DLP-рынок потеряет независимость?

Денис Зенкин

  Рынок DLP (Data Loss Prevention – системы защиты от утечек данных) - ровесник третьего тысячелетия. Однако менее чем за 10 лет он успел пройти нелегкий путь от младенчества до зрелости и уже переживает кризис среднего возраста. Сегодня аналитики и практики решают его судьбу – есть ли будущее у фокусированных DLP-продуктов или они растворятся и станут элементами комплексных ИБ-решений? Cтанут ли DLP-разработчики добычей крупных ИБ-компаний или смогут отстоять независимый рынок?

  "Самостоятельный или зависимый?" – в последнее время под таким заголовком протекают жаркие баталии западных аналитиков, когда дело заходит о DLP-рынке. Традиционно участники разделились на два лагеря. Первые последовательно отстаивают позицию бесперспективности фокусированных решений для борьбы с утечками и предрекают их скорое поглощение грандами ИБ-рынка. Вторые считают, что хоронить еще рано: происходящие слияния и поглощения закономерны, а сами DLP-решения в силу специфики задач обречены рано или поздно сформировать крепкий независимый рынок.

  Обе стороны предлагают вескую аргументацию. События предыдущих двух лет принесли много новостей, связанных с покупкой разработчиков систем защиты от утечек. За период 2006-2008 гг. состоялось 8 крупных сделок, общий объем которых оценивается в сумму около 2 млрд долл. В результате жертвами поглощений стали большинство крупных DLP-игроков. В рыночном закулисье ходят упорные слухи, что на очереди другие разработчики из первой десятки - Vericept, Verdasys, Reconnex и Orchestria. В ИБ-области еще много компаний, желающих дополнить свое продуктовое портфолио DLP-функциональностью.

  "Слово "жертва" в данном контексте имеет обратное значение. Практически все упомянутые компании изначально представляли собой объект венчурных инвестиций и создавались для последующей продажи", - считает Евгений Преображенский, генеральный директор компании Perimetrix. Действительно, анализ активности по привлечению инвестиций крупнейших игроков показывает, что в период 2002-2005 гг. средний объем вливаний в каждую компанию составил около 35 млн долл. К примеру: Proofpoint - 36 млн долл., Reconnex – 37 млн долл., Vontu - 30 млн долл., Tablus - 24 млн долл., PortAuthority - 31 млн долл., Orchestria - 49 млн долл., Oakley Networks - 20 млн долл., Vericept – 37,5 млн долл. Среди акционеров каждой из этих компаний доминируют венчурные фонды, для которых совершенные сделки были, очевидно, радостным и долгожданным событием для фиксации сверхприбылей.

  Перспективы дальнейшего развития DLP-рынка подчеркивают мультипликаторы (отношение цены покупки и годового оборота) сделок. Официальные данные и экспертные оценки свидетельствуют, что этот показатель колеблется между 10 и 16. По сравнению с мультипликатором 4-5, принятым при публичном размещении акций ИТ-компаний, такое положение вещей однозначно подчеркивает огромный интерес и большие ожидания новых владельцев. "DLP-решения сегодня пользуются огромным спросом на всех уровнях и отраслях. Можно с уверенностью утверждать, что сегодня мы переживаем настоящий взрыв спроса на системы защиты от утечек, который, по нашим оценкам, будет продолжаться еще минимум 3-4 года, - считает менеджер проектов по информационной безопасности компании "УСП КомпьюЛинк" Александр Юрков, - Неудивительно, что крупные ИБ-компании стремятся обзавестись специализированными продуктами".

  Казалось бы, дни независимого DLP-рынка сочтены. Как предрекали пессимисты, в течение ближайших лет перед ним открывается картина полного растворения в других ИБ-игроках и переход из категории "самостоятельный продут" в категорию "элемент комплексного решения". Однако анализ действительности свидетельствует об обратном. Оказавшись под крылом сильных компаний, эти продукты отнюдь не начали новую жизнь. Наоборот, консолидация рынка оказала стагнирующее влияние на технологическое развитие DLP-решений. Бывшие технологически активные игроки рынка потеряли свою идентичность, растворились и утратили потенциал развития. Специалисты, стоявшие у истоков систем защиты от утечек, покинули команды и занялись новыми проектами. Стало ясно, что новые хозяева не могут и не будут уделять такое же большое внимание DLP-функциональности, как прежде. Напротив, она выстроилась в очередь приоритетов наряду с другими продуктами их обширной линейки.

