Гарда: почти половина российских компаний переносит данные в тестовые среды без маскирования
изображение: recraft
Компания «Гарда» (входит в ИКС Холдинг), разработчик решений в области информационной безопасности, представила результаты исследования практик использования и защиты тестовых сред в российских организациях. Опрос показал, что специализированные средства маскирования данных применяют лишь 3,1% респондентов. При этом почти половина организаций регулярно переносит в тестовые среды копии продуктивных баз без изменений.
Большинство респондентов – 59,4% – используют для тестовых сред выделенный изолированный контур. В то же время почти каждая четвертая организация (18,8%) размещает тестовые базы в том же кластере или на том же сервере, что и продуктивная среда. Еще 15,6% используют облачные решения. В общей сложности, примерно треть опрошенных имеет тестовые базы данных на той же инфраструктуре, что и основные системы компании, и не полностью изолированы от них. Это создает высокий риск утечек, поскольку при такой архитектуре границы между средами размыты, и получение злоумышленником доступа к тестовым данным открывает путь к реальным конфиденциальным сведениям.
Половина компаний (46,9%) регулярно переносит копии продакшен-данных в тестовые среды без каких-либо изменений. Это расширяет круг пользователей и систем, которые обладают доступом к конфиденциальной информации, повышает риск ее неконтролируемого распространения и в конечном итоге может привести к штрафам со стороны регуляторов. При этом каждая пятая компания (21,9%) знает о наличии персональных данных в тестовых базах, но не располагает их точным и актуальным перечнем.
Подходы к защите тестовых сред также остаются неоднородными. Половина респондентов применяют к ним те же меры, что и к продуктивным системам, 28,1% ограничиваются базовым контролем доступа и сетевой изоляцией, а 12,5% не защищают тестовые базы, считая их частью доверенного контура. Специализированные средства маскирования применяют только 3,1% компаний. Таким образом, почти 97% организаций не используют целенаправленные решения для безопасной замены конфиденциальных данных в тестовых средах.
Дополнительным фактором риска остается отношение к обезличенной информации. Более 81% опрошенных полностью или частично согласны с тем, что требования приказа ФСТЭК России №117 не применяются к обезличенным данным. Такое восприятие может привести к преждевременному ослаблению защитных мер и недооценке риска повторной идентификации данных.
«Тестовые среды остаются недооцененным источником риска для бизнеса. Компании регулярно переносят в них копии реальных баз, но не всегда задумываются о том, какие именно данные там хранятся и кто имеет к ним доступ. При этом технология маскирования применяется редко, а обезличивание часто воспринимается как основание для снижения требований к защите. В результате тестовый контур оказывается защищен слабее продуктивного, хотя может содержать персональные или конфиденциальные сведения. Это повышает потребность в автоматическом поиске чувствительных данных, их маскировании до передачи разработчикам и постоянном контроле тестовых копий. Такой подход позволяет снизить риск утечек, сохранить пригодность данных для работы и обеспечить единый уровень защиты на всем их жизненном цикле», – рассказал Дмитрий Ларин, руководитель направления по защите баз данных компании «Гарда», владелец продукта «Гарда Data Masking».
