Люди: самая большая дыра в безопасности
Можно купить лучший антивирус, закрыть все порты и настроить файрвол — и всё равно остаться беззащитным. Потому что самая большая дыра в безопасности — это люди. Ни роутер, ни софт тут ни при чём. И эту дыру нельзя пропатчить. Разберём, почему обучение не спасает и что работает.
Про это говорят каждый день — и каждый день срабатывает
Каждый день в новостях рассказывают, как мошенники обманывают людей по телефону. «Звонок из банка», «безопасный счёт», «сотрудник ФСБ». Об этом твердят по телевизору, в интернете, в банках, на объявлениях в подъездах.
И каждый день люди продолжают отдавать мошенникам деньги. Миллионы рублей. Образованные, умные, взрослые люди, которые сто раз слышали, что так делать нельзя.
А теперь представьте, что эти же люди — ваши сотрудники. Они сидят за вашими компьютерами, у них доступ к вашим данным, к вашей 1С, к вашим файлам, к вашим деньгам. И они точно так же уязвимы.
И эта глава — про самую большую дыру в безопасности. Это не дырявый роутер, не слабый антивирус и не отсутствие файрвола. Это люди.
Про это говорят каждый день — и каждый день срабатывает
Про телефонных мошенников предупреждают без конца и отовсюду: «звонок из банка», «безопасный счёт», «сотрудник ФСБ». Знают про это уже почти все.
И всё равно люди продолжают отдавать деньги — каждый день, в сумме на миллионы. Дело не в том, что предупреждений не слышали. Просто в момент звонка всё, что человек знал, куда-то девается.
И это те же люди, что сидят у вас в офисе. У них доступ к 1С, к файлам, к деньгам компании — а слабое место ровно то же. Самая большая дыра в безопасности — это люди. Ни роутер, ни антивирус, ни файрвол её не закрывают. Дальше разберём, почему так и что с этим делать.
Люди не идеальны — и никогда не будут
Это неудобная, но важная вещь, которую придётся принять. Люди ошибаются постоянно — и это норма, а не исключение.
И ошибаются не «невнимательные» единицы, а вообще все — и рядовые сотрудники, и руководители. Вот четыре промаха, которые случаются в каждой компании буквально каждый день.
Сложный трудно запомнить — значит, будет «123456» или один на все сервисы.
«Ваш счёт заблокирован» — и палец сам тянется открыть, не разглядывая адрес.
«Директор» написал в мессенджере «срочно нужен перевод» — и деньги ушли без звонка.
Нашёл флешку на парковке — и вставил в рабочий компьютер, потому что любопытно.
И причина тут не в глупости и не в безответственности. Просто люди — это люди: торопятся, отвлекаются, устают, держат в голове работу, а безопасность — в последнюю очередь. В спокойной обстановке тот же человек сто раз повторит «нельзя переходить по подозрительным ссылкам». Но в момент, когда он завален делами и ему пишет «директор», срабатывает уже не знание, а рефлекс.
А мошенники именно на этом и играют. Они не ломают компьютер — они торопят, давят авторитетом, пугают («счёт заблокируют»), создают ощущение срочности. Задача одна: чтобы человек не успел подумать и среагировал на автомате. И это работает против кого угодно, независимо от ума и опыта.
Люди не идеальны — и это не изменить
Исходить приходится из простого: человек ошибается регулярно. Это нормально, и на это надо рассчитывать.
И дело не в паре «невнимательных» сотрудников — ошибаются все, включая технически грамотных и руководителей. Причём набор ошибок везде примерно один и тот же.
Стойкий пароль трудно запомнить — в итоге он примитивный или переиспользуется везде.
«Счёт заблокирован» — клик на автомате, без проверки домена и отправителя.
Запрос «от директора» в мессенджере исполняется без верификации по другому каналу.
Найденный USB-накопитель подключают к рабочей машине из любопытства.
А причина — в том, как мы устроены. Когда человек загружен, спешит и делает три дела сразу, он действует на автомате, и о безопасности в этот момент не думает. Тот же сотрудник в спокойной обстановке без запинки перечислит все правила — но в момент атаки срабатывает рефлекс, а знание молчит.
И социальная инженерия бьёт ровно по этим слабостям, а технику обходит стороной. Набор приёмов стандартный: торопят, давят авторитетом, пугают последствиями, не дают времени подумать. Зачем ломать систему через уязвимость, если можно уговорить человека всё сделать самому — добровольно и с точки зрения системы законно.
Как это выглядит в бизнесе
В компании уязвимость людей превращается в конкретные атаки. Вот два самых частых способа.
Покажем на живом примере. В один из магазинов нашего клиента позвонил человек и представился системным администратором компании. Голос уверенный, называет имя директора филиала. Попросил продиктовать пароль от компьютера. Потом — назвать фамилии и телефоны коллег. А потом — передать деньги из кассы курьеру на «корпоративные нужды». И сотрудник чуть не выполнил всё, что просили.
И никакой антивирус от этого не спасёт. Никакой файрвол не поможет. Потому что атака направлена на человека, а не на компьютер. А с точки зрения системы всё выглядит законно: пользователь сам ввёл пароль, сам открыл файл, сам отдал данные.
Как это выглядит в бизнесе
На практике атака на человека идёт двумя основными путями — через фишинг и через звонки или сообщения.
Реальный эпизод из практики. В магазин клиента позвонил человек, представившийся системным администратором компании — уверенно, с упоминанием имени директора филиала. Запросил пароль от компьютера, затем фамилии и телефоны коллег, затем — передачу денег из кассы курьеру на «корпоративные нужды». И сотрудник был близок к тому, чтобы выполнить всю цепочку.