  Такое положение вещей открывает перспективы для новых нишевых игроков, агрессивные технологические инновации и фокусированная маркетинговая активность которых встретят большое внимание рынка и окажут положительное влияние на бизнес. Массовая миграция DLP-функциональности в направлении "все-в-одном" даст им возможность подчеркнуть свой фокус: "Делать хорошо все сразу невозможно. Мы делаем одно, но лучше всех". Такие разработчики имеют и существенные технологические преимущества: у них есть шансы стать законодателями моды - концентрировать внимание на конкретных DLP-функциях и актуальных требованиях заказчиков. В комплексных же ИБ-решениях они неминуемо девальвируются и получат фоновый приоритет.

  Практика показывает, что емкость ИБ-рынка с точки зрения поглощения DLP-компаний большая, но не бесконечная. Появление сильных фокусированных разработчиков и укрепление независимости рынка является объективной реальностью. Это основано на общечеловеческих предпочтениях и современных подходах управления информационной безопасностью. "Люди склонны отдавать предпочтение качеству, нежели цене или интегрированности. А в области DLP, где речь идет о критически важной для бизнеса информации, это особенно ярко выражено", - комментирует Евгений Преображенский.

Модели внедрения DLP

  Дилемма самостоятельный продукт/элемент неразрывно связана с концептуальными взглядами на создание корпоративной системы ИБ. От специфики структуры управления зависит и выбор концепции внедрения DLP. Сегодня в этой области выделяются три основных подхода: канальный, функциональный и смешанный. В первом случае обеспечение безопасности происходит по типу защищаемого объекта. Рассмотрим типовую компанию, в которой ответственный за почтовый шлюз не только выбирает и устанавливает программное обеспечение, следит за своевременной установкой свежих версий, модифицирует для решения специфических бизнес-задач, но также обеспечивает его защиту от всех видов угроз. Функциональная модель концентрирует свое внимание не на объектах, а на прикладных задачах. В этом случае в ИТ-отделе компании происходит специализация: появляются эксперты, которые отвечают за разработку и реализацию корпоративной политики защиты от вирусов, хакерских атак, спама, утечек, несанкционированного доступа и т.д. Как правило, один эксперт берет на себя сразу несколько из перечисленных обязанностей. Смешанный подход является компромиссом двух предыдущих: один специалист компании занимается как техническим обеспечением объекта (например, почтового шлюза), так и некоторыми функциями его безопасности (например, защитой от спама и вирусов).

  Важно отметить управленческие особенности каждой из перечисленных моделей. Очевидно, что канальный подход требует сильного централизованного руководства, которое будет диктовать единую политику, жестко контролировать ее соблюдение. В отсутствие "сильной руки" компанию неминуемо ждет "буйство мнений", когда каждый специалист реализует тот метод защиты вверенного ему объекта, который считает правильным. Таким образом, в ИТ-инфраструктуре может появиться, например, сразу несколько антивирусов разных разработчиков. Функциональный подход предполагает известную степень децентрализации, при этом прикладные направления получают большую свободу действий для реализации своих специализированных задач. При этом не только не страдает унификация политики, но ее качество даже повышается: конкретные прикладные политики разрабатываются профильными специалистами.

  Функциональный подход имеет ряд очевидных преимуществ. Во-первых, нельзя быть специалистом по всем типам угроз, при этом одновременно отвечать за техническую сторону объекта защиты. "Фокусники" всегда лучше разбирались в своей предметной области. Соответственно, защита, построенная на таком подходе по умолчанию лучше. С точки зрения защиты от утечки эта модель имеет дополнительный плюс, поскольку парадигма DLP в корне отличается от других областей ИБ. Здесь речь идет о защите секретов, в отличие от защиты сети, серверов или рабочих станций. DLP решает бизнес-задачу, в то время как в сферу компетенции других областей попадают задачи прикладного характера. Прикладные задачи имеют ряд ограничений – по вовлеченным подразделениям, распределению ответственности. DLP же пронизывает весь бизнес, всю работу организации. Это мнение разделяет Рич Могулл, на протяжении многих лет бывший ведущим ИБ-аналитиком исследовательского центра Gartner: "Единственный способ решить проблему защиты от утечки состоит в создании целостного решения. Не имеет ровным счетом никакого смысла строить отдельные политики на уровне сети, серверов или баз данных. Наоборот, необходимо разработать одну политику и распространить ее на всю инфраструктуру".

  Во-вторых, достигается унифицированный подход к защите от конкретного вида угроз в рамках организации. Исключается ситуация, при которой каждый "канальный специалист" тянет одеяло на себя, реализует собственные представления, создает "софтовый зоопарк", что в итоге отражается на защищенности, управляемости и экономической безопасности. Применимо к DLP канальная модель вообще не работает. В отличие от некоторых других направлений ИБ здесь все максимально централизовано. Можете себе представить, что защита от утечки базируется на разных подходах на уровнях хранения, обработки и передачи данных?

