Стоит ли использовать Open Source решения в ИТ-инфраструктуре и ИБ

Давайте сегодня поговорим о роли Open Source решений в ИТ-инфраструктуре и информационной безопасности. Наш собеседник — Денис Абраменко, заместитель генерального директора ЦКР-Информационные технологии, человек, который знает, как из открытого кода создавать надежные системы, и при этом не забывать о безопасности. Обсудим перспективы, опыт использования и будущее Open Source решений, интересно и с юмором — в лучших традициях ИТ.

Расскажите, пожалуйста, что такое Open Source решения в ИТ-инфраструктуре и информационной безопасности?

Open Source решения —  как «шведский стол» в мире программного обеспечения: вы получаете доступ ко всем «ингредиентам» и сами определяете, как их использовать. Такие программные продукты, исходный код которых открыт для всех, позволяют не только использовать их «как есть», но и адаптировать под свои нужды, изменять и улучшать. В ИТ-инфраструктуре и информационной безопасности подобные решения позволяют создавать кастомизированные системы, отвечающие конкретным потребностям бизнеса, и при этом сохранять контроль над тем, что происходит внутри системы. Это особенно важно, когда речь идет о безопасности данных и конфиденциальной информации.

На данный момент такой вид решений является одним из ведущих трендов в ИТ. Насколько этот тренд долгосрочный, на ваш взгляд? Какое будущее у Open Source решений на российском рынке?

Если рассматривать Open Source как моду, то явно не в контексте одноразовой тенденции (вроде 3D-очков). Этот тренд набирает силу и, по моему мнению, будет доминировать еще долго. В мире, где адаптивность и скорость реакции на изменения играют ключевую роль, Open Source дает бизнесу гибкость и возможность контролировать свое ИТ-окружение. На российском рынке эти решения также будут продолжать развиваться, особенно учитывая текущую ситуацию, когда многие компании ищут альтернативы западным проприетарным продуктам. Я думаю, Open Source будет становиться все более востребованным, как минимум потому, что позволяет адаптироваться к специфике локального рынка.

Расскажите о вашем опыте работы с Open Source.

Наш опыт можно сравнить с использованием швейцарского ножа: инструменты многофункциональные, универсальные, и только от фантазии владельца зависит, как ими пользоваться. Например, мы активно используем StackStorm, платформу для автоматизации операций, которая стала настоящим «волшебной палочкой» для наших инженеров. С ее помощью автоматизировали множество процессов, интегрировали различные системы и значительно сократили количество рутинных задач. Теперь наши специалисты могут сосредоточиться на более интересном и сложном, а не тратить время на «ручной труд».

Budibase тоже не отстает — это своего рода конструктор для создания внутренних инструментов и веб-приложений. Мы использовали его для организации системы НСИ и интеграции ее с инфраструктурными и ИБ-системами, что позволило быстро создавать и адаптировать приложения под нужды бизнеса, при этом с минимальными затратами времени и ресурсов.

Ну и, конечно, HashiCorp Vault — наш главный страж секретов и паролей. Он обеспечивает хранение конфиденциальной информации и позволяет интегрировать управление паролями с другими системами, такими как IDM.

Есть ли опыт таких проектов в ЦКР-ИТ и можно ли назвать его успешным? Если да, то какие преимущества? Если нет, то какие недостатки?

Безусловно, есть, и я рад сообщить, что эти проекты можно назвать успешными. Например, один из наших проектов по внедрению StackStorm, о котором я говорил выше, позволил нам значительно улучшить эффективность и снизить количество ошибок. Система начала работать как часы, и, что важно, она стала менее зависимой от человеческого фактора — ведь как говорится, где человек, там и «человеческий фактор».

Преимущества таких решений очевидны: гибкость, возможность адаптации под конкретные задачи, отсутствие лицензионных затрат и активная поддержка со стороны сообщества. Но, конечно, есть и свои подводные камни. Например, если что-то пошло не так, вендор, как в случае с проприетарными решениями, не придет вам на помощь. Нужно быть готовыми к тому, что вся ответственность за решение проблем лежит на вашей команде. Но если у вас есть сильные специалисты, это скорее вызов, чем проблема.

С точки зрения ИБ, какие риски существуют в подобных проектах и можно ли вообще назвать их безопасными?

С точки зрения ИБ, основным риском является то, что код открыт и потенциально доступен не только добросовестным разработчикам, но и злоумышленникам. Однако это не означает, что такие решения менее безопасны. Наоборот, открытость кода позволяет быстро обнаруживать и устранять уязвимости благодаря активному сообществу разработчиков.

Безопасность Open Source решений, как и любых других, зависит от правильного подхода к их внедрению и эксплуатации. Если вы следите за обновлениями, своевременно применяете патчи и правильно настраиваете систему, то риски минимизируются. И, конечно, стоит помнить, что безопасность — это не состояние, а процесс. Даже самая надежная система требует постоянного внимания и доработки.

Какой топ рекомендаций вы бы дали специалистам, которые только начинают практику в использовании Open Source решений в проектах?

Первая и самая важная рекомендация — учитесь, учитесь и еще раз учитесь. Open Source — это как приключение в мире знаний: чем больше знаете, тем дальше можете зайти. Читайте документацию, участвуйте в форумах, не бойтесь задавать вопросы. Сообщество Open Source, как правило, очень дружелюбно и готово помочь.

Второе — следите за обновлениями и патчами. В мире Open Source все меняется быстро, и вам нужно быть готовыми к этим изменениям. Это как гонка — если вы остаетесь позади, рискуете пропустить что-то важное.

Третье — не бойтесь экспериментировать. Open Source дает свободу действий, и вы можете попробовать различные подходы и решения, чтобы найти то, что идеально подходит для вашего проекта. Ошибки — это часть процесса обучения, и в Open Source вам предоставляется возможность учиться на своих ошибках, а не на чужих деньгах.

Какие интересные тенденции в области ИТ и ИБ в общем сейчас активно набирают обороты?

Сейчас мы видим растущий интерес к автоматизации и машинному обучению в области ИБ. Это все равно, что иметь персонального ассистента, который никогда не спит и всегда начеку. Автоматизация позволяет быстрее реагировать на инциденты и даже предугадывать потенциальные угрозы.

Также заметна тенденция к внедрению архитектуры Zero Trust, где никто не доверяет никому без проверки. Как если бы вы каждый раз проходили проверку документов при входе в собственный дом — несколько неудобно, но зато очень безопасно.

И, конечно, облачные технологии и контейнеризация продолжают набирать обороты. Это требует новых подходов к безопасности и управления данными. Open Source решения здесь как раз играют ключевую роль, обеспечивая гибкость и адаптивность к новым вызовам.

Мы в ЦКР-ИТ активно следим за этими трендами и готовы использовать их для решения задач наших клиентов. Главное — не забывать, что ИТ, как и любое другое ремесло, требует не только знаний и навыков, но и креативного подхода. И немного юмора тоже не повредит.