Rynek PKI: klucz w rękach administracji

Zabezpieczanie systemów i sieci komputerowych jest jednym z najistotniejszych elementów działania w sieciach rozległych, takich jak Internet. Jest to wręcz niezbędne, jeśli firma myśli o prowadzeniu e-biznesu i wbudowaniu w swoją stronę funkcjonalności pozwalających na handel elektroniczny. Jednym z najbardziej zaawansowanych i jednocześnie najbardziej obiecujących systemów bezpieczeństwa jest Infrastruktura Klucza Publicznego - PKI.

Bezpieczeństwo sieci wewnętrznych czy baz danych oraz punktów styku z sieciami takimi jak Internet w dobie ataków Distributed Denial of Service i masowego pojawienia się wirusów jak Nimda czy Code Red, wydaje się czymś oczywistym. Jednak wyniki ankiet prowadzonych zarówno przez firmy konsultingowe, jak Accenture czy zajmujące się bezpieczeństwem sieciowym, jak CERT, świadczą o czymś innym. Otóż, aż 90% firm przyznało się, że w ciągu ostatniego roku zanotowało próby ataków na swoje usługi bądź serwisy. Tylko nieco mniej, bo 78%, przyznało, że próbowano włamać się do sieci wewnętrznych bądź baz danych.

Kradzież informacji najpopularniejsza

Ankieta amerykańskiego Instytutu Bezpieczeństwa Komputerowego CSI, wykonana wspólnie z FBI Computer Crime and Security Survey pokazuje wyraźnie, że w USA - "kolebce" przestępstw komputerowych - ujawniły się nowe trendy, które na dodatek już teraz docierają do Europy. Obecnie najbardziej popularna stała się kradzież informacji. Respondenci CSI określili udział tego czynnika w stratach poniesionych przez firmy aż na 40%. Oszustwa finansowe stanowią 25%, podczas gdy 12% to straty spowodowane przez wirusy komputerowe. Tylko 9% strat spowodowali swoimi przestępstwami pracownicy firm.

Jakie są podstawowe źródła zagrożeń? Oczywiście hakerzy - wskazało na nich 81% badanych. Ale nie mniejsze zagrożenie stanowią rozczarowani pracownicy - to 76%, czy wykorzystywanie połączeń z Internetem do celów przynoszących szkodę firmie. Ponad 50% zagrożeń wynika ze szpiegostwa i nieuczciwej konkurencji wewnętrznej. Tutaj napad ma na celu nie tyle zniszczenie, ile kradzież ważnych danych. Nic dziwnego, że w raporcie International Data Corporation wzrost rynku bezpieczeństwa jest bardzo dobrze widoczny. Z analizy wynika, że rynek bezpieczeństwa jest najszybciej rozwijającym się komponentem rynku IT na świecie i notuje wzrost około 27% rocznie.

Głównym powodem tak szybkiego wzrostu tego rynku jest rozwój gospodarki elektronicznej wśród tradycyjnych przedsiębiorstw. Wielkość polskiego rynku bezpieczeństwa szacowana jest na około 432 mln zł (w 2001 roku), a około 50% tego rynku stanowi oprogramowanie. W Polsce proces ten jest nieco opóźniony; jak się wydaje, wartość rynku zacznie rosnąć począwszy od II półrocza 2003 roku. Eksperci twierdzą przy tym zgodnie, że jednym z najszybciej rozwijających się jego segmentów będą produkty i usługi PKI. Przyczyną jest przede wszystkim konieczność stworzenia takiego systemu uwierzytelnienia i autoryzacji, który dawałby się łatwo rozbudowywać, zapewniałby wysoki poziom bezpieczeństwa i byłby na tyle elastyczny, aby nie wymagać całkowitych zmian w momencie dołączenia nowego oprogramowania bądź sprzętu. Istotny był także fakt wejścia w życie ustawy o podpisie elektronicznym, co nadaje prawne ramy działania temu sektorowi usług.

Ustawa i rynek

Dla rozwoju bezpieczeństwa polskiego Internetu i sieci podobnego typu, ustawa o podpisie elektronicznym jest przełomem. Segment PKI rynku bezpieczeństwa po jej wprowadzeniu uzyskał zagwarantowaną możliwość rozwoju. Zawarte są one choćby w dwóch artykułach ustawy:

Art. 5 § 2

Dane w postaci elektronicznej opatrzone bezpiecznym podpisem elektronicznym weryfikowanym za pomocą ważnego kwalifikowanego certyfikatu są równoważne pod względem skutków prawnych dokumentom opatrzonym podpisami własnoręcznymi, chyba że przepisy odrębne stanowią inaczej.

