Смена парадигмы безопасности в ИТ-компании
Всем привет, излучатели ПДн!
Осенью я написал (с помощью одного из подписчиков) вот такой текст про безопасность, для наших компаний, часть из которых работает в области информационной безопасности, часть возглавляется людьми, которые хорошо видны в медийном пространстве.
В частности, это было инициировано взорванным Владленом Татарским, который явно, прямо, бездумно шёл к своей гибели от одного уровня тщеславия и публичности к следующему.
Естественно, среди менеджеров, партнёров поднялся писк и шум, что это же — застрелиться, работать будет вопще нельзя, куды ж нам без мессенджеров и т. п.
Вообще современный менеджер занят исключительно микроменеджментом в Телеграме и редмайне, вообще не мыслит себя без этого удобства. Настолько, что никакие «риски» — предполагаемые, конечно, до сих пор же всё было норм — не могут его заставить отказаться от привычной и удобной среды, которую он себе создавал годами, приминая травку.
Тем не менее, документы такого рода нужны, если не для исправления всех косяков и неверных привычек, хотя бы для понимания того, что делается совсем неправильно.
Не хотелось бы, конечно, чтобы осознавать риски по-настоящему начали после того, как чёрный лебель перестанет виться над головой и таки клюнет в нижний моск.
Думаю, подписчикам это тоже будет полезно.
В документе ниже можно взять к исполнению или сведению хотя бы некоторые пункты. Понятно, что документ не полон, его можно и нужно дополнять.
Итак:
Базовая безопасность во время войны
В условиях работы во время войны, в критической, медийной инфраструктуре или над оборонными технологиями, нужно пересмотреть саму парадигму работы компании, директора и рабочих команд. Даже если у компании нет лицензии на гостайну и уж тем более — если нет госзащиты.
Мы знаем, что ЧРК по всему миру ведут миллионы людей с детальным анализом с точностью до человека: связыванием устройств, ФИО, перемещений, семей, адресов, связей и т. п. Большинство из этих ЧРК — вражеские.
Нужно понимать, что цифровые платформы, например, Гугл (как и ФБ, ВК, Яндекс) обладают совершенно поразительными возможностями связывания устройств, аккаунтов, людей, мест, юрлиц. Нужно не давать им пасов.
Сейчас слежка может привести не к утечке данных, а к закладке бомбы в машину или к прилёту ударного беспилотника на совещание или в квартиру.
Рассуждать нужно примерно в таких терминах — список предварительный (это фактически частная, бытовая дисциплина, без госзащиты и прочего):
1. Модель угроз
1. Противодействие противнику средних и малых размеров. Приоритетом является снижение эффективности оперативных мероприятий, проводимых ЧРК и относительно небольшими акторами с широким спектром возможной мотивации (от мошенничества до саботажа и терроризма), но ограниченными ресурсами и коротким горизонтом планирования. Противостоять государству Украины/Британии/США нужно уже с помощью госзащиты, гостайны и т. п. В список акторов необходимо добавить лица и компании внутри России, конкурирующие на бизнес- и идейном поле.
2. Средние ресурсы нападающих. Ключевая особенность тех, от кого стоит активно защищаться — работа «с колёс», с наскока, под воздействием пусть и острой, но краткосрочной необходимости. Возможно — под влиянием эмоций. Затруднение мероприятий, расширение их временных рамок, отсутствие быстрого и осязаемого результата видится наиболее эффективной стратегией. То же самое, кстати, с искусственным затягиванием коммуникаций: значительно сложнее «качать» человека или компанию, если они отвечают в лучшем случае через сутки.
3. Тягаться напрямую с тем или иным государством мы не сможем. Попытка противостоять всем возможным методам оперативной работы, системно и последовательно проводимой с привлечением в том числе государственных ресурсов, на уровне частного лица и небольшой компании приведут к значительным накладным расходам и постоянно будут находиться в конфликте с интересами личными и бизнеса — а значит, в долгосрочной перспективе не будут эффективными.
Вот какие меры практически обязательны для тех, кто работает с КИИ, ИБ, СБ, ГОЗ:
2. Устройства для связи
· Нельзя использовать Айфоны и Андроиды. Звонить вообще лучше с кнопочных телефонов без обмена данными.
