Эксперт Полунин: игнорирование базовых правил ИБ приводит к многомиллионным потерям
Изображение: recraft
Сергей Полунин, руководитель группы защиты инфраструктурных ИТ-решений компании «Газинформсервис», прокомментировал для CISOCLUB ситуацию с ростом числа утечек цифровых секретов. Он отметил, что корень проблемы часто кроется не в отсутствии технологий, а в несоблюдении элементарных правил и пренебрежении к рекомендациям ИБ-индустрии.
«Наиболее частые ошибки — это несоблюдение лучших практик. Если в технике безопасности на производстве все правила написаны кровью, то в ИБ — многомиллионными потерями. Индустрия ИБ довольно часто обновляет наши представления о том, как безопасно делать те или иные действия, и для хранения секретов тоже есть свой набор правил», — пояснил Полунин.
Он подчеркнул, что среди типичных ошибок по-прежнему остаются хранение секретов в открытом виде, отсутствие разграничения прав доступа и отсутствие регулярной ротации паролей.
«Типичные ошибки сегодня — это хранение своих секретов в открытом виде (в конфигурационных файлах, резервных копиях и т. п.), отсутствие разделения полномочий между пользователями — все используют один аккаунт, — а также отсутствие ротации секретов, т. е. пароли и токены могут не меняться годами. Это, конечно, вершина айсберга, но многие не делают даже этого», — добавил он.
Полунин отметил, что сложность современных ИТ-ландшафтов затрудняет управление безопасностью, особенно если архитектура плохо задокументирована. По его словам, в условиях наличия микросервисов, облачных решений, унаследованных систем и тысяч пользователей необходима выстроенная процедура, а её часто просто некому реализовывать.
«Это исключительно человеческая история, потому что технически проблема безопасной аутентификации и хранения ключевой информации фактически решена», — подчеркнул он.
Эксперт уверен, что при наличии инвентаризации активов возможно подобрать решения под любые сценарии.
«Когда проведена инвентаризация всех активов, под каждый из них можно подобрать какое-то техническое решение, которое будет удовлетворять все требования. Существуют специализированные решения по хранению, ротации и аудиту секретов для разных платформ», — заявил Полунин.
В то же время он напомнил, что эффективность любой технологии зависит от дисциплины пользователей.
«Никакие технические решения не помогут, если сами пользователи не будут соблюдать установленные правила. Причем все — от рядового сотрудника до генерального директора», — заключил Сергей Полунин.
