Система IT-безопасности компании может состоять из антивируса, межсетевого экрана, защищенного удаленного доступа и резервного копирования. Однако даже при наличии этих решений в инфраструктуре нередко сохраняются простые уязвимости, через которые злоумышленник может получить доступ к корпоративным данным. Причина часто не в отсутствии дорогих средств защиты, а в настройках и процессах, которые годами никто не пересматривал. Эти риски сложно заметить в повседневной работе. По отдельности они кажутся незначительными, но вместе создают удобный путь для атаки. Рассмотрим семь слабых мест, с которых стоит начать проверку информационной безопасности компании.
1. У бывших сотрудников остаются доступы к данным
Сотрудник увольняется, его учетную запись в основной системе блокируют, но часть доступов продолжает действовать. Например, корпоративная почта уже закрыта, а виртуальная частная сеть для удаленного подключения, CRM-система, облачное хранилище или учетная запись в отдельном сервисе остаются доступными. Особенно легко потерять контроль, если команда использует десятки систем, а единого списка учетных записей нет.
Увольнение должно запускать понятный процесс. Ответственный сотрудник формирует список доступов, блокирует учетные записи, отзывает активные сеансы и проверяет внешние сервисы. Важно не только запретить новый вход, но и завершить уже открытые сеансы: в некоторых системах пользователь может оставаться авторизованным после смены или блокировки пароля.
То же правило должно действовать при переводе сотрудника на другую должность. Если человек больше не отвечает за определенную функцию, прежние права не должны автоматически сохраняться. Иначе через несколько кадровых перестановок у него накопится доступ к системам, которые уже не связаны с его работой.
2. Вход в критичные системы с помощью одного пароля
Даже сложный пароль можно взломать с помощью фишинга, вредоносной программы или утечки данных. Для корпоративной почты, удаленного доступа, административных учетных записей, финансовых сервисов стоит использовать многофакторную аутентификацию. Когда вход подтверждается дополнительным способом, например, одноразовым кодом или приложением. Украденного пароля злоумышленнику уже недостаточно.
Начать проверку лучше с учетных записей администраторов, руководителей, бухгалтерии и сотрудников, которые работают с чувствительными данными. Именно такие записи дают наиболее ценный доступ, поэтому требуют усиленной защиты. Многофакторная аутентификация не устраняет все риски, но закрывает распространенный сценарий, при котором один скомпрометированный пароль сразу открывает вход в корпоративную систему.
3. У сотрудников накопились лишние права доступа
Бывает, сотрудник получает доступ к папке для временного проекта. Проект заканчивается, но доступ остается. Затем человек переходит в другой отдел и получает новые права, а старые никто не отзывает. Через несколько лет один пользователь может иметь доступ к значительно большему объему информации, чем требуется для его текущей работы. До первого инцидента это редко мешает бизнесу, поэтому проблема остается незаметной.
Оценить риск помогает простой вопрос: если сегодня учетную запись этого сотрудника украдут, до каких систем и данных сможет добраться злоумышленник? Если ответ звучит как «почти до всего», права стоит пересмотреть.
Полезно регулярно сопоставлять фактические права с должностью и задачами человека. Доступ, который нельзя объяснить текущей рабочей необходимостью, следует отозвать. Для временных проектов лучше заранее устанавливать дату окончания прав, а не рассчитывать на то, что кто-то вспомнит об этом позже.
4. Учетные записи для подрядчиков без ограничения по времени
Интегратору нужен доступ к серверу учетной системы, техническому подрядчику – к определенному оборудованию, разработчику – к тестовой среде. Ради удобства им выдают учетную запись или подключение через виртуальную частную сеть. Работы заканчиваются, но доступ продолжает действовать.
Постоянная учетная запись расширяет окно риска. Если пароль подрядчика будет скомпрометирован после завершения проекта, злоумышленник сможет использовать забытый канал подключения. Безопаснее выдавать подрядчику доступ к конкретной системе, с минимально необходимыми правами и на установленный срок. После завершения работ учетная запись должна блокироваться автоматически или в рамках закрытия заявки.
Хотя бы раз в квартал стоит проверять все внешние учетные записи: кому они принадлежат, кто ими пользуется, к каким системам они дают доступ, когда применялись в последний раз и нужны ли до сих пор. Общие учетные записи, которыми пользуется вся команда подрядчика, лучше заменить персональными. Тогда действия можно связать с конкретным человеком.
