Для развития облачной инфраструктуры в закрытом контуре критической информационной инфраструктуры (КИИ) требуется одновременно учитывать требования информационной безопасности, совместимость компонентов и необходимость регулярно обновлять платформу. У крупных корпоративных систем есть отдельная задача — повышение эффективности использования вычислительных ресурсов и развитие сервисов на базе искусственного интеллекта. О том, как Гринатом выстраивает эксплуатацию частного облака, распределяет ответственность с вендором и развивает инфраструктуру для КИИ и ИИ, рассказал ИТ-директор «Гринатома» Владимир Золотов.

«Подходы к реализации искусственного интеллекта и потребность в нем, мне кажется, очевидны — это повышение эффективности бизнеса»

CNews: Подскажите, почему для инфраструктуры с требованиями КИИ выбрали облачную модель вместо классической виртуализации? И какие задачи внутренних заказчиков она решает?

Владимир Золотов: Гринатом является отраслевым ИТ-провайдером и ИТ-интегратором. Изначально компания создавалась в рамках программы трансформации ИТ госкорпорации «Росатом». И уже потом появились подходы к централизации корпоративных информационных систем и сервисов. При этом сами информационные системы принадлежат госкорпорации, а инфраструктура — «Гринатому». Мы являемся облачным провайдером и поставляем решения для этих систем по модели IaaS.

CNews: Как разделена ответственность между инженерами Гринатома и вендором? Что это меняет в эксплуатации?

Владимир Золотов: Данные госкорпорации не могут быть переданы внешнему провайдеру, поэтому изначально было принято решение, что вся инфраструктура должна принадлежать «Гринатому».

Мы используем частное облако от VK Tech, и собственная служба поддержки в полном объеме обеспечивает его эксплуатацию. Вендор привлекается в случае каких-то серьезных вопросов, например, внедрения платформенных сервисов или аварийных ситуаций.

Достаточно серьезные совместные операции были, например, при миграции с форка (отдельная версия программного продукта, созданная на основе исходного кода другого продукта — ред.). Когда много лет назад мы реализовывали сам проект внедрения частного облака, выбрали решение VK Private Cloud. На старте вендор дополнительно разработал для нас специальный форк. Когда VK Tech создал свою коммерческую версию частного облака, мы совместно с ним провели серьезные работы, чтобы мигрировать релиз, у которого есть собственная дорожная карта развития и коммерческий функционал.

CNews: Почему вы разворачиваете искусственный интеллект в закрытом контуре, на собственной инфраструктуре, и какие требования информационной безопасности стали обязательными, включая DLP и изолированную поставку?

Владимир Золотов: Здесь все находится в той же логике, о которой я говорил: для «Росатома» неприемлемо, чтобы ее данные уходили во внешнее облако, а уж тем более чтобы чужие модели обучались на данных госкорпорации. Что касается искусственного интеллекта, то подходы к его реализации и потребность в нем, мне кажется, очевидны — это повышение эффективности бизнеса. Сейчас любая корпорация считает необходимым внедрять ИИ для улучшения своих внутренних процессов, и мы в этом плане не отстаем.

CNews: Где проходит граница ответственности за соответствие требованиям к КИИ между облачной платформой и информационными системами, которые на ней работают?

Владимир Золотов: Разграничение ответственности устроено достаточно просто — оно проходит по границам моделей IaaS и PaaS. Облачная инфраструктура, платформенные сервисы, операционные системы, базы данных предоставляются информационным системам как сервис, и в эксплуатации все эти слои — наши. Но «Гринатом» одновременно отвечает и за поддержку самих информационных систем внутренних заказчиков, и поддержка прикладного слоя также находится в нашей зоне ответственности.

«Основные усилия мы сейчас направляем на то, чтобы сгладить бюрократическую составляющую и сократить потери времени на согласования»

Владимир Золотов ИТ-директор, Гринатом

CNews: Какие требования к платформе были ключевыми при выборе: отчуждаемость, сертифицированные компоненты, российские ОС и оборудование, работа без доступа вендора?

Владимир Золотов: Первый и принципиальный критерий — конечно, отчуждаемость. Второй — наличие сертификатов ФСТЭК: без них строить инфраструктуру внутри контура просто невозможно. Решение о выборе платформы принималось еще в 2018–2019 годах. Мы выбрали VK Tech.

Следующий блок требований — поддержка всего стека: операционных систем и баз данных, которые также должны быть импортозамещенными и сертифицированными. И наконец, важна была возможность разворачивать платформенные сервисы по модели PaaS, включая биллинг. Правда, на старте биллинг не был приоритетом — инфраструктурные ресурсы тогда преимущественно бронировались под конкретную информационную систему, и детальный учет потребления попросту не требовался.

Сейчас акцент смещается. Нам важно, чтобы на базе нашей облачной платформы можно было обеспечить витрину приложений, из которой проекты самостоятельно набирают нужные компоненты и сервисы для своих информационных систем.

CNews: Какие платформенные сервисы оказались самыми востребованными: Kubernetes, СУБД, объектное хранилище, маркетплейс?

Владимир Золотов: Самыми востребованными остаются операционные системы и базы данных, то есть базовые инфраструктурные сервисы, включая аутентификацию. Без них информационные системы функционировать не могут, поэтому спрос на них стабильно выше, чем на остальные сервисы.

