Журнал "Information Security/ Информационная безопасность" #2, 2023

вания двухфакторной аутентификации. Наблюдается также спрос на решения для контроля удаленных рабочих мест и активного реагирования на несоответ- ствие профилям безопасности. Виктор Чащин, МУЛЬТИФАКТОР: Внешние инженеры внедряют реше- ния и уходят, оставляя наедине с резуль- татом заказчика, которого в процессе эксплуатации может ждать серия увле- кательнейших квестов какой угодно глубины, обширности и продолжитель- ности. В целом приятно видеть, что документация на технические продукты понемногу перестает вызывать оттор- жение и наполняется как теоретиче- скими, так и сугубо прикладными аспек- тами эксплуатации. Дмитрий Овчинников, Газинформсервис: Проблемы совместимости СЗИ с при- кладным и системным ПО, другими СЗИ были, есть и будут. Однако при правильном проектировании систем защиты инфор- мации остроту таких проблемы всегда можно снизить до приемлемого уровня. Андрей Шпаков, Компания "Актив": После ухода большей части зарубеж- ных производителей с рынка мы можем констатировать улучшение ситуации по совместимости различных ИБ-решений. Сокращение количества игроков на рынке заставило оставшихся российских производителей активно сотрудничать между собой, предлагая совместные решения своим заказчикам. Например, продукты и решения "Рутокен" имеют официально подтвержденную сертифи- катами совместимость с решениями более чем 60 российских разработчиков СЗИ. Каждый продукт тестируется в совместных сценариях с технологиче- скими партнерами, среди которых веду- щие отечественные разработчики опе- рационных систем, решений для ЭДО, удаленного банкинга и СЗИ. Дмитрий Хомутов, Айдеко: Проблема совместимости остается, но производители ее понимают и зани- маются ее решением. Например, в реше- нии Ideco UTM мы стремимся сделать максимальную универсальность: наше решение может по протоколу IPSec объ- единять офисы с оборудованием Cisco, CheckPoint, Fortinet, Mikrotik и других вендоров, что на самом деле редкость как для отечественных, так и для зару- бежных решений. Сергей Груздев, Аладдин Р.Д.: Массовый переход на удаленку пред- полагает использование виртуальных рабочих мест, а с российскими система- ми VDI пока не все так хорошо, как мно- гим хотелось бы. Дмитрий Хомутов, Айдеко: 1. Использование небезопасных уста- ревших VPN-протоколов и протоколов шифрования – PPTP, DES, L2TP/IPSec. 2. Одинаковые настройки доступа пользователей, подключившихся изнутри сети и извне. 3. Отсутствие двухфакторной аутен- тификации, когда полагаются на серти- фикаты или учетные данные, риск утечки которых очень высок. Андрей Шпаков, Компания "Актив": 1. Ожидание, что российское СЗИ будет иметь такой же функционал, как СЗИ веду- щего мирового производителя. Необходимо определить основные потребности, которые нужно закрыть сейчас, и дополнительные, которые можно будет обеспечить в сле- дующих версиях продукта. 2. Отсутствие качественного пилоти- рования решения перед закупкой. 3. Использование только ненадежной связки "логин-пароль" для аутентифи- кации в информационных системах вме- сто средств многофакторной аутенти- фикации. Пароли – уязвимое место даже самой защищенной информационной системы. Сергей Володин, АМТ-ГРУП: 1. Отсутствие строгой парольной поли- тики для учетных записей удаленного доступа. 2. Публикация RDP-серверов вовне без применения VPN-шлюзов. 3. Предоставление полного доступа к внутренней сети удаленным пользова- телям. Дмитрий Овчинников, Газинформсервис: 1. Вера в защиту данных посредством VPN. VPN – это только часть ИБ, и дан- ные надо защищать комплексно. 2. Вера в то, что переезд в облако сразу же решит все проблемы с досту- пом к данным и их утечками. Облака надо тоже защищать. 3. Пренебрежение обучением персо- нала. Персонал всегда надо было учить, а с переходом на технологии удаленного доступа его надо учить основам без- опасности и работам с данными еще более усердно, чем раньше. Дмитрий Поливанов, ДиалогНаука: 1. Предоставление сотруднику ком- пьютера, на котором из средств защиты настроен только VPN-канал, а все остальное (антивирусные средства, сред- ства удаленного управления, локальный межсетевой экран и далее по списку) оставлено без внимания. 2. Установка VPN-клиента на домаш- ний компьютер сотрудника без воз- можности его администрирования и контроля. 3. Разрешение неконтролируемого взаимодействия с ресурсами сети "Интернет" при поднятом VPN-канале до сети организации. Артем Туренок, ДиалогНаука: 1. Отсутствие двухфакторной аутен- тификации при организации удаленного доступа. 2. Отсутствие контроля удаленных рабочих мест и активного реагирования на несоответствие профилям безопас- ности. 3. Отсутствие контроля передаваемой (обрабатываемой) информации с уда- ленных АРМ и на них. Владимир Абрамов, PRO32: 1. Неправильная настройка удаленного доступа и отсутствие контроля над актив- ностью пользователей. 2. Отсутствие многофакторной аутен- тификации и слабые пароли. 3. Слишком уверенные в своих силах системные администраторы. Сергей Груздев, Аладдин Р.Д.: Вместо трех назову одну – горе от ума. Многие пытаются креативить и навязать специалистам, что и как надо сделать. Ни к чему хорошему это, как правило, не приводит. Есть готовое сер- тифицированное решение, выстрадан- ное, протестированное, проверенное, наработаны лучшие практики – просто бери и пользуйся. Андрей Шпаков, Компания "Актив": С момента ухода зарубежных про- изводителей с рынка прошло больше года. За это время заказчики осознали новую реальность и начали выстраивать долгосрочные отношения с российскими производителями. Такие отношения стали существенным драйвером разви- тия для многих компаний на рынке ИТ и ИБ. Таким образом, считаю, что мы Назовите топ-3 ошибок с точки зрения ИБ при организации и настройке удаленных рабочих мест, согласно вашему опыту за последние два–три года. По вашему мнению, пройдена ли нижняя точка кризиса, связанного с уходом большинства иностранных вендоров с российского рынка, в аспекте организации безопасной удаленной работы? 40 • СПЕЦПРОЕКТ