1С, CRM и корпоративные базы данных содержат информацию, без которой сегодня трудно представить работу большинства компаний: персональные данные сотрудников, сведения о зарплатах, данные клиентов, контракты, суммы сделок и коммерческую информацию.
Но проблема не только в том, какие данные хранятся в системах. Не менее важно понимать, кто имеет к ним доступ и что именно делает с полученной информацией.
О том, где чаще всего теряется контроль над доступом и с чего можно начать его восстановление без масштабной перестройки ИТ, рассказывает Константин Родин, заместитель директора по развитию бизнеса «АйТи Бастион».
Какие данные в 1С, CRM и корпоративных базах требуют особого внимания?
Любой доступ к таким системам — это потенциальный доступ к ядру собственной компании.
В 1С регулярно хранятся персональные данные сотрудников, информация по окладам, зарплатам и в целом по всей бухгалтерии компании. CRM — это, по сути, сердце отдела продаж: там находятся данные по заказчикам, контакты, информация о людях, принимающих решения, контрактах, суммах сделок.
Корпоративные базы данных зачастую содержат коммерческую информацию, которая является в той или иной степени конкурентным преимуществом конкретной компании. Там могут храниться инсайдерские данные, которые позволят конкурентам получить определенные преимущества в случае утечки.
Основные риски — это прямой неконтролируемый доступ. Когда ты не знаешь, кто конкретно получает доступ к этой информации, ты не можешь с достоверной точностью судить, что этот человек с ней делает: копирует, удаляет, корректирует, правит. Здесь, конечно же, вопрос именно в разграничении доступа.
Где чаще всего компании теряют контроль над доступом?
Одна из проблем в том, что у сотрудников со временем, по мере карьерного роста, накапливается неограниченный доступ к ресурсам, который никак не контролируется.
Сегодня ты инженер, у тебя один доступ, завтра ты руководитель, у тебя уже другой, потом ты еще выше пошел по карьерной лестнице. И зачастую получается ситуация, когда у одного конкретного человека сосредотачивается доступ ко всей инфраструктуре и критичным для бизнеса системам, хотя ему для работы это не нужно.
Вторая ошибка — предоставление доступа просто как есть, когда этот доступ сотруднику не требуется. То есть отсутствие ролевой модели предоставления доступа.
Дальше идут риски передачи этого доступа. Неконтролируемо приходит подрядчик, ему выдается доступ ко всему. Либо доступ предоставляется по неконтролируемым каналам связи: через мессенджер, почту, Excel-файлы в общем доступе.
Это привычные и удобные каналы, но именно они подлежат максимальной компрометации. Ты передал сообщение и вроде бы видишь, кому его передал. Но что происходит дальше, уже не видишь. Данные доступа могут попасть к третьему лицу, дальше к четвертому, пятому. Они могут разлетаться со скоростью света и при этом не иметь точной персонификации.
Особенно это критично при работе с внешними подрядчиками. По-прежнему встречаются даже пароли, приклеенные на монитор. А если помещение находится в публичном доступе, это уже компрометация буквально на уровне глаз злоумышленника.
Можно ли повысить защищенность 1С, CRM и баз данных, не перестраивая всю ИТ-инфраструктуру?
Начать можно с того, чтобы систематизировать доступ. Как минимум ввести реестр выдачи и отзыва доступов, чтобы понимать, кому и когда доступ выдавался и не забывать его отзывать. Если нет автоматизированных систем, что зачастую бывает в небольших организациях, для этого достаточно даже журнала в Excel, который ведет конкретный сотрудник, предоставляющий доступ. Это минимальные меры: создание регламента предоставления и отзыва тех или иных доступов в рамках задачи.
Второе — минимизация прав. Не нужно передавать доступы с более высокими полномочиями тому сотруднику, которому эти полномочия не требуются в рамках его служебных обязанностей.
Дальше — внутреннее обучение, чтобы сотрудники соблюдали регламенты и не передавали пароль просто так. Все должно идти через централизованную систему предоставления доступов, даже если на первых порах такой системой является конкретный человек в организации.
Конечно, лучше вводить автоматизированные системы. Есть IDM, PAM, которые позволяют организовать ролевое предоставление доступа в рамках конкретной позиции внутри компании и отзывать его, когда сотрудник увольняется или переходит на другую позицию.
Для большинства компаний внедрение IDM — довольно сложная процедура. Но начинать с чего-то надо. Я бы предлагал сначала строить регуляторную практику внутри: что, зачем и почему, какие действия необходимо выполнять. Это могут быть простые чек-листы на уровне конкретных сотрудников, например, обходные листы при приеме и увольнении, где указано, какие доступы сотруднику нужны и какие необходимо отобрать. И, соответственно, нужен журнал доступов, которые за время работы сотрудника ему выдавались. Это минимальная история.
Отдельный риск — доступ внешних подрядчиков. Что происходит, когда администратору дают полный доступ к 1С?
Если мы берем 1С, то здесь возникает самый яркий и понятный пример - внешние подрядчики, которые администрируют систему 1С на уровне серверной конфигурации.
Любое программное решение работает поверх операционной системы, базы данных и серверной версии того или иного продукта. В данном случае это 1С.
А когда мы предоставляем полный неконтролируемый доступ внешним подрядчикам к своим корневым, ядровым системам типа 1С, мы фактически говорим: вот, пожалуйста, здесь у нас все, вся жизнь нашей компании, вся отчетная жизнь, обновите нам ее, пожалуйста.
При этом практика в малых и средних компаниях зачастую заключается в том, что подрядчику просто предоставляется VPN-туннель. Либо сотрудник приезжает, садится в серверном помещении, если сервер есть, или за отдельный рабочий стол и выполняет свои задачи.
Никто толком не контролирует его действия. Что делает этот умный мальчик из ИТ-компании, никто не знает. Понять им это сложно. И здесь все работает на уровне доверия и неких гарантий в рамках договора. Но всегда есть риск того, что этот человек может подрабатывать где-то на стороне, быть чем-то недоволен или просто хотеть дополнительно подзаработать. Поэтому вариант утечки или какого-то нелегитимного или неправильного использования своих рабочих полномочий он может использовать.
Что в такой ситуации позволяет контролировать СКДПУ НТ Старт?
СКДПУ НТ в первую очередь может контролировать низкий уровень доступа к операционным системам, базам данных и самим серверам 1С. Но этим администрирование 1С не ограничивается. Помимо низкого уровня доступа к серверам и базам данных, часто используется веб-доступ либо доступ через локальные приложения.
И здесь появляется возможность контролировать прикладные программы и видеть, кто с чем работает, какие кнопки нажимает, при этом даже не предоставляя прямого доступа к самому серверу. Можно создать промежуточный рабочий стол, с которого осуществляется администрирование инфраструктуры, в том числе 1С. Тем самым создается безопасная зона, в которую подрядчик приходит через удаленный доступ, а все его действия по администрированию 1С контролируются. Можно видеть, какие действия он совершает, какие файлы загружает и выгружает. Если обнаружится утечка, можно проверить, например, действительно ли человек сделал дамп базы и скопировал ее к себе на удаленную рабочую машину.
Таким образом, СКДПУ НТ Старт как инструмент контроля привилегированного доступа может закрывать полный цикл работы внешнего администратора с 1С: от низкого уровня вплоть до конфигурации 1С через прикладное программное обеспечение или веб-интерфейс, закрывая все возможные доступы и полномочия конкретного сотрудника при его высокоуровневой конфигурации.
А если речь идет не об 1С, а о CRM?
Здесь примерно та же самая история. Важно понимать, что подразумевается под CRM и что подразумевается под 1С. 1С - это, по сути, платформа, которая позволяет создавать на ней совершенно разные продукты, в том числе CRM. Это не только бухгалтерия. Поэтому с CRM-системами примерно та же логика. Современные CRM работают через веб-интерфейс, и не принципиально, локальные они или облачные.
В первую очередь это контроль инфраструктуры, на которой CRM или 1С работают. С другой стороны, это возможность контролировать доступ к веб-интерфейсу либо к программному обеспечению, которое работает с CRM.
Если CRM локальная, внешние подрядчики взаимодействуют с ней на низком уровне - с базой данных, операционной системой. Логика здесь точно такая же: контроль, мониторинг действий, предотвращение нелегитимного доступа именно к нижнему уровню системы.
Еще одна возможность СКДПУ НТ - не передавать пароли внешним подрядчикам, а вводить их незаметно для них. Они получают необходимый доступ, но при этом не знают конкретного логина и пароля от системы. Это минимизирует риск утечки важного пароля.
