Цивилизация
— Евгений Валентинович, у меня будут простые для вас вопросы. Во-первых, в свете всех последних этих утечек, как пользователям лучше всего обезопасить свою почту и личные данные?
— Каким именно пользователям?
— Простым потребителям.
— Простым потребителям. Потому что мы делаем продукты для разных категорий. Есть простые пользователи и маленькие бизнесы. Есть enterprise-бизнесы (крупные корпорации. — «Газета.Ru») и есть критическая инфраструктура industrial systems.
А простые пользователи, на самом деле, могут довольно простыми способами гарантировать себе очень надежную защиту. Во-первых, все-таки нужно использовать решения по безопасности, которые существуют на рынке. Есть антивирусные продукты, предложения класса Internet Security, которые гарантируют очень высокое качество и надежность защиты. Они просто должны быть установлены, они должны быть со свежими обновлениями. И защита должна быть включена. Это во-первых.
Во-вторых, нужно держать мозг включенным. Потому что вы находитесь в сети.
Вы в интернете — это место особой опасности. Не надо верить всем подряд, не надо кликать на все ссылки, которые приходят от неизвестных источников (а иногда и на ссылки от друзей). Потому что, к сожалению, в сети слишком много мошенничества, слишком много хакеров, слишком много криминала. Поэтому в сети себя нужно вести так, как будто вы находитесь в каком-то опасном районе. В общем, надо держать глаза открытыми, а уши на макушке. При этом, если вы посещаете, допустим, интернет-ресурсы, которые входят в ваш список доверенных, то риск заражения, риск того, что вы можете стать жертвой мошенников, сильно снижается. Если шляться по всяким помойкам интернетовским, то, к сожалению, риск того, что вы «залетите», увеличивается. Так что нужно вести себя цивилизованно в сети.
Далее, очень не рекомендуется публиковать слишком много личной информации. Потому что вы тоже можете стать жертвой мошенников, разных разводок, если вдруг вы что-то расскажете свое, персональное. Вот, наверное, и все основные правила для обычных пользователей. Так что, во-первых: необходимо защищать свои компьютеры, и не только компьютеры, но и мобильные телефоны — они тоже под угрозой. Во-вторых, нужно держать мозг включенным.
— А если говорить о тех же звездах, они сами виноваты в том, что их фото попали в сеть?
— Я, к сожалению, не знаю деталей. Как хакнули — мне неизвестно. Судя по всему, это была не вина компании Apple, то есть эта утечка произошла, скорее всего, с домашних устройств. Но как именно — мне неизвестно.
— А как часто атаки производятся на мобильные устройства?
— К сожалению, сейчас идет очень сильный рост количества атак. В основном, это Android, потому что Android заразить гораздо проще. Скажем так, Android заразить проще, потому что операционная система немножко иначе устроена внутри, чем iOS. У Apple по одному способу сделано, у Android иначе.
Вот Android и больше расположен ко всякой заразе. Это разные концепции.
У iPhone и iPad более закрытая система, Android — более открытая.
Соответственно, ее легче хакнуть. Последнее время идет лавинообразный поток, экспоненциальный рост зловредства под Android. Связано это с тем, что киберпреступники поняли возможности мобильных телефонов, они поняли, что все больше и больше пользователей используют мобильный банкинг. Там, где деньги, там появляется и преступность, к сожалению. Если раньше мы собирали по несколько десятков или сотен мобильных троянов в год, то сейчас счет уже идет на десятки тысяч.
— На одну платформу?
— На Android приходится 98% мобильных угроз, да. Причем этот тип киберпреступности уже можно называть международным. То есть эти хакеры говорят на разных совершенно языках. К сожалению, киберпреступность очень быстро движется в сторону мобильных устройств. И проблема заключается в том, что если мы говорим про компьютеры, то пользователи все-таки знают: если у вас есть ПК — значит, нужно иметь какую-то защиту. Если же говорить про смартфоны или планшеты, то пока еще уровень awareness, то есть понимания рисков, к сожалению, еще очень-очень низкий.
