Принципы кибербезопасности: конфиденциальность, целостность, доступность

Угрозы постоянно меняются, и невозможно составить список всех атак на будущее. Поэтому в кибербезопасности опираются на принципы — устойчивые правила, которые помогают оценить любую ситуацию и принять решение о защите. Знать их полезно не только IT-специалистам, но и руководителям, которые утверждают бюджет и правила.

Триада: конфиденциальность, целостность, доступность

Основа кибербезопасности — три свойства информации, которые обозначают аббревиатурой CIA.

Конфиденциальность. Информация доступна только тем, кому разрешено. Нарушение — утечка клиентской базы, чтение чужой переписки, доступ уволенного сотрудника к CRM.

Средства обеспечения: права доступа, шифрование, аутентификация, контроль выгрузок.

Целостность. Информация не изменена без разрешения и остаётся точной. Нарушение — подмена реквизитов в счёте, изменение суммы в базе, искажение файла.

Средства обеспечения: журналирование изменений, контроль версий, электронная подпись, проверочные суммы, разграничение прав на изменение.

Доступность. Информация и системы работают, когда они нужны. Нарушение — сервер 1С зашифрован, сайт недоступен из-за атаки, отказал единственный диск.

Средства обеспечения: резервные копии, дублирование систем, защита от перегрузки, план восстановления.

Каждая мера защиты служит одному или нескольким свойствам. Полезно задавать вопрос: какое свойство под угрозой и что важнее для конкретной системы. Для сайта-визитки важнее всего доступность и целостность, для базы пациентов — конфиденциальность.

Минимальные привилегии

Каждый пользователь и каждая программа получают только те права, которые необходимы для работы. Менеджер видит своих клиентов, но не может выгрузить всю базу. Бухгалтер работает в 1С, но не имеет прав администратора на сервере. Программа для отчётов читает базу, но не может её изменить.

Этот принцип ограничивает ущерб: если учётная запись взломана, злоумышленник получает только её ограниченные права.

Эшелонированная защита

Одной меры защиты недостаточно, потому что любая может не сработать. Защита строится слоями:

1. Межсетевой экран на границе сети
2. Обновлённые системы без известных уязвимостей
3. Средства защиты на рабочих местах и серверах
4. Двухфакторная аутентификация
5. Разграничение прав
6. Мониторинг подозрительной активности
7. Резервные копии на случай, если всё остальное не помогло

Если злоумышленник прошёл один слой, его останавливает следующий.

Нулевое доверие

Классический подход считал внутреннюю сеть офиса безопасной: кто внутри, тому доверяют. Принцип нулевого доверия (zero trust) исходит из того, что угроза может быть и внутри. Каждый запрос доступа проверяется: кто пользователь, с какого устройства, нужен ли ему этот ресурс. Это особенно актуально при удалённой работе и использовании облачных сервисов.

Разделение обязанностей

Критичные операции не должны выполняться одним человеком от начала до конца. Пример — платежи: один сотрудник создаёт платёж, другой подтверждает. Это защищает от ошибок и злоупотреблений, а также от мошенничества с подменой реквизитов.

Безопасность по умолчанию

Системы должны быть безопасными в исходной настройке: пароли по умолчанию меняются при установке, лишние службы отключены, новые пользователи получают минимальные права. Проверять безопасность после запуска сложнее и дороже, чем закладывать её с начала.

Простота

Сложные системы труднее защищать: больше компонентов, больше точек ошибки. Отключайте неиспользуемые сервисы, удаляйте лишние учётные записи, не держите программы, которые никто не использует.

Как применять принципы

• При внедрении новой системы спрашивайте, как в ней обеспечиваются три свойства триады
• При выдаче доступа проверяйте, минимален ли он
• При оценке защиты ищите места, где держится всё на одном слое
• При настройке платежей проверяйте разделение обязанностей

Принципы не требуют дорогих решений: многие из них реализуются правилами и настройками. Если хотите проверить, как они соблюдаются в вашей компании, обратитесь к нам за аудитом.