Art. 58 § 2

W terminie 4 lat od wejścia w życie ustawy organy władzy publicznej umożliwią odbiorcom usług certyfikacyjnych wnoszenie podań i wniosków oraz innych czynności w postaci elektronicznej, w przypadkach gdy przepisy prawa wymagają składania ich w określonej formie lub według określonego wzoru.Należy oczywiście przyjąć, iż koszty oraz konieczność zaakceptowania nowych produktów i usług przez rynek (a także wyrobienia nowych nawyków w dziedzinie bezpieczeństwa przez użytkowników!) spowodują, że korzystać z niego w pierwszych latach będą głównie większe firmy. Dopiero one wymuszą rozwój rynku bezpieczeństwa dla firm MSP i SOHO oraz ekspansję PKI na rynek klienta masowego.

2 miliony certyfikatów

Według NBP, na rynku polskim w ciągu najbliższych dwóch, trzech lat znajdą się ponad 2 miliony certyfikatów. Certyfikatów kwalifikowanych, wywołujących skutki prawne podpisu odręcznego będzie mniej, bo około 200 tysięcy, gdyż kosztują one od kilkudziesięciu do 200 dolarów. Ich wystawianie będzie opłacalne dla przedsiębiorstw obsługujących co najmniej 100 tys. klientów. Takie są szacunki według raportu NBP.

Są także prognozy nieco bardziej pesymistyczne. W raporcie Europejskiego Instytutu Zarządzania padają stwierdzenia, że cały rynek bezpieczeństwa opartego na infrastrukturze PKI "pod koniec pierwszej dekady XXI wieku" wart będzie w Polsce "powyżej 200 mln dolarów". Nie ma przy tym rozróżnienia na rynek PKI i szyfrowania - zostały one ujęte razem.

Rynek PKI, według analityków, dzieli się przy tym na dwa dość wyraźne segmenty, charakteryzujące się znaczną odmiennością produktów i usług do nich kierowanych. Pierwszy to segment administracji centralnej, klienta korporacyjnego i klienta biznesowego, głównie firm średnich, gdzie przeważają rozwiązania "on demand". Drugi to rynek rozwiązań SOHO, małych przedsiębiorstw (small business), administracji lokalnej i samorządowej oraz klienta indywidualnego, gdzie produkty i usługi są sprzedawane w pakietach, adresowanych do poszczególnych grup klientów. Według opracowania Datamonitor dla France Telecom, jest przy tym jednoznaczne, że ten podział rynku utrzyma się przynajmniej do końca pierwszej dekady XXI wieku. Rosnąć będzie znacząco jedynie udział sektora administracji publicznej i samorządowej, gdzie używanie infrastruktury PKI wymusi realizacja programu eEurope.

Administracja i komórki

Rynek rozwiązań administracyjnych, który w Polsce - w związku z uregulowaniami ustawowymi - zacznie swoje działanie po 2004 roku, jest właśnie jednym z najistotniejszych rynków dla systemów PKI. Dotyczy to wszystkich segmentów, a więc zarówno A2A, jak i A2B czy A2C.(A2A - Administration--to-Administration, A2B - Administration-to-Business, A2C - Administration--to-Clients). Wymogi dostosowania się do regulacji ustawowych w zakresie programu informatyzacji struktur administracji wymuszą najpierw na administracji centralnej, później zaś regionalnej i samorządowej, stworzenie mechanizmów elektronicznego składania podań, dokumentów, odwołań, informacji oraz deklaracji podatkowych.

Według dokumentów Unii Europejskiej, programu eEurope, administracja może być dostarczycielem aż 30% przychodów firm tworzących systemy bezpieczeństwa. Największymi z nich będą firmy systemów zabezpieczeń opartych na infrastrukturze PKI. Osobnymi rynkami będą tzw. rynki niemianowane, a więc rynki specjalnych rozwiązań bezpieczeństwa. Warto zauważyć, że rynek służb mundurowych, wojska i policji w Niemczech jest sektorem najszybciej przyswajającym rozwiązania PKI.