— Когда вы ожидаете, что мобильные атаки выйдут на первое место и обгонят компьютерные?
— Хороший вопрос. Я не могу сказать, я боюсь ошибиться с прогнозами, но это не ближайшие годы. До сих пор количество мобильных атак все равно в сотни раз меньше, чем количество компьютерных атак. Но мобильные угрозы растут гораздо быстрее.
Как быстро мобильные угрозы по количеству догонят компьютерные, зависит во многом даже не от активности хакеров. Это будет зависеть от того, какие сервисы будут внедряться в мобильные телефоны. То есть все-таки мобилки отстают от компьютеров по мощностям. Возьмем, например, онлайн-игры. Это такой пример, где требуется большая вычислительная мощность, где требуется даже не батарейка, а то, чтобы в розетку был включен компьютер. Пока такого в смартфонах нет. Это все же вопрос к сервисам, которые мигрируют в мобильные телефоны, и, конечно, вопрос количества этих мобильных телефонов.
Есть еще такой демографический вопрос: киберпреступники — тоже люди.
Им лень переучиваться с Windows на Android. Но появляются новые киберпреступники, которые владеют Android даже, может быть, лучше, чем компьютерными системами. Они будут расти, взрослеть, становиться более опытными. Некоторые, конечно, будут отсаживаться в места, специально приготовленные для преступников. Но, к сожалению, все равно количество атак будет расти. Опять-таки есть несколько факторов, от которых все это зависит.
— Будущий выход Windows 10, которая ожидается для всех устройств одной системой, — он как-то сильно повлияет на то, что те же Windows-вирусописатели, которые консервативны и не хотят писать для мобильных устройств, вдруг перейдут на мобильный рынок?
— Это будет еще зависеть, на самом деле, от того, какую долю будет занимать мобильная часть Microsoft Windows. Пока ситуация такова, что Windows Phone не очень заметен в мобильном мире. Если Microsoft сделает какие-то серьезные шаги для увеличения своей доли на мобильном рынке, то да, тогда киберпреступники, конечно, метнутся в сторону Windows. Пока же они атакуют в основном Android. Просто потому, что это популярная система, ее выгоднее и атаковать. Но мы фиксируем, мы знаем несколько случаев, когда айфоны тоже были взломаны и тоже были заражены.
— Какая в таком случае самая безопасная система?
— У меня есть даже стандартный ответ на этот вопрос. Самая безопасная система — это та, которая отключена от публичных сетей, всякие USB и прочие разъемы закрыты или выломаны, батарейка вытащена или компьютер выключен, а пользователь спит или умер. Вот это самая безопасная система.
— А если отойти от сферического пользователя в вакууме?
— На самом деле, у безопасности есть два фактора. Первый — это то, как сделана безопасность системы, то есть ее архитектура. Во-вторых, распространенность этой системы. Чем менее система распространена, тем меньше будет на нее атак. Просто потому, что киберпреступники не заинтересованы в том, чтобы атаковать то ПО, у которого нет достаточно большой рыночной доли.
Поэтому, если говорить с этой точки зрения, я бы сказал, что, наверное, все-таки самые безопасные системы — это, допустим, Linux для компьютеров.
Не Mac, потому что на Mac'е пошел рост атак. Конечно, там не тысячи. В прошлом году мы собрали чуть больше тысячи mac'овских атак за год.
В этом году будет примерно полторы тысячи. С учетом того, что в 2000-х годах, то есть до примерно 2012 года, мы собирали всего лишь несколько штук в год, 3—5—10 штук в год — это был шум, зловредство на Мac'ах. Последние два-три года уже счет пошел на сотни. Что будет дальше — я не знаю. Так что Mac — не самая безопасная система. Linux — да, потому что его чуть-чуть сложнее заражать. Плюс, на нем сидят все-таки ребята, которые более грамотные в компьютерном отношении. И киберпреступники, в общем-то, не заинтересованы в атаках на Linux.