· Устройства для связи должны быть стерилизованы. Геоданные, акселерометр, передачу данных и прочее — нужно всегда по умолчанию отключать. Лучше выработать стандартную процедуру стерилизации устройств, обучить сотрудников в СБ или даже разработать собственное приложение.
· Разделять внешний и внутренний контур. Нельзя использовать устройства для рабочей связи одновременно как устройства для поиска информации, развлечений, управления командой и т. п., отдавать их детям, родным на время. Деловой и личный, внешний и внутренний контур должны быть разделены.
· Стерилизовать устройства. Устройства для поиска информации, чтения, развлечений, покупок должны быть максимально стерилизованы и анонимизированы. Никаких геоданных, никакой привязки к госуслугам, почте, ФИО и т. п. Анонимный Телеграм, анонимная почта, VPN.
· Авторизованный контур — отдельно. Для авторизованного использования Интернета лучше иметь отдельное устройство, привязанное к номеру телефона, почте, ФИО, Госуслугам, доставке, покупкам, адресу для курьера и т. п. С него нельзя писать посты и комменты, показывать лицо, управлять компанией, а также общаться в реальном времени — только асинхронно (СМС, почта).
3. Синхронная цифровая коммуникация - вредна и опасна
· Голосовой звонок зачастую не нужен: он даёт не только образцы голоса, но место и время звонка, причём в реальном времени. А также другие актуальные личные факты — что ты сейчас не спишь, в городе, пр. Нужно снижать количество голосовых звонков не только с внешним миром (см. дальше), но и со своими.
· Видеозвонки не нужны вообще. Ни со своими, ни тем более с внешними корреспондентами. Видеозвонок даёт не только образцы биометрии, но и задний фон, контекст, место и время в реальном времени.
· Мессенджеры также опасны, как средство реального времени, позволяющие узнать, где ты сейчас, чем занят и т. п.
4. Асинхронная цифровая коммуникация
· Асинхронная коммуникация (СМС, электронная почта, ответ на сообщения в мессенджерах в течение десятков минут и часов) — гораздо безопаснее синхронной. Она не даёт наблюдателю знаний вида «здесь и сейчас».
· Сознательная задержка во внешнем контуре. Общение с внешними корреспондентами, журналистами, клиентами вообще должно иметь задержку по умолчанию: от получаса до дня. Это очень полезно не только в смысле секретности, но и в смысле содержательности и воспринимаемой ценности коммуникации. Журналистов дисциплинирует, «горячие темы» — отбивает, высушивает, стерилизует.
· Задержка во внутреннем контуре. Здесь также полезна задержка хотя бы на десятки минут. На качество управления коллективом это не влияет. В срочных и острых случаях дело решается звонком с другого, стерилизованного и не связанного устройства.
5. Коммуникация с внешним миром
· Публичные появления: нужно сводить к минимуму. Как минимум те, где за несколько дней известно точное место и время появления.
· Опасные мероприятия: вообще не посещать тусовки дроноводов, военкоров, просто чрезмерно массовые мероприятия (выставки, концерты) и т. п. Не договариваться заранее о времени и месте.
· Тематика выступлений: разговаривать только на общие темы, не бросать намёков на закрытые темы, заниматься «объяснением для чайников», толкованием сложных технологических вопросов; компанию не пиарить — сейчас это не нужно. Лучше иметь сопровождающих на любых мероприятиях, а ездить туда не на своей машине.
· Интервью: только с известными СМИ, никаких «у нас тут новый канал на Ютубе, ведущий известный журналист», никаких «начинающих СМИ». Только с заранее присланным списком тем и вопросов, с обязательной присылкой текста на верификацию. Никаких намёков на закрытые темы. Иметь чёрный список СМИ и каналов (типа «Медузы») — инфовойна и обработка чужой аудитории не входят в задачу.
· Встречи с государством: заседания в Госдуме, закрытые комиссии Сената, общественные слушания, конференции Армии-202х — можно посещать в качестве эксперта, однако всегда выяснять заранее, приглашены ли журналисты, есть ли трансляция и т. п. Попадать на фото и видео — нежелательно. В любом случае, публично разговаривать только общие и открытые темы.
