Как выдавать доступы подрядчику, что защищать в первую очередь, как устроен контур безопасности небольшой компании и что проверить после сдачи проекта.
Самый частый инцидент в проектах автоматизации — не взлом, а забытый доступ: учётная запись подрядчика, оставшаяся активной через год после окончания работ, и ключ от базы в переписке.
Раздел о практической безопасности без корпоративного бюджета: минимальный набор правил, разграничение доступов, журналирование и чек-лист закрытия проекта.
Опасна не ошибка агента, а невозможность её откатить. Разбираем инженерный признак обратимости, список из двенадцати операций, которые не отдаются без человека, четыре ограничителя в коде и цену контура отката — 224 000 ₽ против 262 800 ₽ за одну ошибочную рассылку.
ПрактикаВключить второй фактор везде и сразу — верный способ получить саботаж и заблокированные учётные записи. Разбираем порядок включения по убыванию ущерба, сравниваем четыре вида второго фактора и отдельно — резервные коды и сценарий «сотрудник потерял телефон в пятницу вечером».
ПрактикаТри класса секретов и разные правила для каждого, пять критериев выбора хранилища вместо рейтинга продуктов, план перехода за неделю с расчётом на 58 800 ₽ и порядок действий в первый день после увольнения администратора.
ПрактикаИнциденты в небольших компаниях почти никогда не начинаются со взлома — они начинаются с доступа, который пережил увольнение или окончание проекта. Как за один вечер найти все лишние учётные записи и как встроить их закрытие в кадровый процесс, чтобы это не зависело от памяти руководителя.
ПрактикаКопия боевой базы на ноутбуке разработчика — норма отрасли и самая недооценённая дыра в проектах автоматизации. Разбираем пять способов подготовить тестовые данные, считаем стоимость подготовки против стоимости инцидента и показываем, что записать про тестовый контур в договор.
МетодикаРабочая механика для компании без отдела информационной безопасности: матрица доступа собирается за один рабочий день и 11 400 ₽, ревизия занимает час в квартал, а временный доступ отзывается сам. Плюс честный разбор трёх ситуаций, где ограничение стоит дороже риска.
ПрактикаПолный жизненный цикл доступа внешней команды: матрица по десяти системам «что просят / чего достаточно», шаблон заявки из семи полей, чек-лист отзыва на 40 минут и расчёт, во что обходится одна забытая учётная запись.
Раздел выходит частями. Ниже — темы, которые уже расписаны и ждут очереди. Если нужен ответ по одной из них прямо сейчас — напишите нам, разберём вашу ситуацию отдельно и без ожидания.
Журналы есть почти у всех, а смотрит их почти никто — и в момент разбирательства выясняется, что нужных событий там нет. Даём список из двенадцати событий, при которых система обязана поднять тревогу, и объясняем, как настроить оповещения, чтобы они не превратились в шум.
Резервная копия, лежащая рядом с боевой базой и доступная под тем же паролем, шифруется вместе с ней. Разбираем правило 3-2-1 применительно к малому бизнесу и отдельно — вопрос, который обычно не задают: у кого есть доступ к копиям и что будет, если этот человек и есть источник проблемы.
Права раздают галочками под конкретного человека, и через год никто не может объяснить, почему у кладовщика есть доступ к отчёту о прибыли. Показываем, как перейти от ручных настроек к ролевой модели на 6–10 ролей, и как это не сломать при переводах и совмещениях.
Полностью защититься от увода базы нельзя — менеджер, работающий с клиентом каждый день, знает его и без выгрузки. Честно разделяем меры на три группы: те, что реально мешают; те, что создают доказательства; и те, что дают только иллюзию контроля и портят работу отдела.
Подписанный NDA без введённого режима коммерческой тайны почти ничего не значит: закон требует набор мер, и отсутствие любой из них обнуляет защиту. Разбираем шесть шагов из 98-ФЗ инженерно — что оформить документом, а что настроить в системах, чтобы гриф соответствовал реальности.
Переход агента от чтения к записи меняет класс риска: ошибка перестаёт быть неверным ответом и становится проведённым документом. Разбираем восемь ограничителей, которые ставятся до выдачи права записи, и объясняем, почему идемпотентность важнее качества модели.
День подписания акта — единственный момент, когда подрядчик максимально мотивирован закрыть все хвосты. Даём чек-лист из четырнадцати пунктов, который проходится за один рабочий день и превращает окончание работ в проверяемое событие, а не в постепенное затухание переписки.
Через месяц после запуска система выглядит иначе, чем в день приёмки: появились новые пользователи, доработки, временные решения, которые стали постоянными. Даём восемь проверок, которые руководитель проводит сам за два часа, без привлечения подрядчика и без специальных инструментов.
Внешний аудит стоит денег и часто выдаёт отчёт, половина которого не применима к компании из тридцати человек. Разбираем, при каких условиях он окупается, чем отличается от проверки по чек-листу своими силами, и что нужно сделать до аудита, чтобы не платить подрядчику за очевидные находки.
Опишите процесс словами, голосом или файлами — вернёмся с картой процесса, вариантом решения и предварительной вилкой бюджета. Бесплатно и без обязательств.