Если говорить про мобильные телефоны, то Blackberry и iOS более защищены, чем Android. Но, с другой стороны, для Android легче писать приложения, особенно системные приложения. Потому что iOS тебе просто не даст доступ к нужным для таких приложений ресурсам. Например, Angry Birds написать довольно просто для любой системы. Что-то более сложное, которое работает на системном уровне, для iPhone, просто невозможно, потому что они не дают доступа к этим внутренностям системы. Да, она более защищена, то есть, если говорить про iOS, эта система более защищенная по архитектуре. Но одновременно разработать настоящую защиту для iOS невозможно, потому что нет доступа к необходимым ресурсам. Если кто-то хакнет (а хакнуть все равно можно), то антивирусная индустрия не сможет помочь. У нас нет доступа, мы физически не можем написать настоящее end-point-security решение.
Тут безопасность такая: с одной стороны, она вроде безопасная, но если что-то произойдет, то кирдык.
— А вот то, что атаки так же на госструктуры происходили…
— Постоянно.
— И даже на отдельных чиновников, та же утечка почты Медведева. Как, в принципе, можно оценить ущерб от атак на госструктуры?
— Вот мы как раз подошли к этой теме. Есть домашние пользователи и маленькие предприятия, есть большие, крупные предприятия, включая государство, а есть критическая инфраструктура. Переходя из одной зоны в другую, болезненность атак возрастает на порядки. Как можно оценить репутационные риски, репутационные потери, финансовые потери, когда миллионами штук воруют кредитные карточки либо записи, базы данных покупателей? Очень болезненно это, очень болезненно.
А если говорить про возможные атаки на критическую инфраструктуру, это будет еще болезненнее. Я имею в виду электростанции, транспорт, финансовые структуры… Причем, если говорить про финансовый сектор, конечно, можно сказать, что он внутри второй категории (среди крупных предприятий). Но на самом деле это все-таки критическая инфраструктура. Потому что от работы финансовых организаций зависит, в общем-то, наша жизнь. И если будет серьезная атака на финансовый сектор, то это будет очень болезненный удар по национальной экономике. Причем любой страны.
— Да, конечно. Несколько дней назад Владимир Путин провел совещание с Советом безопасности как раз таки на тему киберугроз. Вы же отслеживали эту тему?
— Мы следим, конечно, за этими темами. Но пока не очень понятно, что там вообще происходит. На самом деле, озабоченность государств, не только России, но и других государств, на тему кибербезопасности, киберзащиты от атак на критическую инфраструктуру, сейчас очень высокая. Все напуганы. Но что делать, в общем-то, никто не понимает. Потому что легкого решения для защиты критической инфраструктуры нет.
— Есть информация (и вы ее не скрываете), что в «Лаборатории Касперского» разрабатывается своя операционная система. Можете в двух словах буквально описать ее?
— Эта система разрабатывается специально для защиты критической инфраструктуры. Это очень специализированная система, она не для домашних пользователей, а для работы в среде промышленных систем, АСУ ТП. Ее можно внедрять, на нее можно делать софт, но быстро это сделать не получится.
Потому что это довольно-таки длительный процесс, который требует серьезных изменений внутри софта, внутри того IT, который управляет критическими процессами, критическим «железом».
— Почему? В чем принципиальное отличие вашей системы от того же Unix?
— Это закрытая система. Во-первых, она микроядерная. Да, есть некоторые юниксовые системы, которые тоже микроядерные, и это не наше изобретение. Но микроядерность гарантирует гораздо меньший риск проникновения через уязвимости. Плюс к этому, мы контролируем поведение как элементов ядра, так и приложений. Главное отличие от уже существующих систем заключается в том, что приложения, сервисы, которые работают в нашей операционной среде, получают доступ к ресурсам, только разрешенным по сценарию. То есть, если ты калькулятор, у тебя нет доступа к интернету. Система безопасности построена не на запретительном, а на разрешительном принципе.
Если взять обычные системы безопасности — есть приложение, есть firewall. Приложение может делать все, что хочет. Но если вдруг оно лезет по какому-то «кривому» протоколу, то firewall тебе его обрубит. А в нашем случае все наоборот. Если в приложении не прописана возможность работы с какими-то сервисами, то вообще просто не получишь никакого доступа. Опять же, если ты калькулятор, у тебя есть к чему доступ — к клавиатуре и к экрану, и все. Больше тебе ничего не дадут, и не проси.
