Эксперты обсудили угрозы, связанные с ИБ-рисками подрядчиков: насколько проблема актуальна, почему стандартных мер уже недостаточно и как выстраивать защиту со своей стороны.
Делимся основными тезисами эфира👇🏻
🔹 Атаки через подрядчиков — актуальная проблема
• У подрядчиков не всегда есть ресурсы, чтобы обеспечить полный комплаенс, из-за чего они могут пренебрегать защитой.
• Примеры атак: доступ через аутсорсинг администрирования 1С, компрометация через учетные записи с высокими привилегиями.
🔹 Как минимизировать риски
• Zero Trust — базовая стратегия.
Доверия нет ни к кому, даже к собственным сотрудникам. Заказчик должен исходить из предположения, что подрядчик уже скомпрометирован.
• Технические меры:
— Выделение подрядчиков в отдельный сегмент сети (например, VLAN).
— SOC, который с пристрастием смотрит за VLAN заказчиков.
— Контроль доступа через jump-серверы, блокировка USB, запрет на съемные носители и буфер обмена.
— Мониторинг поведения и аномалий.
— Использование PAM-системы как средства ограничения прав и фиксации действий (с нами на эфире были коллеги из компании Web Control — разработчика РАМ-системы sPACE, которые будут рады проконсультировать по возможностям такого класса решений).
🔹 На что ещё смотреть при выборе подрядчика
• Наличие ИБ-специалистов в штате.
• Прохождение аудитов и пентестов с устранением уязвимостей.
• Прохождение кибериспытаний от компании Кибериспытание, входящей в фонд Сайберус.
• Соответствие стандартам (ISO, BCP/DRP и др).
• Фактическая история ИБ-инцидентов.
• Публичная позиция компании по ИБ (в том числе в инфополе).
• Интеграция в пайплайн заказчика: контроль кода, статанализ, хранение данных.
➡️ Смотреть запись эфира на YouTube
➡️ Смотреть запись на RuTube
➡️ Смотреть запись в ВК