Информационная безопасность с точки зрения системного администрирования
Рассмотрим распространенный запрос от малого и среднего бизнеса к собственной ИТ службе:
«Поскольку вы занимаетесь администрированием нашей инфраструктуры, просим обеспечить полный уровень информационной безопасности (ИБ), включая защиту от всех видов кибератак и утечек данных, без дополнительного бюджета для привлечения профильных специалистов».
В упрощённом виде запрос может звучать так:
«Поскольку вы системный администратор — значит, можете настроить защиту от хакеров, чтобы нас нельзя было взломать».
Компания или сотрудник, выполняющие роль системного администрирования в организации заказчика и отвечающие согласием на подобный запрос, по нашему мнению, недостаточно полно оценивают спектр возможных угроз и необходимых методов защиты.
К сожалению, установка антивируса, настройка файервола, настройка прав доступа и резервное копирование не закрывают вопросы ИБ. Такой подход является ошибочным по нескольким причинам.
Во-первых, системное администрирование и информационная безопасность имеют разные цели и фокус. Системный администратор отвечает за стабильность, доступность и удобство эксплуатации инфраструктуры, тогда как ИБ направлена на выявление и минимизацию рисков, в том числе тех, которые могут вступать в противоречие с удобством и скоростью работы.
Во-вторых, полноценная информационная безопасность требует специализированных знаний, инструментов и постоянного анализа угроз: работы с журналами событий, корреляции инцидентов, оценки уязвимостей, соответствия требованиям регуляторов. В большинстве случаев это выходит за рамки типовых задач системного администратора и его зоны ответственности.
В-третьих, совмещение ролей приводит к конфликту интересов. Один и тот же специалист не может одновременно отвечать за быстрое восстановление сервиса и объективно расследовать инцидент безопасности, вызванный ошибками в настройке или эксплуатации.
Значит ли это, что ИБ не зона ответственности системного администрирования?
По нашему мнению, это совместная работа
Как они связаны?
- Специалист по ИБ обязан знать ИТ инфраструктуру и личные особенности пользователей, на основе которых вырабатывает для предприятия механизмы защиты.
- Системный администратор выполняет требования, разработанные специалистом ИБ на администрируемом оборудовании.
Информационная безопасность действительно начинается с системного администрирования. Базой ИБ является корректно выстроенная инфраструктура: актуальные обновления, прозрачная схема доступа, сегментация сети, резервное копирование и документированные изменения. Именно поэтому первичным шагом в построении ИБ всегда должен быть аудит состояния инфраструктуры со стороны системного администрирования, позволяющий выявить технические долги, ошибки конфигурации и потенциальные точки риска.
Грамотно выстроенное системное администрирование не заменяет ИБ, но создаёт фундамент, без которого любые меры по защите будут формальными и неэффективными.
Как поступать небольшим компаниям?
Для небольших компаний, у которых нет возможности содержать отдельного специалиста или привлекать полноценный аутсорсинг по информационной безопасности, реалистичным и оправданным подходом является поэтапная модель, основанная на роли системного администрирования.
Мы выработали практический подход, основанный на следующих действиях:
1. Документировать текущее состояние
- схема сети;
- перечень серверов и сервисов;
- ответственные лица;
2. Зафиксировать границы ответственности и построить «базовый контур безопасности»
Первый шаг — честно определить, в каких аспектах компания может позволить себе усилить безопасность без значительного ухудшения рабочей производительности и финансовых затрат.
Для каждой конкретной ИТ-инфраструктуры мы предлагаем согласовать и утвердить индивидуальный перечень мер, оформляемый в виде дополнительного соглашения к договору.
Даже без отдельного специалиста по ИБ можно реализовать минимально необходимый уровень защиты, основанные на конкретных правилах, подходящий именной для вашей компании, например:
- Проверка обновлений текущих версий ОС и ПО;
- Централизованное управление учётными записями., правами доступа;
- Единые нормы на пароли и двухфакторная аутентификация там, где это возможно;
- Понятный план резервного копирования, с регулярной проверкой восстановления;
- Сегментация сети; антивирусная защита; корректная настройка файервола; согласованные правила внешнего доступа и пр.
2.1 Минимизировать человеческий фактор
В небольших компаниях основной источник инцидентов — пользователи, а не сложные атаки.
Практические меры:
- краткие инструкции для сотрудников;
- базовое обучение фишингу и работе с паролями;
- запрет установки несанкционированного ПО и запуска исполняемых файлов;
- чёткие процедуры при увольнении сотрудников.
3. Провести разовый аудит вместо постоянного сопровождения
Если нет возможности постоянного аутсорсинга, разумной альтернативой становится разовый или периодический аудит (например, раз в год):
- проверка конфигураций;
- выявление критичных уязвимостей;
- рекомендации по приоритетам.
Даже один внешний взгляд позволяет закрыть большинство типовых ошибок.
4. Принять риск осознанно
Ключевой момент — принятие остаточных рисков.
Осознанно принять какие риски остаются вне зоны контроля, для небольших компаний нет возможности использовать полноценные DLP и SIEM системы, также частично придётся принять уязвимости на аппаратном и программном уровне используемых решений.
5. Выработать план восстановления
План должен включать следующие сценарии восстановления:
- Частичная утрата данных или их компрометация
- Полная гибель инфраструктуры
Для небольших компаний информационная безопасность без отдельного специалиста возможна, но только как базовый уровень, построенный на системном администрировании, регулярном аудите и минимизации человеческого фактора. Это не заменяет профессиональную службу ИБ, но позволяет существенно снизить риски при ограниченных ресурсах.
На практике для наших клиентов мы используем формализованный комплекс базовых мер информационной безопасности, включающий внедрение, настройку и последующий контроль обязательных политик безопасности в отношении обслуживаемых ИТ-активов.
Такой подход позволяет не ограничиваться разовыми рекомендациями, а закрепить минимально необходимый уровень защиты в виде понятных правил, зон ответственности и регулярных проверок.
Перечень обязательных политик безопасности, применяемых в рамках обслуживания инфраструктуры, может быть предоставлен по запросу.