Финсектор управился с сотрудниками
Контроль доступа к информационным системам улучшается
В 2024 году доля компаний из финансового сектора, которые имеют сложности с контролем доступа сотрудников к элементам информационных систем в зависимости от полномочий, достигла минимума за три года — 38%. Однако недостаточная защищенность информсистемы организации, а также слабая организация учетных записей сотрудников все еще представляют серьезную проблему, указывают аналитики.
Фото: Александр Миридонов, Коммерсантъ
Фото: Александр Миридонов, Коммерсантъ
Доля компаний из финансового сектора (банки, страховые компании, биржи и т. п.), имеющих сложности с реализацией управления доступом, снизилась на 6 п. п. и составила 38% в 2024 году, следует из данных системного интегратора «Информзащита». Это рекордно низкий показатель за три года. В компании уточняют, что результаты исследования подготовлены на основе пентестов и опроса участников финансового рынка.
Управление доступом — распределение прав доступа к различным элементам информационной системы, не больше, чем требует трудовая функция сотрудников.
Долю в 38% аналитики называют все же высокой. К основным трудностям участников финрынка в этом вопросе относятся отсутствие систем управления доступом (80%), проблемы настройки и использования систем управления мобильными устройствами (MDM, 60%), а также использование сотрудниками личных компьютеров вместо корпоративных ноутбуков (60%), следует из данных Infosecurity (ГК Softline). Кроме того, компании могут иметь неполное покрытие ключевых ресурсов системами управления информацией и событиями безопасности (SIEM, решение для обнаружения угроз раньше, чем они нарушат их рабочие процессы, 40%), редко менять пароли (30%) или ставить слишком простые (10%), использовать групповые учетные записи (20%). Суммарная доля превышает 100%, поскольку у компании может наблюдаться сразу несколько трудностей, поясняют там.
По словам руководителя направления безопасности финансовых организаций Infosecurity Юлии Задубровской, одной из наиболее опасных проблем является неполное покрытие ключевых ресурсов системами SIEM.
Это серьезная уязвимость, так как без SIEM-систем затруднен мониторинг и выявление инцидентов безопасности, что повышает риск того, что угрозы останутся незамеченными, поясняет она.
Использование групповых учетных записей и редкая смена паролей особенно опасны в контексте действий внутренних нарушителей или использования учетных данных бывшими сотрудниками, отмечает госпожа Задубровская. Часто проблемы возникают в случаях, когда доступ не удалили после срока действия, оставили после увольнения работника и самое опасное — оставили удаленный доступ, уточняет главный эксперт «Лаборатории Касперского» Сергей Голованов. В 2024 году доля утечек данных из финорганизаций, произошедших в результате действий инсайдеров, составила 31% (см. “Ъ” от 5 ноября).
Корпоративные аккаунты могут использовать и хакеры, чтобы попасть в инфраструктуру организации.
Атакующий может использовать уязвимости в системе управления доступом для получения более высоких привилегий, чем ему положено, что может позволить ему выполнять действия, которые обычно доступны только администраторам, поясняет эксперт отдела анализа защищенности «Информзащиты» Анатолий Песковский. В некоторых случаях злоумышленники могут использовать ошибки управления доступом для ограничения прав доступа других пользователей, что может привести к потере данных или функциональности, то есть снижать привлечение, говорит он.
Также при расследовании инцидентов информационной безопасности мы замечаем, что лишь немногие компании системно разделяют с точки зрения прав и уровня мониторинга доступ к сети работников и представителей подрядных организаций, рассказывает руководитель экспертных сервисов мониторинга и реагирования Jet CSIRT «Инфосистемы Джет» Руслан Амиров.
Учитывая возрастающую сложность киберугроз, управление доступом остается одним из основных векторов атак на финансовые организации, поэтому инвестирование в современные решения для управления идентификацией и доступом, а также регулярные аудиты и обучение персонала являются необходимыми мерами для снижения рисков, говорит руководитель группы исследований безопасности банковских систем Positive Technologies Сергей Белов.