5. IT-инфраструктура не сегментирована
Предположим, сотрудник открыл вредоносный файл. Если корпоративная сеть почти не разделена, зараженный компьютер может попытаться обратиться к другим рабочим станциям и серверам. Так локальный инцидент превращается в проблему всей компании.
Критичные части инфраструктуры следует отделять друг от друга. Пользовательским компьютерам не нужен прямой сетевой доступ к административным системам и серверу резервного копирования. Отдельные сегменты также стоит предусмотреть для гостевой Wi-Fi сети, серверной инфраструктуры, видеонаблюдения и устройств интернета вещей. Сегментация не обязана превращать сеть в сложную конструкцию. Главное, не позволить нарушителю свободно перемещаться между системами после компрометации одного устройства.
Проверку можно начать с карты доступных соединений. Нужно понять, к каким серверам способен обратиться обычный компьютер сотрудника, и какие из этих соединений действительно необходимы для работы. Все лишнее следует ограничить сетевыми правилами.
6. Важные IT-системы доступны с любого устройства
Сотрудник знает пароль, поэтому может открыть критичный сервис с домашнего ноутбука. При этом компания не знает, обновляется ли этот компьютер, установлено ли на нем защитное ПО и кто еще им пользуется.
Для чувствительных систем нужны более строгие правила. Корпоративная почта и обычные рабочие сервисы могут быть доступны с личных устройств, если это соответствует принятой политике. Финансовые системы и административные ресурсы лучше открывать только с управляемых корпоративных компьютеров. Управляемое устройство позволяет контролировать обновления, защитные настройки, шифрование диска и другие обязательные требования. Если компьютер перестает им соответствовать, доступ можно ограничить до устранения проблемы.
Уровень контроля должен зависеть от критичности информации. Нет необходимости одинаково защищать новостной портал и систему с финансовыми данными. Но для каждого класса систем должны быть понятны допустимые устройства и условия подключения.
7. Подозрительная активность остается незамеченной
Иногда учетная запись формально используется правильно: введен корректный пароль, а у пользователя есть необходимые права. Однако поведение выглядит необычно. Например, бухгалтер обычно работает днем с несколькими десятками документов, а в три часа ночи его учетная запись начинает массово скачивать файлы. Или администратор неожиданно входит с нового устройства и обращается к системам, с которыми прежде не работал. Поэтому важно контролировать не только наличие прав, но и то, как они используются.
Начать можно с базовых мер: сохранять журналы действий администраторов, отслеживать подозрительные входы и настроить уведомления о критичных событиях. Для этого необязательно сразу внедрять сложную систему мониторинга. Сначала нужно определить несколько событий, которые действительно требуют внимания: вход в необычное время, большое число неудачных попыток авторизации, массовое обращение к данным, изменение прав доступа или отключение защитных средств. Уведомление само по себе не останавливает атаку, но должно быть понятно, кто его получает, как быстро проверяет и что делает при подтверждении инцидента.
Чек-лист: как начать проверку уязвимостей
Необязательно пытаться исправить всю информационную безопасность одновременно. Начать можно с восьми вопросов:
- Есть ли активные учетные записи бывших сотрудников?
- Включена ли многофакторная аутентификация для критичных сервисов?
- Известно ли, кто имеет административные права?
- Остались ли активные доступы старых подрядчиков?
- Может ли обычный компьютер сотрудника обратиться к критичным серверам?
- Изолирована ли система резервного копирования?
- Ограничен ли доступ к чувствительным системам с личных устройств?
- Можно ли заметить необычный вход или массовое обращение к данным?
Если на несколько вопросов нет уверенного ответа, начинать стоит именно с этих точек. Такая проверка помогает определить приоритеты без большого проекта и понять, какие изменения снизят риск быстрее всего.
Выводы
Для повышения уровня IT-безопасности компании не всегда нужна дорогостоящая система. Достаточно сначала закрыть накопившиеся базовые риски. Главный принцип прост: компрометация одной учетной записи или устройства не должна автоматически открывать доступ ко всей инфраструктуре. Чем меньше у нарушителя возможностей для дальнейшего перемещения, тем выше вероятность остановить инцидент до серьезных последствий.
Также читайте:
