Кибербезопасность и защита данных: перспективы и угрозы для стартапов

image

Теги: Group-IB, Microsoft, Центробанк, облачные технологии

Эксперты из Group-IB, Центробанка РФ, Управления «К» МВД РФ, ЦИБ ФСБ, «Лаборатории Касперского» и Microsoft обсудили перспективы для стартапов.

16 июля во ФРИИ Сити Холле прошло мероприятие, организованное Фондом развития интернет-инициатив совместно с компанией Group-IB. На мероприятие были приглашены эксперты из Group-IB, Центробанка РФ, Управления «К» МВД РФ, ЦИБ ФСБ, «Лаборатории Касперского», Microsoft, Softline, «Инфосистемы Джет», Acronis, а также представители акселератора и фонда ФРИИ. Встреча проходила в рамках открытой дискуссии, на которой обсуждались возможности для развития новых продуктов на рынке кибербезопасности и защиты данных, поддержка стартапов, перспективные направления и угрозы. Мы публикуем выжимку обсуждения.

156.jpg

Стартапы в сфере кибербезопасности глазами системных интеграторов и крупных вендоров

Соорганизатор мероприятия, компания Group-IB, не так давно перестала быть стартапом. В качестве перспективных для развития направлений в индустрии Group-IB были выделены компьютерная криминалистика и cyber intelligence — киберразведка. По словам основателя компании Ильи Сачкова, технология «позволяет по определенным аналитическим, техническим, либо стратегическим индикаторам давать заказчикам информацию, которая позволяет предотвратить преступления», и это быстро растущий рынок, «голубой океан».

«Лаборатория Касперского» тоже когда-то была стартапом, около 18 лет назад в ней было четыре человека и технология, которая умела относительно быстро находить конкретные вирусы. Сейчас компания предлагает около 40 различных продуктов и сервисов. В начале нулевых бизнес начал расти в сторону b2b-рынка, произошла резкая диверсификация продуктовой линейки. Сейчас «Лаборатория Касперского» начинает заниматься продуктами, которые предупреждают, предсказывают моменты заражения. Начиная с прошлого года, в «Лаборатории» активно смотрят на стартапы в области информационной безопасности. Если в 90-х у компании была задача охватить как можно больше ниш, то сейчас, по словам руководителя центра инвестиций и инноваций в «Лаборатории Касперского» Вартана Минасяна, «никакого количества разработчиков не хватит, чтобы охватить все ниши», поэтому компании интересно развитие экосистемы отрасли и сотрудничество с внешними стартапами.

Вячеслав Железняков, который руководит департаментом безопасности в компании Softline, рассказал, что с точки зрения поддержки стартапов в компании есть фонд Softline Ventures Partners. Во-первых, фонд занимается инвестициями в стартапы, а во-вторых, аналитики Softline хорошо знают рынок: кому и какой продукт можно продать. Соответственно в компании активно работают со стартапами как со стороны фонда, так и со стороны рынка в целом.

Стартапы в сфере кибербезопасности и защиты данных — это одно из приоритетных направлений для инвестирования и для Фонда развития интернет-инициатив, именно поэтому ФРИИ выступил инициатором мероприятия в этой сфере и заинтересован в партнерстве с ключевыми игроками рынка. Например, с Microsoft уже действует партнерская акселерационная программа.

Юрий Черкас, менеджер по развитию бизнеса в компании «Инфосистемы Джет», рассказал, что глазами интегратора стартап — это включение в портфель интегратора новой услуги. Но к сожалению, на сегодняшний день 95% бизнеса «Инфосистемы Джет» построено на базе иностранных решений, и лишь 5% — продукты отечественного производства. По мнению Юрия Черкаса, это происходит не потому, что компания ориентирована на иностранные продукты, а по той причине, что качественной отечественной продукции очень мало на рынке. Как интегратор, «Инфосистемы Джет» готовы купить идею и вкладываться в ее развитие. Многие стартапы рождаются и внутри самого интегратора. «Интегратор, когда он запускает новый продукт, ставит перед собой не материальные цели — заработать денег. Ему важнее, например, возможность стартапа выйти на зарубежный рынок, его потенциал. Нужно найти свою нишу и продать идею интегратору», — поясняет Юрий Черкас.

157.jpg 

Поддержка стартапов крупными компаниями: чем системные интеграторы и вендоры в сфере информационной безопасности могут помочь молодым компаниям?

По мнению Вартана Минасяна из «Лаборатории Касперского», бывает три типа помощи, которая необходима стартапу. Технологическая: скажем, компания решила залезть в рынок с тяжелыми технологическими решениями. У нее есть идея, как решить какую-то проблему, но чтобы воплотить эту идею, нужны условные 50 человек. Стартап может прийти, например, к «Лаборатории Касперского», и договориться о лицензировании какой-то существующей технологии. Это защищает стартап от потенциальных конкурентов: технология является барьером для входа. Второй тип помощи — продуктизация идей и технологий. Часто бывает, что у людей, которые создают новые продукты, получается целый фич-лист. Лучше сфокусироваться на одной-двух фичах, считает Вартан. Помощь с выбором этих фич и их реализации — это и есть продакт-менеджмент: как правильно сформировать продукт. Третий тип помощи — доступ к клиентам и каналу продаж большой компании, которые нарабатываются на этом рынке годами, так как информационная безопасность — это про доверие к бренду и личности.

Практически все эксперты из крупных компаний упомянули о том, что стартапы часто зарождаются прямо внутри корпорации. Как говорит руководитель программы информационной безопасности в Центральной и Восточной Европе в Microsoft Андрей Бешков: «Microsoft — это единая ткань, где внутри зреет множество стартапов». По словам Андрея, Microsoft много раз сталкивался с ситуацией, когда ведущие люди в стартапах неожиданно уходят. Поэтому в компании обычно запускаются несколько параллельных стартапов для решения одной проблемы, из расчета, что какой-то да выживет. «Скорее всего, между ними будет яростная схватка, и какой-то один поглотит остальных», — резюмирует Андрей Бешков. Внешние стартапы компания поддерживает грантами — технологическими и денежными. Андрей выделяет следующие проблемы стартапов на этапе поиска поддержки. «Часто за поддержкой приходят люди и говорят, что изобрели что-то новое, а на деле это уже есть. Также нередко бывает, что у стартапов есть идея, но им не хватает навыков, компетенций, им мы им это даем. Если же продукт у них уже есть, надо помогать его продавать».

Юрий Черкас из компании «Инфосистемы Джет» утверждает, что в компании могут помочь стартам понять: их решение — совсем для другой области, а интересным стартапам готовы предоставлять технологические мощности.

Илья Сачков из Group-IB рассказал, что они уже работают со стартапами в области CERT. (CERT-GIB представляет собой команду по реагированию на инциденты информационной безопасности (Computer Emergency Response Team), созданную на базе Group-IB в России. В Group-IB ищут решения, которые просто и понятно для заказчика выявляют какую-то нехорошую активность в интернете, внутри сети, на базе серверов. Например, компания уже работает с еще одним портфельным проектом ФРИИ — Sitesecure. Теперь клиенты, которые получают CERT от Group-IB, будут получать сразу и услуги Sitesecure по защите сайтов.

ФРИИ предоставляет стартапам в сфере кибербезопасности и защиты данных два вида поддержки: инвестиции и акселерационная программа . Стартапы на предпосевной стадии могут получить 1,4 млн рублей, из которых 600 тысяч пойдут на оплату программы акселерации. Этот тип поддержки получили такие проекты из индустрии, как Sitesecure и Bitcalm. ФРИИ также инвестирует на посевной (до 15 млн рублей) стадии и раунде А (до 340 млн рублей). Последняя сделка раунда А в размере 210 млн рублей как раз была анонсирована с компанией Group-IB.

Перспективные направления для развития стартапов на рынке кибербезопасности

Эксперты обсудили также, в каких направлениях стартапам точно не стоит двигаться, чего стартапам не хватает для роста, и на рынок каких стран стоит ориентироваться.

Чтобы крупная компания понимала перспективность идеи стартапа, в идеале он должен подкрепить ее исследованием рынка. К сожалению, в стартапе чаще всего некому заниматься исследованиями. Как говорит Вартан Минасян, «серьезное исследование рынка делать долго, дорого и сложно». По его словам, в «Лаборатории Касперского» примерно раз в месяц приходит компания, которая предлагает сделать новый менеджер паролей или новую технологию аутентификации на мобильных телефонах. У таких компаний совпадают порой не только технологические решения, но и целевые рынки, и маркетинговые активности, которые они предполагают делать. С точки зрения потенциального партнера и инвестора это совсем не инновация. «Но мы с удовольствием поговорим с теми, кто с порога скажет нам «пароли умрут завтра, и все изменится, потому что появимся мы». Такой подход демонстрирует внутреннюю энергию команды», — поясняет Вартан. В «Лаборатории Касперского» стартапы призывают, в первую очередь, не стараться выйти на существующие почти полностью занятые рынки кибербезопасности, а смотреть вперед, создавать инновации.

С этой позицией не согласен Юрий Черкас из «Инфосистемы Джет»: «Если на рынке есть место для DVD, то найдется и для десятого игрока в уже развитой нише», — говорит он. Юрий напоминает, что хороших российских продуктов нет даже среди распространенных технологий, таких как web-шлюз. Эксперт считает, что не надо бояться конкуренции, бояться заходить на те рынки, которые уже прочно заняты.