— А если вот я напишу тот же калькулятор, но все-таки там будет вписано…
— Этот функционал будет остановлен.
— Нет, там будет вписано именно в документации этого калькулятора, что он может вылезать в интернет. Это кто-то отслеживает?
— Да, естественно. Писать софт под эту систему намного сложнее. Потому что необходимо не только писать код, но еще и прописывать сценарии, разрешенные данному приложению.
— А кто будет эти сценарии отслеживать?
— Производитель софта, работающий с предприятиями, которые будут это использовать. То есть на самом деле, то, что мы делаем операционную систему, не означает, что вот мы сделали ее, пожалуйста, ставьте, и вы защищены. Нет, это означает, что это платформа в чистом виде. Это платформа, на базе которой можно строить безопасные решения. Мы не собираемся заниматься разработкой АСУ ТП, которая будет управлять железными дорогами, станциями, электростанциями и прочими. Это не наша работа, и мы не хотим этим заниматься.
Но есть компании, которые занимаются этой работой уже много-много лет. Вот мы сейчас строим партнерскую сеть, мы работаем плотно с этими компаниями, мы их обучаем работе на нашей операционной системе. У нас есть SDK и DDK (инструментарии для разработчиков. — «Газета.Ru»). Есть несколько компаний, которые уже начали делать свои «железки» на нашей операционной системе. Пока еще их в продаже нет.
Я жду, я сказал: ребята, как только появится первая «железка» на нашей операционке, я хочу ее себе поставить на стол.
Но если это будет слишком большая — тогда макет. Так что эта работа не означает, что операционная система у нас есть, и это не означает, что это такая «серебряная пуля», которая решает сразу проблемы. Это кирпич, который необходим для того, чтобы строить действительно безопасное здание. Фундамент для строительства действительно безопасной системы.
Это не потребительская система. Ее, конечно, можно адаптировать и под мобильные телефоны. Ее можно адаптировать под компьютеры, она будет там работать. Проблема заключается в том, что разработка софта под эту операционку будет более дорогой. Потому что необходимо соблюдать требования.
В результате получается так, что если есть две «железки», одна под обычную операционную систему, одна под нашу, то разработка нашей «игрушки» будет дороже. Обычный пользователь приходит и смотрит два устройства. Вроде одинаковые. Одно небезопасное, другое безопасное. Безопасное заметно дороже. Что он купит? Конечно, то, что попроще. Скажем так: если вдруг какие-то организации либо государственные органы вдруг очень сильно захотят иметь совершенно безопасный мобильный телефон или планшет, то да, мы можем это сделать. Но на массовый рынок это продукт вывести не получится, пока не получится.
— Пока не получится?
— Нет, может быть, через какое-то время, когда количество компаний, которые разрабатывают софт под безопасную операционную систему, достигнет какого-то критического уровня, тогда можно будет об этом подумать.
— А когда корпоративная версия уже будет полностью готова и выйдет на рынок?
— Она уже есть, и уже сейчас есть компании, которые на безопасной операционной системе делают свои устройства. Когда они первые появятся и я увижу их у меня на столе, вот тогда можно будет об этом говорить. Но сейчас уже работы ведутся.
— Это произойдет уже в следующем году?
— Я не помню точно графика, но… когда партнеры увидели нашу операционку, они посмотрели на нее и сказали: «Вах!»
Убрали Linux — и теперь на нашей делают. Название пока говорить не могу.
Будут «железки» — я с удовольствием это покажу.
— А если говорить о планах введения налога на софт... Как вы к этому относитесь?
— Я отношусь к этому очень осторожно. Я понимаю логику, которая за этим стоит. Но введение подобного налога ударит по российским софтверным компаниям. Мне это непонятно. Налоговую льготу дали однажды экспортерам — в результате она очень болезненно ударила по компаниям, которые занимаются разработкой софта и экспортируют софт за рубеж. Не только софт — любую интеллектуальную собственность.