· Звонки: лучше совершать со стерилизованного устройства, назначать фиксированное время для созвона, не брать звонки с неизвестных номеров (отказываться от звонка и предлагать специальным сообщением написать в СМС) и т. п. Звонок в реальном времени даёт время и место, образцы голоса, прочую информацию (бодрствование, готовность говорить, пробивка присутствия-отсутствия на идущих сейчас совещаниях и встречах и т. п.).
· Встречи (в том числе со «своими»): назначать время не слишком задолго, место — вообще по возможности в реальном времени («давай через час в районе Лубянки, на месте позвоню, как найду место и сяду»). Лучше не в больших залах и не на открытых верандах. Лучше с сопровождающими.
Правильнее всего — в офисе. Всех, с кем встречаешься в первый раз — проверять через СБ. В случаях сомнений — посылать первый раз линейного сотрудника, сотрудника СБ, помощника.
· Транспорт. Использовать такси с вызовом со специального устройства, отвязанного от внутреннего и по возможности от внешнего контура. Использовать не собственную а/м, а общественный транспорт с разными маршрутами (условно, ходить или доезжать на прокатном самокате на работу и в офис с выбираемых в последний момент разных станций метро).
· Дальние поездки: лучше приобретать билеты в последний момент, летать без багажа, разделять рейсы с ключевыми сотрудниками и семьёй, и т. п. В дальние поездки на авто по шоссе — брать баллончики, травматы, ездить по возможности двумя машинами, в сопровождении СБ, знать и поддерживать дисциплину поведения на дороге в случае инцидентов (не глушить мотор, не выходить и т. п.).
· Видеозвонки с внешними контактами: лучше исключить вообще. Они для дела не нужны, дают слишком много информации. Участие директора в заседаниях экспертных советов, Госдумы и т. п. — можно, на их платформах (при этом, конечно, держать язык за зубами). Для сотрудников — только по согласованию с директором.
· Аккаунты в соцсетях и мессенджерах, каналы в Телеграм: прекратить выкладывать видео и фото, закрыть аккаунты для всех, кроме близких друзей и сотрудников, перестать писать о работе. Для новостей компании сделать отдельный контролируемый канал. Разделить и не смешивать личное и рабочее.
· Зачистка внешнего пространства: зачистка аккаунтов, упоминаний, новостей, замусоривание соцсетей и поисковиков чужими фото и ФИО, адресами и телефонами и тому подобное.
· Общение по почте: удалять предыдущие письма, контакты. Писать со специального адреса для внешнего контура (даже если со своего сервера).
· Получение и передача файлов, ссылок, контактов: очевидные ограничения и меры предосторожности. Только на внешнем контуре, только на «внешних устройствах», с применением всех средств проверки, с антивирусами и т. п. Никакой установки приложений, пиратки, порнухи, прочего.
· Песочницы для файлов, контактов, людей. Иметь режим ограниченной коммуникации (диски, уполномоченные помощники, переговорные и т. п.) для неизвестных и новых сущностей.
· Бумага вместо флешек. Для передачи файлов во внешний мир — презентаций, документов, статей, особенно если это нужно для встреч и совещаний, нужно использовать бумажные документы. Бумагу гораздо труднее распространять дальше, тем более незаметно модифицировать. Для получения точно не брать флешек, а файлы до открытия сканировать.
· Интернет. Санировать надо и канал подключения к Интернету: в идеале устройства должны знать только одну сеть Wi-Fi на носимом с собой роутере, на роутере всегда поднят VPN, работающий через свои сервера. Ни в коем случае не публичный VPN-сервис.
· Совместное нахождение, тем более, регулярное совместное перемещение мобильных устройств (в меньшей степени — ноутбуков) надо исключать, чтобы избежать связывания противником и внешними наблюдателями как разных сотрудников, так и устройство одного человека между собой. Также необходимо не подключаться к одной сети Wi-Fi. Запретить смотреть в телефоны и ноутбуки на совещаниях. сдавать их на входе — это и просто полезно для эффективности совещания.
