Если компания сменила стек после последней независимой оценки защищённости, та оценка, скорее всего, описывает уже другую инфраструктуру. За последние годы многие ИТ-директора провели большую миграцию на отечественное ПО и оборудование, и у новых систем свои риски.
Почему в новых продуктах больше уязвимостей
Потребность в отечественных продуктах высокая, а сроки короткие — особенно там, где идёт замещение на значимых объектах критической информационной инфраструктуры. Производителям приходится выпускать много и быстро, и на тестирование и обкатку в боевом режиме времени хватает не всегда. Отсюда повышенная вероятность уязвимостей.
Есть и объективная причина: многие продукты появились недавно, опыта их эксплуатации пока мало, и разрабатываемые сейчас решения, на мой взгляд, всегда будут догоняющими. Не для всех зарубежных продуктов вообще есть отечественные аналоги.
Что проверить после миграции
Миграция меняет поверхность атаки: знания о том, как настраивать, обновлять и защищать прежние системы, на новые переносятся лишь частично. Я бы проверял новый стек так:
• принимать продукт в эксплуатацию после проверки на тестовом контуре, критичные системы — после независимой оценки защищённости;
• следить за бюллетенями уязвимостей производителя и за Банком данных угроз ФСТЭК;
• изолировать особо важные сегменты инфраструктуры, чтобы уязвимость в одном продукте не открывала дорогу ко всему;
• заранее договориться с производителем о канале для сообщений об уязвимостях и сроках исправлений.
Подмена данных
Отдельный риск — тихая подмена данных в хранилищах, так называемое «отравление». Её цели бывают разными: подорвать доверие к компании, незаметно сдвинуть её решения или подвести её под штраф регулятора, например подменяя отчётность. После переезда на новые системы контроль целостности данных имеет смысл проверить отдельно.
Когда была последняя оценка
Задайте себе вопрос: «Когда в последний раз проводилась независимая оценка защищённости компании?» Если после неё компания сменила стек, возможно, пора заказывать новую. На интенсиве каждый участник получает по своей компании карту рисков, список первоочередных мер и план развития ИБ.