По мнению Вячеслава Железнякова из Softline, больше шансов у стартапов, которые начинают не с разработки интересной технологии, а с выбора узкой рыночной ниши. Сделав продукт для ниши, впоследствии можно отдельно развивать и саму технологию. Таким образом, стартапу лучше ориентироваться на конкретную нишу, чем делать технологию, которую потом непонятно куда встраивать.

Илья Сачков из Group-IB рекомендует всем стартапам прочесть книгу «Стратегии голубого океана». По его словам, Group-IB растет во многом благодаря тому, что они нашли свои «голубые океаны» в виде криминалистики и CERT. Что касается перспективных направлений для стартапов по кибербезопасности, то по мнению Сачкова, в России не хватает криминалистических комплексов. Из российских компаний это только Belkasoft и ставропольская компания ACE Lab. Огромное число оборудования, которое мы закупаем, производят израильские и американские компании, хотя у их продуктов есть существенные недостатки. Минус в том, что в России отсутствует система сертификации криминалистического оборудования, хотя именно у этого оборудования есть доступ к самым чувствительным данным, которые хотят украсть», — сокрушается Илья.

Артем Сычев, заместитель начальника Главного управления безопасности и защиты информации Центрального банка РФ, предложил пару идей для стартапа, которые бы его заинтересовали, исходя из существующих в отрасли проблем. «Самая простая проблема, с которой сталкиваются сейчас владельцы платежных карт, — это отсутствие отечественного чипа. Реализовать технологию от выращивания кристалла до производства чипа никто не может. Такой стартап будет стоить безумных денег, но перспективы у него очень хорошие: объем выпущенных карт большой, плюс есть сим карты и другие сферы, которым нужны чипы», — поясняет эксперт.

Еще одна проблема, которая нас ждет по мнению Артема Сычева, — это внедрение вредоносов на уровень процессоров, их работа из security-модуля, который есть в каждой машине. «Текущие средства контроля не увидят их, что даст возможность этим вредоносам работать. Проблема выявления и ликвидации этой активности острая, она находится на стыке hardware и software, и пока мы не видим на рынке решений, которые этому могут противостоять».

На рынок какой страны ориентироваться стартапу?

Андрей Бешков из Microsoft не рекомендует стартапам по кибербезопасности целиться исключительно на российский рынок. Гораздо важнее сразу понимать, будет ли продукт востребован где-то за пределами России, считает он.

Артем Cычев из ЦБ РФ придерживается другой точки зрения. На его взгляд, в любом государстве требования к безопасности выставляют определенные органы, это тесно связано с защитой государства. По его словам, ориентация на эти требования даст стартапу преимущества при попытке реализовать продукт для госструктур. «Многие американские крупные производители кое-что недоговаривают: госконтракты в США дали таким компаниям огромные возможности. Почему же в РФ должно быть по-другому?», — недоумевает Сычев. Он утверждает, что государство может профинансировать стартап, но это возможно только если стартап готов идти на реализацию требований по сертификации, которые выставляет государство.

По этому поводу Вартан Минасян из «Лаборатории Касперского» привел интересный пример. Десять лет назад в Китае началось развитие автомобилестроения, появилось много компаний в этой области. Однако китайское государство установило квоту: завод будет закрыт, если высокий процент продукции через какое-то время не будет экспортироваться, то есть не будет признан другими рынками. «Хорошо, когда стартап начинает с родины. Но не стоит забывать, что выход на другие рынки — это и проверка конкурентоспособности продукта, и увеличение его шансов выжить в не самые лучшие для экономики страны времена, и проверка на совместимость продукта с другими ментальностями», - резюмирует Вартан.

Юрий Черкас из «Инфосистемы Джет» также упомянул, что у стартапов может быть разная целевая аудитория. Есть крупные представители рынка, а есть мелкие, которые тоже нуждаются в решениях по кибербезопасности. Как еще один вариант интересной стратегии развития стартапа Юрий предлагает делать продукт под небольшие компании, потом выходить на крупных заказчиков, а уже после — на международные рынки.

Почему корпорациям нет смысла «давить» стартапы

Андрей Бешков на этот счет говорит: «Зачем «давить» стартапы, когда можно их купить?». По этому поводу Андрей вспоминает покупку компанией Microsoft стартапов Hotmail и FastSearch, из которого потом получился Bing. Почему «давить» стартап невыгодно? «Microsoft похож на каток: долго разгоняется, смотрит, пока стартапы, бегущие впереди, набивают шишки, а потом что-то покупает, и едет вперед», — поясняет Андрей. «Копировать разработку стартапа корпорации смысла нет», — говорит Андрей Бешков. Проще лицензировать что-то у стартапа по одной причине: время разработчика Microsoft стоит дороже этой лицензии.