Если говорить про SaaS, то здесь все зависит от того, каким образом организован доступ к облачной системе. Основная возможность PAM-системы - контроль через PAM. Если есть возможность обойти PAM, система не может контролировать это соединение и предотвращать утечки.
Если же это облачная инфраструктура, которую компания сама разворачивает и которой полностью владеет, доступ к ней вполне можно организовать через PAM. В таком сценарии PAM становится ключевой точкой доступа для высокопривилегированных пользователей, которые получают доступ к инфраструктуре на уровне операционной системы и администрирования.
Как на практике можно организовать работу внешних администраторов?
Например, можно сделать центральные точки доступа для внешних подрядчиков, которые работают с внутренними базами 1С, помогают настраивать, допиливать и допрограммировать какие-то куски.
Они подключаются строго через PAM. У них нет никакого доступа, кроме конкретной системы контроля действий привилегированных пользователей. И, соответственно, они не знают паролей.
Это вот прям такая база-база. Пароли регулярно меняли - либо руками, либо автоматически. Но в рамках СКДПУ НТ Старт пароли подставляются, но не меняются, потому что есть лицензионные ограничения.
Если у компании небольшой бюджет, с чего начать защиту 1С, CRM и баз данных?
Первое — понять, что на самом деле у тебя есть что защищать и что у тебя вообще есть ключевые информационные системы, которые стоят того, чтобы их защищать. Это 1С, CRM, какие-то дополнительные базы данных.
Если ты аудиторская компания, то это может быть база проведенных аудитов, отчеты. Если ты финансовая организация или работаешь с персональными данными, скорее всего, это будет 1С или CRM. Да даже если ты не такая организация, в CRM у тебя так или иначе содержатся персональные данные клиентов, а в 1С - сотрудников. Утечка всего этого тоже плохая история.
Второе — ввести хотя бы минимальные действия по контролю привилегий. Это могут быть электронные инструменты, которые отслеживают, кому какой доступ предоставляли. Определиться, кому реально какие доступы необходимы, выдавать их при трудоустройстве и вести этот реестр.
Третье — не забывать отзывать доступ. Об этом надо всегда помнить.
К этому минимуму обязательно стоит добавить работу с паролями. Доступы не должны оставаться неизменными со временем, нужна регулярная смена паролей с контролем их сложности. Заменить «вася123» на «вася1234» - вообще небезопасно. Мало того, что сам «вася123» небезопасен, добавление еще одной цифры - очень понятный паттерн, который быстро отслеживается и взламывается.
Дальше — провести обучение сотрудников работе с паролями и доступами. Им нужно объяснять не только сложность последствий, но и цену этих последствий.
И уже после этого выбрать минимально необходимые системы, которые требуют такого контроля. Здесь можно использовать СКДПУ НТ Старт в минимальных комплектациях, чтобы закрыть самые необходимые задачи. Расшириться можно всегда, но начинать можно и с малого.
Лучше делать какие-то небольшие шаги и тратить небольшие деньги на безопасность, чем просто ждать, когда случится инцидент и ты заплатишь в 3, в 5, в 10 раз больше, чем стоимость средств защиты. То есть лучше заранее поставить чуть посложнее замок, чем просто повесить на дверь амбарный, который сломает любой, вскроет любой, и ты лишишься своего бизнеса.
Что делать дальше, если компания готова вкладываться в защиту доступа?
Если после того, как ты понял, что у тебя все-таки есть что защищать, ты готов так или иначе вкладываться в защиту, всегда можно прийти к вендорам и производителям, которые осуществляют защиту доступа, и с ними пообщаться и проконсультироваться.
Наша компания, например, как лидер рынка контроля привилегированного доступа, никогда не отказывается от консультаций, небольших исследований и выдачи рекомендаций, как тот или иной доступ можно защитить минимальными вложениями. То есть мы всегда готовы к любому диалогу. Наша цель — не продать, а реально помочь.
При возможности выделения определенного бюджета я бы также рекомендовал провести небольшой аудит доступа: кто имеет его, как они его имеют. И уже на выходе понять, что можно предложить заказчику для того, чтобы минимизировать его риски, связанные с доступом внутренних сотрудников и внешних подрядчиков к базам данных 1С и CRM.
Протестировать СКДПУ НТ Старт можно по ссылке — это бесплатно.
Реклама: ООО «АйТи БАСТИОН», ИНН 7717789462, erid: 2W5zFK2h6HX
