких случаях:
3. Запустить процесс появления саморегулируемых организаций, самостоятельно вырабатывающих требования по ИБ для отдельных отраслей, исключив из процесса орган исполнительной власти, одновременно вырабатывающий требования и проверяющий их исполнение, а также проводящий лицензирование участников рынка
— государство защиту гостайны никогму никогда не отдаст (и правильно сделает) и система аттестация/сертификаций по гостайне останется. А рынок и бизнес получит еще одного "общественного" регулятора. Со своей политической борьбой внутри.

4.Повышать уровень реальных гарантий, которые производители средств защиты дают на свои продукты.
— это можно решить в каждом конкретном случае конкретным пунктом договора. Вот только это не нужно интеграторам, вендорам и прочим продавцам.

1. Можно пример не вмешательства? Сейчас ФСБ регулирует ЛЮБУЮ криптографию.
— ФСБ регулирует услуги. Никто не мешает ВНУТРИ шифровать всё, что угодно. И, надо сказать, такие услуги реально мало кому нужны.

ФСТЭК пытается регулировать все остальное, натягивая на всех СТР-К.
— для кого СТР-К обязателен? Кого это касается? К счастью, пока немногих.

2. Никто не мешает, если бы регуляторы признавали марсианские стандарты. А т.к. они признают только свое, то кто же будет выполнять еще и что-то другое

— если кому-то хочется соответствовать ISO 27001, то какой регулятор запрещает это делать? Регулятор регулирует весьма узкую область ИБ. Она расширилась с введением ПДн, но тем не менее ограничена. Если виды информации, доступ к тоторым ограничен по закону. И естественно, что средства и методы этих ограничений также прописаны. Если регуляторы примут за основу те же Общие критерии, то все равно, они будут так или иначе переписаны (глядя на политику формирования ГОСТов — скорее всего не очень сильно). И поводов для критики не уменьшится.

3. Не надо ерничать. Чтобы нормально работать на рынке продукт должен быть сертифицированным, даже если ПП-608 подразумевает обязательную сертификацию только для гостайны.

— ЛЮБАЯ сертификация — это дополнительная стоимость. Мне как покупателю непонятно, что я получу за свои деньги. Был просто Cisco ASA — стал сертифицированный. НИЧЕГО не изменилось, кроме цены. Кстати, а как в мире дела обстоят? ЦРУ/ФБР/АНБ сертифицирует технику для комм организаций? Или обходятся "общественными" лабораториями?

4. Никто и не претендует на рынок гостайны. Для саморегуляируемых организаций подойдет только коммерческая тайна и т.п., т.е. у чего владельцем не является государство.

— ну можно сделать обязательной сертификацию по какому-то профильному ISO по ИБ. Еще неизвестно что дешевле будет, по СТР-К аттестат получить, или в BSI сходить на ISO 27001 сертифицироваться.

5. А что вы понимаете под "повышать уровень гарантий"? Законодательно? Зачем? И как? Я был бы не против заставить Касперского гарантировать защиту от вирусов, но боюсь это технически невозможно (я имею в виду невозможно реально обеспечить такую гарантию).

На мой взгляд лучше, чтобы область госрегулирования хотя бы не расширялась. Выбрать "хорошее" решение или поставщика и без сертфикации не так уж сложно. Если вы хорошо понимаете предметную область — можно сэкономить, выбирая вендоров "не на слуху" и оценивая услугу лично.
Не понимаете или не доверяете себе — выбирайте громкое имя. Ничего нового кстати. Разбираетесь в производстве телефизоров — покупаёте продукцию того конкретного завода, который по вашей информации правильный. не разбираетесь — покупайте Sony (или еще кого-то).
Сертификация товаров или тем более услуг ничего кроме монополизации не даст. Игроки типа StoneSoft еще на 5 лет отложат вход на рынок. Многие мелкие консультанты ИБ вообще прекратят своё существование. А "киты" рынка получат любой сертификат и возложат его стоимость на покупателя.