  В-третьих, реализуется централизованное управление всей предметной защитой. Отсутствие или недостаток этой особенности приведет не только к неразберихе и знакомому эффекту лебедя, рака и щуки, но лишит DLP-систему сразу нескольких ключевых особенностей. Прежде всего – централизованного накопления данных (теневые копии) и событий для соответствия стандартам и нормативным актам, ретроспективного анализа, доказательства непричастности и построения корреляций для проактивных методов предотвращения утечек.

  Наконец, этот подход более соответствует общей политике безопасности бизнеса. Сравните, к примеру, защиту от спама и от утечек. В первом случае мы имеем дело с автоматическим фильтром электронного мусора. Во втором – с исключительно чувствительными сведениями, затрагивающими основы бизнеса организации. Дело не только в том, что это очень ответственная задача и промах здесь смерти подобен. Ведь это совершенно секретная область, которую опасно доверять глазу рядового сисадмина. Эта сфера компетенции принадлежит, скорее, службе общей безопасности, ее разработка требует поддержки первых лиц организации и предполагает вовлечение других бизнес-подразделений, включая HR, юридический, финансовый департаменты, маркетинг, продажи. "Нам нужна выделенная инфраструктура, команда и процессы, потому что просто невозможно решить проблему защиты от утечки по-своему на разных уровнях, разными процессами и разношерстными специалистами", - говорит Рич Могулл.

  Впрочем, канальный подход тоже имеет право на существование. Во-первых, в небольших организациях. В них обычно наблюдается нехватка средств и квалифицированного персонала для управления сложными DLP-системами. К тому же, в таких условиях все еще достаточно действенны "ручные" и организационные методы контроля, которые способны заменить высокие технологии. Во-вторых, это связано с особенностями и традициями конкретного коллектива и руководителя. Перестройка годами наработанного опыта может быть чревата серьезными трудностями, и еще неясно, что, в конечном счете, окажется более эффективным.

  Сегодня более жизнеспособна и приспособлена для решения насущных задач корпоративных заказчиков смешанная модель. Рано или поздно разделение обязанностей будет происходить по известному принципу специализации: люди, которые решают прикладную проблему (например, защита конфиденциальности данных) и люди, которые обеспечивают ее техническую сторону, при этом обе группы работают в тесном сотрудничестве. Первые создают и реализуют политику, а вторые создают и поддерживают обслуживающую ее инфраструктуру. Такая модель управления информационной безопасностью обладает преимуществами обоих подходов. "В ИТ есть два типа административных обязанностей: одни отвечают за решение проблем, а другие за то, чтобы все это работало. Последнее наименее критично, поскольку может быть реализовано практически каждым ИТ-специалистом", - считает Рич Могулл.

Все-таки продукт или элемент?

  Возвращаясь к вопросу, заданному в начале статьи, подведем итог. Элемент? Да. Несомненно, DLP-функциональность проникнет в другие ИБ-продукты, а их производители будут концентрировать внимание заказчиков на преимуществах "все в одном флаконе". Несмотря на то, что такие решения по умолчанию будут проигрывать по эффективности фокусированным продуктам, у этого подхода будут свои апологеты. Самостоятельный рынок? Да. Наряду с интегрированными решениями с вялой и размытой DLP-функциональностью всегда будет ниша для специализированных продуктов, которые решают одну задачу, но решают ее гораздо лучше. Кроме того, реализация DLP как отдельного решения, а не как элемента в комплексном ИБ-проекте, имеет дополнительные преимущества. В частности, это позволяет привести в порядок бизнес-процессы. "На практике встречались случаи, когда внедрение DLP сопровождалось поразительными открытиями гигантских брешей в безопасности и неэффективных процессов. В итоге они совершенствовались и повышали эффективность бизнеса в целом", - говорит Евгений Преображенский.

  Рассуждая о соотношении этих подходов, заметим, что DLP будет скорее рынком, чем элементом. Особенно в долгосрочной перспективе, когда архаичные канальные подходы эволюционируют в более современные, эффективные, более приспособленные для решения насущных бизнес-задач. 10 лет назад среди аналитиков и практиков бытовало мнение, что дни рынка антивирусов сочтены и их разработчики будут куплены крупными SCM-игроками. Сейчас мы видим, что этот рынок не только не растворился, но окреп и даже позволяет себе поглощать другие компании для укрепления позиций. Менеджер проектов по информационной безопасности компании "УСП КомпьюЛинк" Александр Юрков уверен, что "у фокусированных DLP-разработчиков есть большие перспективы. Более того, судя по сегодняшним запросам заказчиков, они рассматривают такие специализированные решения в качестве неотъемлемой части в разработке комплексной ИБ-стратегии компании".