Вартан Минасян тоже упоминает о проблеме скорости развития новых продуктов в корпорации. «Лаборатория Касперского» гордится качеством своих технологий, своими программистами. Но высокие требования к качеству приводят к тому, что минимальный релизный цикл самого простого продукта составляет месяцы, а иногда и годы. Так что мы можем пропустить релиз инновационной технологии, просто потому что так устроен процесс secure development — по-другому нельзя. Если же есть стартап, который занимается этой технологией, мы с радостью будем с ним сотрудничать. Даже если он потом выстрелит и станет нашим конкурентом, мы будем только рады. Конкуренция ведет к всеобщему повышению качества. Стартапы большим компаниям нужны, чтобы быстро пробовать что-то на новых рынках», — говорит эксперт.

B2C-стартапы в сфере кибербезопасности и защиты данных: на чем сконцентрироваться?

Вартан Минасян как бывший менеджер по продуктам для домашних пользователей «Лаборатории Касперского» дал несколько простых советов про b2c-рынок. «Первое: бренд, как ни странно, на этом рынке значит не очень много. На компьютерном рынке люди часто не знают, пользуются ли они Windows или OS X, уже не говоря о том, какой у них стоит антивирус», — говорит Вартан. По его мнению, уровень этого знания продолжает падать. «В b2c важны простота продукта, юзабилити, UX, продукт должен быть крайне эффективен и понятен на таком уровне, что им сможет пользоваться даже ребенок», — утверждает Вартан. Также в «Лаборатории Касперского» считают: если у продукта есть какой-то сложный функционал, который он продает как дифференцированную фичу (за счет нее отличается от конкурентов), лучше, если она будет работать автоматически. Иначе, скорее всего, большая часть пользователей ей никогда пользоваться не будет.

Андрей Бешков из Microsoft также отводит первое место в b2c-продуктах простоте использования. «Первое время мы в Microsoft создавали сложные продукты, потому что программисты обычно пилят что-то «под себя». Мы задавали пользователям Windows кучу вопросов в процессе использования, хотя им хочется, чтобы была одна большая кнопка «сделай мне хорошо», — говорит Андрей.

Олег Михальский, директор Acronis по облачным сервисам, считает, что стартап в сфере безопасности проще начинать в b2c. «Стартап по информационной безопасности — это технологические риски, помноженные на маркетинговые риски. Нужно создать сложную технологию, которая решает сложную проблему, а после - найти клиентов, которым можно объяснить, что у них эта проблема реально есть». Как говорит Олег, большинство людей проблем по безопасности не ощущают. И это первый уровень трудностей при создании стартапа. «Второй уровень сложности — нужно создать бренд, обладающий доверием потребителей, собрать много данных и экспертизу, чтобы вы могли прийти к корпоративному клиенту, и вас не выставили с порога», — поясняет Михальский. По мнению Олега, на b2c-рынке пользователи быстрее и проще узнают о новых технологиях и принимают их. Но для этого, по словам эксперта, должен произойти «compelling event — прецедент, который заставит всех обратить внимание на эту проблему». Скажем, у всех массово пропадут важные данные из Dropbox.

158.jpg 

Softline не работает с консьюмерским сегментом, но работает с сегментом SMB (Small Medium Business). По мнению Вячеслава Железнякова, там все очень похоже на b2c: меньше знаний, больше эмоций. «Делать продукты для b2c или SMB, на мой взгляд, даже сложнее, чем для рынка enterprise. В b2c, например, возникают сложности с техподдержкой, производительностью, автоматизмом. С точки зрения технологий же такие продукты не менее сложные. При этом на этих рынках клиенты часто плохо разбираются в продукте и принимают решение на эмоциях», — говорит Вячеслав. Железняков также упоминает о сложностях выхода на консьюмерский рынок для технологических компаний. «На рынке enterprise вы можете дойти до пары крупных клиентов, заинтересовать их, и в итоге они могут взять продукт на тестирование. В b2c и SMB помимо конечных клиентов при запуске продукта нужно ориентироваться и на основных дистрибьюторов или реселлеров, которые потом будут его продавать, а это усложняет задачу», — говорит Вячеслав Железняков.

Полностью видео с мероприятия можно посмотреть здесь . Мероприятия формата «бизнес-секреты» во ФРИИ проводятся ежемесячно, следить за ними вы можете, подписавшись на паблик ФРИИ в FB .

Telegram Подписывайтесь на канал "SecurityLab" в Telegram, чтобы первыми узнавать о новостях и эксклюзивных материалах по информационной безопасности.