Эксперт Чудин: снижение числа публикаций не означает сокращения утечек данных

Игорь Чудин, руководитель направления кибербезопасности ITD Group, прокомментировал для CISOCLUB снижение числа зарегистрированных утечек данных в России при одновременном росте объёма скомпрометированной информации. По его словам, публичная статистика отражает лишь уже обнаруженные и опубликованные инциденты, поэтому не позволяет напрямую судить о количестве успешных атак.

Между моментом компрометации данных и их появлением в открытом доступе могут проходить месяцы или даже годы. Кроме того, масштаб крупных баз сегодня может достигать десятков и сотен миллионов записей, хотя такие массивы не обязательно соответствуют такому же числу новых пострадавших.

«В последнее время всё чаще звучат заявления о снижении числа утечек данных. Однако к таким данным стоит относиться осторожно. Статистика, как правило, строится на опубликованных данных об уже обнаруженных инцидентах, а между моментом компрометации и появлением базы в публичном поле могут проходить месяцы. Поэтому меньше публикаций ещё не означает меньше успешных атак. Это важный нюанс», — отметил Игорь Чудин.

При оценке масштабов утечек также необходимо учитывать состав самих массивов. В них могут присутствовать дубли, старые сведения и объединённые базы, поэтому количество записей не равно количеству уникальных жертв. При этом сами объёмы показывают, сколько информации может оказаться у злоумышленников после одной успешной компрометации.

«Сегодня они измеряются десятками и сотнями миллионов записей. Конечно, речь идёт не о равноценном приросте числа новых жертв утечек: в массивах часто встречаются дубли, старые данные и объединённые базы. Но сам масштаб наглядно демонстрирует, сколько информации может оказаться у атакующего после одной успешной компрометации. Причём некоторые данные будут попадаться в утечках всё чаще. И это неизбежно», — пояснил эксперт.

Отдельное внимание Игорь Чудин предлагает уделять данным, которые покидают основную инфраструктуру компании. Информация может дублироваться в аналитических выгрузках, тестовых средах, облачных сервисах, интеграциях и системах подрядчиков, из-за чего контроль над ней не заканчивается границами корпоративной сети.

В качестве примера эксперт приводит инцидент с закусочной «Бургер Кинг», когда источником утечки стала сторонняя маркетинговая платформа, а данные появились в публичных базах проверки утечек только спустя два года. По его словам, подобные случаи показывают необходимость более жёсткого контроля работы с подрядчиками.

«Предварительная проверка уровня зрелости ИБ подрядчика, чётко прописанные в договоре обязательства, обезличивание и маскирование данных, системы безопасного файлового обмена — это минимальный набор инструментов, который позволит выполнить требования информационной безопасности и сделает утечку данных для подрядчика дорогой и не очень желанной», — рассказал Игорь Чудин.

При этом защита должна учитывать не только вероятность проникновения злоумышленника, но и возможный масштаб доступа после компрометации одной учётной записи или системы. Для бизнеса важно заранее понимать, какие данные доступны конкретным пользователям, нужна ли передача реальных персональных данных в тестовые среды и насколько далеко может распространиться атака после получения первоначального доступа.

«Получается, что к актуальному вопросу „Как не пропустить злоумышленника?“ стоит добавлять ещё один: что он получит, если всё-таки сможет попасть в защищённый контур? Какие данные доступны из одной учётной записи? Нужны ли реальные персональные данные в тестовой среде, или достаточно обезличенных? Как далеко может пройти злоумышленник от одной скомпрометированной системы или актива? Как правило, ответы на эти вопросы очевидны, но самим вопросом задаются не всегда», — отметил эксперт.

После ужесточения ответственности за утечки сокращение потенциального масштаба инцидента становится не только архитектурной задачей для ИБ-подразделения, но и способом ограничить возможный ущерб для компании.

«После того как российская регуляторика более чётко определила и ужесточила ответственность за утечки данных, ответственность руководителей компаний за инциденты приобрела чёткий финансовый эквивалент: размер штрафа теперь зависит от масштаба утечки. Сокращение радиуса поражения перестаёт быть чисто архитектурной задачей ИБ и становится способом ограничить ущерб для бизнеса. И это, пожалуй, главный вывод сегодняшнего дня», — заключил Игорь Чудин.