Сейчас мы внедряем S3-совместимое объектное хранилище и рассчитываем, что это позволит оптимизировать объемы хранения информационных систем. Параллельно разворачиваем платформенный Kubernetes для систем, построенных в формате Cloud Native.

CNews: Как изменилась скорость выдачи ресурсов?

Владимир Золотов: Здесь многое зависит от того, с какого момента считать. Процесс создания ландшафта для информационной системы включает не только предоставление вычислительных ресурсов и развертывание компонентов. Существенную часть времени занимают согласования, и они отнимают заметно больше, чем сама техническая часть выделения инфраструктуры. Речь идет о согласовании с информационной безопасностью, вопросах сетевых взаимодействий и так далее.

Поэтому основные усилия мы сейчас направляем на то, чтобы сгладить бюрократическую составляющую и сократить потери времени на согласования, а не на техническую часть предоставления самих ресурсов.

«Главное направление — повышение эффективности утилизации информационной инфраструктуры»

Владимир Золотов ИТ-директор, Гринатом

CNews: Как совместить требования безопасности закрытого контура и регулярное развитие платформы, включая обновления?

Владимир Золотов: Вопрос действительно интересный. После установки сертифицированного программного обеспечения возникает разрыв между текущей версией и той, в которой уже устранены новые уязвимости. При этом мы обязаны обеспечивать устранение этих уязвимостей. У нас выстроен процесс управления, в рамках которого проводится сканирование ландшафта, и при выявлении проблем мы в первую очередь выбираем способ их устранения. Это может быть обновление программного обеспечения либо организационные меры.

Здесь многое зависит от взаимодействия с вендором. Он понимает, что уязвимости нужно закрывать максимально оперативно, и занимается либо пересертификацией, либо проведением дополнительных испытаний с органом по сертификации. Если софт не проходит полную повторную сертификацию, проводятся дополнительные испытания по отдельным компонентам. Внутренний регулятор также понимает, что моментально получить сертификат ФСТЭК на обновление невозможно, поэтому вендору дается время на то, чтобы выкатить обновление и пройти сертификацию. Главное, что и мы, и внутренний регулятор понимаем общий приоритет — фактическое устранение уязвимостей компонентов.

CNews: Насколько важна для объекта КИИ прозрачность состава ПО платформы — контроль сборок, контрольные суммы, перечень компонентов? Как это встроено в приемку новых версий?

Владимир Золотов: Критически важна. В сертификате ФСТЭК прописываются и состав компонентов, и контрольные суммы, и с точки зрения регулятора это отсекающее требование, за которым следят очень жестко. Приведу пример: для нашего внутреннего регулятора недостаточно шестого уровня доверия межсетевого экрана в составе облачной платформы. Из-за этого пришлось переходить на аппаратный межсетевой экран, теряя при этом гибкость.

CNews: В контуре работают три вендора: платформы, операционной системы и оборудования. Как выстроена совместная поддержка, чтобы заказчик не оказался между ними?

Владимир Золотов: У нас уже накоплен достаточный опыт эксплуатации. Начиная с 2018 года мы тестировали решение, а серьезную промышленную эксплуатацию запустили в 2022-м, после ухода иностранных вендоров. Тогда VK Tech стал единственным плацдармом для всех корпоративных информационных систем.

Это было серьезным вызовом: нужно было обеспечить единообразие работы всего стека — операционных систем, вычислительной инфраструктуры, платформы виртуализации, которая является связующим ядром этого ландшафта. Возникали проблемы на стыках между компонентами, приходилось собирать большие видеоконференции с разными специалистами и искать источник проблемы.

Сейчас основные проблемы идентифицированы, тонкая настройка выполнена, стек сложился — от операционных систем на уровне хостов и виртуальных машин до самой инфраструктуры VK Tech, операционной системы, на которой она работает, баз данных и оптимизации под конкретные информационные системы.

Но если смотреть в перспективу, было бы удобнее, если бы все эти компоненты поставлялись в составе самой платформы. У вендора есть гарантированные матрицы совместимости, и если компоненты составляют основу его решения, логично предоставлять их коробочно, чтобы заказчик не закупал операционные системы отдельно, а получал поддержку всего стека под ключ.

CNews: Поделитесь планами развития облака на ближайшие один-два года.

Владимир Золотов: Главное направление — повышение эффективности утилизации информационной инфраструктуры. Если раньше ресурсы под информационную систему преимущественно бронировались на основе оценки архитекторов, то теперь выделение инфраструктуры должно быть более осознанным. Мы создаем механизмы, которые позволяют оценить утилизацию в разрезе каждой информационной системы и выявить излишки, которые можно перераспределить. Параллельно внедряем инструменты вроде Kubernetes, которые дают возможность динамически управлять потреблением инфраструктуры по системам.

Вторая крупная задача — создание вычислительной платформы для искусственного интеллекта, в том числе платформы инференса. Задача сложная, учитывая стоимость. А вот применение самого ИИ для эксплуатации — пока открытый вопрос, и с точки зрения информационной безопасности заниматься этим, на мой взгляд, еще рано.

И наконец, третий вызов связан с требованиями к значимым объектам КИИ. До 2030 года нужно импортозаместить все оставшиеся компоненты и перевести их на доверенные программно-аппаратные комплексы.