То есть налоговая льгота, которую ввели много лет назад для компаний-экспортеров, привела к тому, что мы стали платить больше налогов. Налоговая льгота с особым цинизмом, называется. А там очень сложная формула, потому что есть НДС. Существует НДС полной ставки, существует то, что не включается в НДС, а есть НДС по нулевой ставке. Вот они ввели эту нулевую ставку в качестве льготы. А в результате, если эта формула применяется, например, на нефть, которая идет за рубеж, либо на любой физический товар, который идет за рубеж, то действительно получается льгота.
Если же идет вопрос об интеллектуальной собственности, то тут эта формула начинает работать в обратную сторону.
А мы, напомню, торгуем интеллектуальной собственностью, мы не гоним коробки за рубеж, мы их там печатаем, потому что нет никакого смысла делать это здесь. В результате некоторый НДС мы не можем засчитывать, и мы должны платить его дважды. В результате налоговой льготы мы платим больше налогов. Большое спасибо.
Теперь нам еще и 10 процентов вводят, которые, в общем-то, логичны, если ты — компания зарубежная. Если ты импортер, то плати этот налог. Но это одновременно бьет по российским компаниям, которые занимаются разработкой софта и «железа». Мне это как-то странно. И эта нагрузка ляжет на плечи наших покупателей. А как иначе? У нас другого выхода нет.
— А на зарубежных пользователях это не отразится?
— Никак не отразится.
— Только на наших?
— Конечно, потому что этот закон про продажи на территории России.
— Жуть какая.
— Как-то я очень неоднозначно отношусь к этому нововведению. То есть пока деталей нет, потому что закон еще в процессе проработки. Но вот основная идея, положенная в этот закон, кажется мне немножко странноватой.
— Отойдем от всех этих скучных госструктур, перейдем, собственно, к месту нашей встречи, к Сочи. Вы рассказывали про партнерство с Ferrari. Какие у вас дальнейшие планы на развитие этого партнерства?
— На самом деле, партнерству уже где-то пять лет. Почти каждый год оно расширяется. То есть наша опция в партнерском пакете увеличивается. Нам все до сих пор очень нравится. Мы приглашаем гостей, партнеров, мы проводим разные мероприятия.
Партнерство с Ferrari — штука очень дорогая. Но я считаю (и не только я, многие в компании думают так же), что это просто здорово. Поэтому я не стал бы говорить, что мы планируем как-то сильно изменить наш формат партнерства. Мы продолжаем примерно все то же самое, постепенно увеличивается присутствие наших логотипов на разных элементах как болида, так и экипировки членов команды. Сейчас на руле появилась сверху наклеечка. Мы счастливы, на самом деле.
— А выйти на всю «Формулу-1» не хотите? Как, например, та же LG стала в свое время поставщиком.
— Немножко не наш формат. Потому что, если выходить на «Формулу-1» целиком или на команду — это немножко разные мероприятия. Потому что «Формула-1» целиком — это чисто реклама, которую повесил и смотришь потом ее по телевизору, медийный охват. «Формула-1» как компания не предоставляет никаких партнерских пакетов в виде автомобилей, покатушек на треках, и прочее, и прочее. То есть спонсирование «Формулы-1» — это просто повесить свой логотип и смотреть на отдачу от этого логотипа. Спонсирование Ferrari — это повесить логотип, и плюс это, плюс это, плюс это… Плюс пришел Кими (гонщик Ferrari Кими Райкконен. — «Газета.Ru») вчера к нам на приветственный ужин, иногда Алонсо (гонщик Ferrari Фернандо Алонсо. — «Газета.Ru») приходит.
— А если говорить о предоставлении своих продуктов инфраструктуре «Формулы-1» самой?
— Нет, я пока не могу сказать ничего на эту тему. Ferrari — клиент, да. А про «Формулу-1» мы не можем говорить. У нас бывают контракты, которые мы можем раскрывать, а некоторые — которые мы не можем раскрывать. Ну а с «Формулой-1»… Хочется, но пока нет.