Banki, PKI i wielkie portale

Rozmowy o stworzeniu infrastruktury PKI prowadzą także banki należące do dziesięciu największych banków w Polsce; także spółki giełdowe. Na infrastrukturze PKI może być bowiem oparta duża część bankowych usług online oraz homebanking. Jednym z podstawowych zastosowań systemów bezpieczeństwa, opartych na PKI, będą realizacje e-commerce. Według analityków EMI, BTR i Gartnera, bezpieczny handel elektroniczny doprowadzi w naszej części Europy, a zwłaszcza w Polsce, do powstania około 2010 roku pasaży internetowych - wielkich portali, w których małe i średnie firmy będą prowadzić przeznaczone dla klienta indywidualnego strony i witryny internetowe, poprzez które prowadzone będą transakcje e-commerce. Ich rozliczenia będą następować poprzez tzw. bezpieczną procedurę szyfrowania. Możliwe będzie także m-commerce, czyli handel elektroniczny i operacje bankowe z użyciem urządzeń komórkowych.

Następnym etapem ewolucji rynku elektronicznego mają być zespoły korporacyjne. Dostawcy, odbiorcy i poddostawcy firm będą uzyskiwać zamówienia oraz przesyłać dokumentację w formacie bezpiecznego dokumentu elektronicznego z użyciem jednej zamkniętej sieci wydzielonej z Internetu (sieci wirtualne VPN) oraz komunikatów EDI. W ten sam sposób zawierane będą umowy i dokonywane rozliczenia. Natomiast w korporacyjnych sieciach wewnętrznych firm zostaną zainstalowane systemy bezpiecznego obiegu dokumentacji, gdzie każdemu stanowisku pracy przyporządkowana zostanie odpowiednia hierarchia dostępu.

Rozwiązania te będą zintegrowane z systemami do wspomagania zarządzania ERP i kontaktów z klientem CRM oraz zarządzania łańcuchem dostaw SCM. Pozwoli to na stworzenie jednolitej sieci firmowej, w której odpowiedzialny pracownik będzie mógł reagować bezpośrednio na uwagi klienta, bądź kontaktować się z siecią dystrybucji. Zmniejszy też liczbę pośredników - tak firmowych, czyli działów, które choć nie muszą, są włączane w proces decyzyjny, jak i zewnętrznych, zarabiających tylko na tym, że szybciej reagują na potrzeby rynku niż duże firmy produkcyjne.

M-commerce w natarciu

Z kolei wokół korporacji rozwiną się bezpieczne usługi, co umożliwi personalizacje, czyli dostosowanie do wymagań klienta, np. w sieciach telewizji kablowych zintegrowanych z sieciami teleinformatycznymi. Jednym z najbardziej ekspansywnych rynków elektronicznych, na których rozwiązania PKI znajdą zastosowanie, jest m-commerce. Według prognoz rozwoju rynku m-commerce w Europie, wykonanych przez Datamonitor dla France Telecom oraz prognozy rozwoju handlu mobilnego na rynku polskim, należy spodziewać się, że w latach 2003-2005 stanie się on jednym z głównych kanałów dystrybucji na rynku transakcji elektronicznych w segmencie klienta masowego.

Jednoznacznie jest więc widoczne, że przychody z transakcji mobilnych będą rosły nawet kosztem transakcji e-commerce prowadzonych poprzez tradycyjny, internetowy kanał sprzedaży. Model ten, według szacunków CC Signet, będzie sprawdzał się także dla rynku polskiego z pewnym przesunięciem, wynikającym z opóźnienia we wprowadzaniu zaawansowanych usług mobilnych na naszym rynku.

Nieuchronne PKI

Przy nacisku na mechanizmy bezpieczeństwa, wymuszanym pandemią ataków wirusów i robaków oraz możliwością cyberterroryzmu, PKI jest dobrym rozwiązaniem. Prędzej czy później trafi więc do polskich firm na masową skalę. Nie ma też co ukrywać, że dla sieci rządowych i administracji, np. urzędów skarbowych, PKI jest dobrym systemem zabezpieczeń przed niepowołanym dostępem. Lepiej więc opracować własne, tańsze rozwiązania, niż potem kupować droższe. PKI na pewno stanie się istotnym elementem sieci teleinformatycznych, i to w niedługim czasie.