Наш первый центр прозрачности откроется в Швейцарии

Несколько месяцев назад мы сообщили о предстоящем запуске глобальной инициативы по информационной открытости — Global Transparency Initiative. В начале весны мы сделали большой шаг вперед в этом направлении, увеличив вознаграждение за обнаружение уязвимости до 100 000 долларов США. Пришло время двигаться дальше: мы переносим в швейцарский Цюрих существенную часть инфраструктуры — включая «сборочную линию» программного обеспечения и серверы, на которых хранятся и обрабатываются данные Kaspersky Security Network, — и открываем свой первый Центр прозрачности.

Мы составили список вопросов и ответов, чтобы пользователи смогли понять цель этой инициативы и оценить ее важность.

Что произойдет с линией сборки и данными KSN?

Во-первых, системы, на которых выполняется сборка — то есть компиляция и создание продуктов «Лаборатории Касперского», а также обновление антивирусных баз — теперь будут находиться в Цюрихе. Так что перед тем как попасть к клиенту, наше программное обеспечение будет компилироваться и подписываться в Швейцарии под надзором независимой организации.

Во-вторых, мы переносим серверы, где хранится и обрабатывается информация Kaspersky Security Network для пользователей из Европы, Северной Америки, Японии, Южной Кореи и Сингапура — позднее к списку добавятся и другие страны. Эти процессы тоже будет контролировать независимая организация.

Для наших российских пользователей ничего не меняется: сборка продуктов по-прежнему будет осуществляться в Москве. То же относится и к данным Kaspersky Security Network для пользователей из России — они продолжат храниться в нашем российском дата-центре.

Зачем нужно переносить линию сборки и данные KSN?

Хотя текущий уровень защиты нашей инфраструктуры обработки данных и разработки программного обеспечения очень высок, мы постоянно работаем над усилением безопасности. Мы также стремимся повысить прозрачность нашей работы для клиентов. Для этого особенно важно обеспечить, чтобы исходный код, проверенный в нашем центре прозрачности, был идентичен коду, который фактически скомпилирован в продукты, поставляемые клиентам. Именно по этой причине мы переносим в Швейцарию инфраструктуру, где выполняется компиляция и ставится цифровая подпись.

То же касается данных, которые обрабатывает сеть Kaspersky Security Network — они будут храниться в Швейцарии под надзором независимой организации, и каждый факт доступа к ним будет неукоснительно регистрироваться. А при возникновении каких-либо подозрений журналы регистрации можно будет в любой момент проверить.

Что такое вообще этот ваш «центр прозрачности»?

Это структура, где доверенные партнеры и правительственные организации могут проверить исходный код наших продуктов, а также инструменты, которые мы используем. Здесь предоставляется доступ к следующим материалам:

• документации по безопасной разработке программного обеспечения;
• исходному коду любого продукта, выпущенного на рынок (включая старые версии);
• базам данных правил обнаружения угроз;
• исходному коду облачных сервисов, ответственных за обработку и хранение данных клиентов в Европе, Северной Америке, Австралии, Японии, Южной Корее и Сингапуре;
• инструментам ПО, используемым для создания продуктов (скриптам сборки), антивирусных баз и облачных сервисов.

Зачем вам все это?

Главная цель нашей глобальной инициативы по информационной открытости — создать процесс для всесторонней проверки и построить его таким образом, чтобы клиентам и общественности не приходилось полагаться только на наши искренние заявления о качестве наших продуктов, обновлений, правил обнаружения, систем хранения данных и так далее. Ответственные государственные и частные организации, располагающие необходимыми знаниями и опытом, смогут проверить наше программное обеспечение и убедиться в том, что оно работает именно так, как заявлено.

Кто будет проверять, что вы играете по правилам?

Оценивать добросовестность всей работы в нашем цюрихском центре будет сторонняя организация. Она получит широчайшие права доступа для выполнения вот таких функций:

• надзор и регистрация каждого факта доступа сотрудников «Лаборатории Касперского» к метаданным продуктов, полученных через Kaspersky Security Network и сохраненных в швейцарском центре обработки данных;
• организация и проведение анализа исходного кода;
• выполнение других задач для оценки и проверки качества продуктов «Лаборатории Касперского».

«Лаборатория Касперского» поддерживает создание новой некоммерческой организации, которая будет выполнять эти функции не только для нашей компании, но и для других партнеров и участников, которые захотят присоединиться. Хотим подчеркнуть, что центр прозрачности и надзорная организация — это две совершенно разные, не зависящие друг от друга структуры.

Почему именно Швейцария?

Мы выбрали эту страну по двум причинам. Во-первых, Швейцария уже двести лет соблюдает политику нейтралитета. Во-вторых, здесь действуют строгие законы о защите данных. Мы считаем, что эти особенности делают Швейцарию идеальным местом для размещения важной части нашей инфраструктуры.

Вы будете открывать и другие центры прозрачности?

К 2020 году мы планируем открыть еще центры в Северной Америке и Азии. Но о подробностях пока говорить не готовы.

И долго будет длиться переезд?

На это потребуется определенное время. Перенос «сборочной линии» — самая простая часть процесса — будет завершен к концу 2018 года. Для создания инфраструктуры обработки данных потребуется перенести из Москвы в Цюрих и запустить несколько десятков служб. Сейчас мы приступаем к этому проекту и планируем завершить его к концу 2019 года.

Насколько нам известно, мы — первая компания в сфере кибербезопасности, которая реализует подобную инициативу. Быть первым всегда непросто. Но мы уверены, что настало время, когда разработка программного обеспечения должна становиться прозрачной, так что рано или поздно другим тоже придется последовать нашему примеру. В этом смысле то, что мы будем первыми — наше преимущество.