Журнал "Системы Безопасности" № 5‘2024

К О М П Л Е К С Н А Я Б Е З О П А С Н О С Т Ь , П Е Р И М Е Т Р О В Ы Е С И С Т Е М Ы 113 отсутствие уязвимостей и в программном обес- печении (ПО), и в оборудовании может быть проблематично, особенно в случае, если про- изводитель вообще не уделяет внимания информационной безопасности своей продук- ции. Поэтому следует отдавать предпочтение средствам тех компаний, которые ответственно заботятся о кибербезопасности своей продук- ции, регулярно совершенствуют свои изделия в ответ на постоянно меняющийся ландшафт киберугроз и могут предоставить соответствую- щую документацию. Особое внимание следует уделять киберзащи- щенности точек сопряжения и каналов интегра- ции средств и систем. Такие каналы должны быть закрыты сетевыми экранами и зашифро- ваны (в рамках реализации интеграции и нало- женными средствами). Должны использоваться надежные и сложные в подборе идентификато- ры, пароли и другие ключевые параметры. Доступ одной подсистемы к другой должен осу- ществляться с минимально возможным уровнем полномочий: например, если требуется доступ на чтение данных из кадровой системы, то в рамках соответствующего подключения не должно быть возможности осуществлять запись. Чем компактнее "зоопарк" интегрируемых средств и систем, чем меньшее количество изде- лий и программ разных производителей необхо- димо объединить, тем лучше: тем меньшее количество точек интеграции необходимо защи- тить, тем меньше производителей должны ответ- ственно обеспечить киберзащищенность своих решений, тем проще контролировать кибербе- зопасность всей системы в целом. В идеале было бы вообще использовать единое решение, выби- рая оборудование и программное обеспечение от одного ответственного производителя, сводя потребность в интеграции к минимуму. Такой производитель имеет возможность обеспечить киберзащищенность своего решения "от и до", на всех уровнях, используя единые стандарты безопасности, криптографические протоколы и технологии защиты. Впрочем, лишь немногие производители на рынке уделяют внимание вопросам кибербезопасности и поставляют про- дукцию, которая по своим техническим характе- ристикам в принципе способна противостоять современным киберугрозам. Кроме того, не во всех системах можно ограни- читься решением от одного производителя. В одних случаях у компаний нет всего необхо- димого разнообразия средств. В других – боль- шому количеству заинтересованных сторон уда- ется продвинуть на объект продукцию разных поставщиков. Наконец, иногда заказчик прин- ципиально не хочет "класть все яйца в одну кор- зину". В таких ситуациях лучшее, что можно и нужно сделать, – это обеспечить централизо- ванный контроль за кибербезопасностью на объекте, иметь регламент киберзащиты пред- приятия, привлечь опытных специалистов по информационной безопасности для создания и реализации такого регламента. Необходимо грамотно настроить эшелонированную защиту сетей, внедрить и использовать средства авто- матического мониторинга уязвимостей, обеспе- чить соблюдение цифровой гигиены при работе с ИТ-ресурсами предприятия, провести обуче- ние персонала. Такой комплексный подход дает лучший результат, но может обходиться очень дорого. Поэтому в условиях ограниченного бюджета на самом деле выбор, может, и более дорогого "единого решения" вместо "зоопарка" бюджетных средств и их последующей интегра- ции все равно окажется на круг выгоднее, осо- бенно с учетом перечисленных выше рисков интеграции. Заключение В наше время нельзя не думать о киберугрозах: уязвимость КСБ к кибератакам не только сни- жает физическую безопасность, но и несет огромные риски, материальные, репутацион- ные, юридические и экономические, для пред- приятия в целом. Интеграция же комбинаторно повышает риски киберугроз. Поэтому лучше интегрировать только доверенные киберзащи- щенные средства. Еще лучше не интегрировать вообще, а взять оборудование и программное обеспечение, целую экосистему, от одного про- веренного производителя, продукция которого исходно спроектирована с учетом современных требований по кибербезопасности. Но если интеграция все-таки неизбежна – пусть ее будет меньше, пусть она будет осуществляться под централизованным контролем квалифициро- ванных специалистов по информационной без- опасности. n www.secuteck.ru октябрь – ноябрь 2024 Ваше мнение и вопросы по статье направляйте на ss @groteck.ru Современный уровень киберзащиты при работе с ресурсами и данными систем физической безопасности, а также IT-инфраструктурой предприятий Реклама