Большинство компаний уверены в своей защите, но забывают о критической уязвимости — подрядчиках с доступом к внутренним системам. По данным аналитиков Infosecurity, именно через сторонние организации осуществляется значительная доля успешных кибератак.
«Чаще всего проверка подрядчиков сводится к формальностям: заполнению анкет, предоставлению сертификатов. Но эти меры не дают реального понимания зрелости информационной безопасности», — комментирует Антон Воробьёв, эксперт по кибербезопасности Infosecurity. — «Организация может красиво описывать свои политики, но при этом оставлять пароли в публичных репозиториях. А потом — утечка данных или остановка деятельности предприятия в результате взлома».
ЧТО РАБОТАЕТ НА ПРАКТИКЕ
🔍 Проверка на предмет утечек: убедитесь, что информации о сотрудниках компании подрядчика нет в базах скомпрометированных логинов, email-адресов и паролей. Это может быть индикатором слабой защиты или низкой цифровой гигиены сотрудников.
🧠 Оценка культуры безопасности: узнайте, есть ли в компании подрядчика тренинги по ИБ, имеется ли внутренняя система реагирования на инциденты? Это важнее, чем наличие ISO-сертификата.
⌨️ Анализ публичного кода: просматривайте GitHub-аккаунты подрядчиков — ключи доступа, оставленные в коде, не редкость.
⌛ Тест на пилотном проекте: предоставьте подрядчику ограниченный доступ в рамках небольшого проекта и оцените, как он обращается с данными.
😒 Мониторинг даркнета: отслеживайте компрометацию данных, в первую очередь, на теневых форумах. Этот сигнал может предвосхитить официальное сообщение об утечке.
ЧТО НУЖНО ЗАКРЕПИТЬ С ПОДРЯДЧИКОМ В ДОГОВОРЕ
√ Требования о регулярных аудитах безопасности
√ Обязательную многофакторную аутентификацию для критичных систем
√ Сегментацию доступа в инфраструктуре
√ Право на проведение собственных проверок безопасности
«Если подрядчик получает доступ внутрь вашей инфраструктуры, подход должен быть не формальным, а рискоориентированным. Нельзя доверять "по бумажке"», — подчёркивает Антон Воробьёв.
#экспертиза@in4security