3 шага к безопасности: как бизнесу защитить данные — советы от ИТ-ГРАД

Руководитель группы по развитию бизнеса ИТ-ГРАД рассказывает, какие угрозы стоят перед компаниями уже сейчас, как им противостоять и почему безопасность — это уже не затраты, а часть стратегии выживания.

Информационная безопасность в Казахстане: главные риски для бизнеса

Елена Лапшова, руководитель группы по развитию бизнеса

Казахстан продолжает активный процесс цифровизации: государственные услуги, онлайн-банкинг, многие бизнес-процессы переходят в облака. 

Провайдеры в стране уже используют глобальные IaaS-инструменты, контейнеризацию, цифровой маркетинг, онлайн-каналы продаж — и технологическая база в Казахстане соответствует мировым трендам. 

Но важно понимать, что с усилением технологической базы приходят и более серьезные риски.

Какие главные риски в области информационной безопасности в Казахстане:

1. Финансовые потери: в 2024 году ущерб от кибератак в Казахстане оценили в 21 миллиард тенге. Это официальные данные от МВД.

2. Законодательные штрафы: регуляция в стране усиливается. С 2025 года по указу Президента РК в Казахстане действуют усиленные штрафы за утечки персональных данных: до восьми миллионов тенге. Всего в РК за 2024 год зафиксировано более 700 тысяч кибератак. Главные жертвы — крупные компании и госорганы, которые как раз владеют персональными данными казахстанцев. 

Потеря данных — это всегда миллионные убытки и суды. Поэтому в данном случае защита — это уже не расходы, а инвестиция в устойчивость бизнеса. Бизнесу необходимо работать над защитой своих данных от атак. Это уже не игрушка консалтинговых фирм, а важная задача. 

Радует, что компании уже меняют подход к кибербезопасности. Бизнес сам инициирует необходимые изменения, понимая необходимость этой работы.

Главные угрозы, которые уже существуют в Казахстане 

Мы выделяем три основных вектора атак в РК:

1. Эксплойты уязвимостей, например, через устаревшие инстансы «1С: Облако».

2. Компрометация подрядчиков с доступом к инфраструктуре.

3. AI-powered фишинг, когда нейросети генерируют идеальные письма «от директора».

Бороться с ними нужно стратегически и на нескольких уровнях. Например, глобально бизнесу важно перейти на Zero Trust Architecture, или архитектуру нулевого доверия. 

Zero Trust строится на трех китах: 

1. «Никому не верь» — даже трафик внутри облака должен проверяться. 

2. Минимальные привилегии — доступ только к необходимым ресурсам на строго ограниченное время — JIT-доступ. 

3. Постоянная верификация — аутентификация и авторизация при каждом запросе.

Еще я бы выделила микросегментацию и Conditional Access. Это когда доступ в облако возможен только с корпоративного IP и с применением аутентификации MFA. А запрет на скачивание данных на неподтвержденные устройства — тоже полезная штука. 

Если спускаться ниже по цепочке, то не менее важной становится работа с людьми, с сотрудниками. Здесь тоже есть несколько разветвлений: нужно заниматься ликбезом сотрудников на всех уровнях, а техническим специалистам требуется регулярно проводить учения. Это могут быть, например, Red Teaming с симуляцией APT-атак. 

APT-атаки — это длительные атаки, которые могут продолжаться месяцами. Цель такой атаки — проникнуть как можно глубже в инфраструктуру и оставаться незамеченным как можно дольше. 

Хочется отдельно поговорить про резервное копирование. Это также стратегическая работа, от которой зависит устойчивость компании при атаках, сбоях оборудования или человеческих ошибках. Современные угрозы, например, шифровальщики с двойным шантажом, требуют обновленных подходов к DRaaS. Например:

1. Рекомендуется соблюдать классическое правило 3-2-1, но уже в версии 3-2-1-1-0. К старым 3-2-1 добавляются 1 автономная копия данных, которую будет невозможно достать в случае атаки, и 0 ошибок в копии — это значит, что необходимо проводить тесты копий. 

2. Шифруйте бэкапы отдельными ключами. 

3. Вводите отслеживание аномалий. 

Для шифровки резервных копий существует два основных подхода: 

1. In-flight — шифрование для процесса передачи данных, например, между центрами репликации или клиентом и сервером бэкапа.

2. At-rest для хранения данных на носителях: и физических, и облачных.

Надо понимать, что обязательно использовать оба типа шифрования: In-flight без at-rest оставляет данные уязвимыми на диске, и наоборот. 

Как облачные инструменты помогают отслеживать действия с данными

Начнем с того, что вообще можно отслеживать:

— движение данных: кто скачал файл? Куда его отправили?

— доступ: кто вошел в систему и с какого устройства?

— изменения: кто редактировал документ или настройки?

— аномалии: например, сотрудник вдруг скачал 100 ГБ данных посреди ночи.

Для отслеживания есть много инструментов. Их можно поделить на встроенные инструменты облачного провайдера в духе AWS CloudTrail, и на внешние инструменты. Это, например, SIEM-системы типа Splunk или DLP-сервис от Microsoft. 

Берите встроенные инструменты, если:

— бюджеты ограничены.

— нужен быстрый старт

Выбирайте сторонние системы, если:

— используете несколько облаков или гибридную инфраструктуру

— нужен проактивный мониторинг: не просто логи, а предупреждения об атаках

— есть строгие требования к безопасности, которые не могут удовлетворить провайдеры. 

Какие решения предлагает ИТ-ГРАД

Мы — локальный казахстанский облачный провайдер и уделяем особое внимание информационной безопасности, предлагая комплексные решения для защиты данных, инфраструктуры и приложений. Компания ориентирована на соответствие требованиям регуляторов РК, включая Закон о персональных данных и отраслевые стандарты.

Чтобы мониторить и предотвращать киберугрозы нашим клиентам, мы предлагаем услугу SOC — Security Operations Center. Это центр управления информационной безопасностью организации для защиты от кибератак и минимизации ущербов от инцидентов. С его помощью анализируются потенциальные угрозы, выявляются инциденты, на которые оперативно реагируют специалисты ИБ. При этом вся вычислительная нагрузка приходится на инфраструктуру ИТ-ГРАД.

Кроме этого, клиенты могут интегрировать решения Kaspersky Security для комплексного управления безопасностью корпоративных сетей, приложений, данных и почтовых серверов.

Для защиты веб-приложений от различных видов кибератак можно использовать защитный экран WAF — Web Application Firewall. Это система обеспечения безопасности, которая анализирует входящий и исходящий трафик, обнаруживает и блокирует подозрительную активность, представляющую угрозу для безопасности виртуальных инфраструктур. WAF позволяет минимизировать риски, связанные с уязвимостями в коде приложения, SQL-инъекциями, XSS-атаками, CSRF-атаками и другими видами атак.

Все наши услуги прошли аудит на безопасность в рамках сертификации по международному стандарту ISO 27001. Этот стандарт содержит рекомендации по выбору мер управления безопасностью, предназначенных для систематической защиты информационных активов. Соответствие ISO 27001 означает, что команда эффективно систематизирует процессы управления информационной безопасностью, включая защиту облачных сервисов и персональных данных клиентов.