· Ротация устройств. Все физические устройства должны регулярно ротироваться, старые продаются на Авито, покупаются новые. Сложнее с ротацией сим-карт, но есть решение — т. н. «колхозы», что-то типа виртуальных MVNO внутри операторов, записанных на непонятного левого корпоративного клиента. Там выдают сразу пачку физических сим-карт, по необходимости к ним можно привязывать номера. Вообще хорошей практикой может быть использование белорусской симки в роуминге: там с пробивами потяжелее.
· Генераторы паролей. Устройство для одноразовых паролей, смс от банков и прочего, подверженного угону и пробиву — физически всегда в другом месте, у доверенного человека.
6. Внутренние коммуникации
· Устройства: исключить внутреннее общение через «внешние устройства», не смешивать контуры. Купить не вражеское, например, телефоны Хуавей с собственной ОС, без GMS (Google Mobile Services), отечественные, если есть. Модемы и маршрутизаторы брать китайские, от Хуавея и других. Выработать дисциплину по стерилизации ноутбуков и доступа в Интернет. Не раздавать вайфай с «внешнего» телефона для рабочего ноутбука, и наоборот, не смешивать внешний и внутренний контур по устройствам.
· Программные средства: Не использовать Андроид, Айфон, Винду, Микрософт офис, публичные почты, Телеграм, Вотсап. Не использовать Гугл для поиска, Яндекс.Диск и Гугл Драйв для передачи файлов и т. п. Не ставить Гугл Аналитикс на сайт компании, другие счётчики и коды и т. п.
· Средства коллективной работы: установить собственный опенсорсный мессенджер, собственный защищённый сервис видеозвонков, собственный сервер электронной почты, собственное файловое хранилище, собственный (опенсорсный) таск-менеджер и т. п.; запретить использовать их для внешней коммуникации всем сотрудникам. Не смешивать внешний и внутренний контур по ПО.
· Криптография: изучить вопрос, выбрать средства шифрации сообщений, данных на дисках (например, от Аладдина) и т. п. Ввести культуру шифрования файлов, документов при передачи во внутреннем контуре и с внешними ответственными корреспондентами (заказчиками из аббревиатур, например), раздельные каналы для передачи контента и паролей к нему.
· Совещания: проводить очно, в проверенном помещении, без смартфонов в кармане и на столе, без «подключения по Зуму» (только через собственный сервис ВКС или мессенджер) и т. п. Без личных устройств на столе и в карманах.
· Проверять помещения и устройства. Ввести дисциплину и процедуры проверки помещений и устройств на прослушку и утечки. Обращаться к профессионалам.
7. Люди, компании, продукты
· Защита юрлиц. Скрытие бенефициаров и менеджмента, закрытие реестров и т. п. Слои «партнёрок» и подставных компаний/бенефициаров/управляющих.
· Защита данных и кода. Нужно выработать дисциплину и культуру производства в «специальных помещениях», а также хранения, копирования, архивирования и бэкапирования. Дублирование, шифрование на лету и в архивах и т. п.
· Найм. Проверять всех вновь нанимаемых через СБ, а также OSINТом: по соцсетям, новостям, связям. Завести «песочницы» некритичных и несекретных заданий для всех нанимаемых, на 3-6 месяцев как минимум. Увольнять уехавших за границу, желающих «работать по удалёнке» в критичных проектах или рядом с ними.
· Мониторинг сотрудников. Нужно следить за поведением, состоянием ума сотрудников, контактами, постами и каментами в соцсетях, выкладыванием фото — как с точки зрения рисков для секретности, безопасности самих сотрудников, так и с точки зрения рисков вербовки и саботажа.
· Форс-мажоры и реагирование на них. Нужно создать и иметь актуальные процедуры («матрицы реагирования») на случай увольнения, болезни, смерти, пропажи ключевых сотрудников, обысков и пожаров.
· Публичный и закрытый контур в компаниях. В компаниях надо разделять закрытые работы и открытые, инструктировать сотрудников, разделять данные, устройства, помещения.
· Инструктаж и проверка сотрудников. Доводить описанное выше до сотрудников, обучать, проверять исполнение, проводить тренинги и тесты. Применять стандартную процедуру стерилизации устройств сотрудников.
Vkontakte
Twitter
Одноклассники