И ни антивирус, ни файрвол тут не помогут: удар идёт по человеку, а система остаётся в стороне. Для инфраструктуры всё выглядит законно — пользователь сам ввёл пароль, сам открыл файл, сам передал данные. От обычной работы технике это не отличить.
Почему обучение не спасает
Семинары, ролики и памятки звучат правильно. Но на практике не работают.
Скажем непопулярную вещь: строить безопасность на обучении сотрудников — наивно. И снова вспомним телефонных мошенников. Людям говорят об этом каждый день, по всем каналам. А деньги всё равно отдают — каждый день кто-то новый. Потому что в момент, когда тебе звонят и давят, ты не вспоминаешь ни семинар, ни ролик, ни памятку. Ты просто реагируешь.
Лучшее обучение — это когда ты лично попался на удочку и столкнулся с последствиями. Но даже это не даёт стопроцентной гарантии: люди попадаются повторно. Поэтому расчёт «мы научим сотрудников, и они перестанут ошибаться» не работает.
И это не значит, что обучение бесполезно — базовую грамотность оно повышает, и хуже от него не будет. Просто на нём одном защиту не построить. Разница примерно такая:
Зависит от человека
Сработает, только если сотрудник в нужный момент вспомнит правило и не поддастся давлению. То есть каждый раз заново и без гарантий.
Работает само
Работает само, даже если человек невнимателен. Нет прав — не установит вредонос, есть регламент — не переведёт деньги по звонку. Защита не зависит от настроения и усталости.
Поэтому и подход другой: не надеяться, что люди перестанут ошибаться, а сразу признать — они будут. И весь вопрос в том, как сделать, чтобы одна ошибка одного человека не убила весь бизнес.
Почему обучение не закрывает проблему
Тренинги и памятки грамотность повышают. Но от ошибок не спасают.
Скажем непопулярную вещь: строить защиту на обучении — ненадёжно. И тот же пример с телефонными мошенниками всё показывает: знают про них практически все, а деньги отдают каждый день. Под давлением и в спешке человек просто реагирует и не вспоминает, что говорили на инструктаже.
Обучение делает ошибки реже, но не убирает совсем — а на критичных вещах нужна надёжность, «реже» тут мало. Отказываться от обучения смысла нет: базовую грамотность оно поднимает. Но роль у него вспомогательная. Это совсем разный уровень защиты:
Срабатывает не всегда
Делает ошибки реже, но не убирает — всё упирается в то, в каком человек состоянии в момент атаки. Никакой гарантии нет.
Срабатывает всегда
Ограничение работает само, что бы человек ни сделал: нет прав или есть обязательная процедура — и опасное действие отсекается на уровне системы, без опоры на сознательность.
Отсюда и правильная постановка задачи: ошибка рано или поздно случится, и система должна это пережить без катастрофы. Обучение идёт в дополнение к ограничениям — помогает, но не заменяет их.
Главное — ограничения и регламенты, а не обучение
Раз на сознательность сотрудников полагаться нельзя, настоящая защита начинается с другого — с ограничений и чётких правил.
Многое из этого мы уже разбирали — в главах про домен, про файлы, про пароли. И вот здесь все эти настройки превращаются в вопрос безопасности: они не дают одной человеческой ошибке стать общей бедой.
Главное — ограничения и регламенты, а не обучение
Раз на сознательность сотрудников полагаться нельзя, защита строится на ограничениях и правилах, а обучение остаётся в помощь.
Большинство этих мер мы уже разбирали — в главах про домен, файловый доступ и пароли. А в разговоре про людей у них появляется второй смысл: они режут цену ошибки, а не удобство — чтобы промах одного человека не превратился в проблему всей компании.
Система должна выдержать ошибку человека
И вот главная мысль всей главы. Нормальная безопасность строится из расчёта, что кто-то обязательно ошибётся, — а не из надежды, что все всё сделают правильно.
Кто-то кликнет по фишинговой ссылке. Кто-то назовёт пароль по телефону. Кто-то откроет вложение, которое не надо было открывать. Это произойдёт — вопрос лишь «когда», а не «если». И задача системы — сделать так, чтобы одна ошибка одного человека не превратилась в катастрофу для всей компании.
Всё это мы уже разбирали в предыдущих главах. И вот здесь видно, как эти вещи работают вместе — как единая система, которая выдерживает человеческую ошибку. Каждый слой страхует на случай, когда предыдущий не сработал.
Система должна выдерживать ошибку
Главный принцип: безопасность строят в расчёте на то, что кто-то обязательно ошибётся, — а не на то, что все будут действовать безупречно.
Кто-то перейдёт по фишинговой ссылке, назовёт пароль или откроет вложение — это вопрос времени, а не «вдруг». Поэтому защиту надо строить так, чтобы одна ошибка не валила всю компанию. Делается это несколькими слоями, где каждый страхует предыдущий на случай, если тот не сработал.
Всё это мы уже разбирали в прошлых главах. И вот здесь видно, как оно складывается в единую защиту — связанную систему, заранее рассчитанную на то, что человек ошибётся.
Наши принципы — применительно к людям
Человеческий фактор закрывается теми же четырьмя принципами — просто применёнными к простому факту: люди ошибаются.
Четыре принципа — применительно к людям
Человеческий фактор закрывается теми же четырьмя принципами.
«А что насчёт …?»
Вопросы про человеческий фактор, которые задают чаще всего.
Чем меньше компания, тем больнее по ней бьёт одна ошибка. У большой фирмы есть запас прочности и отдельные айтишники. А в маленькой один кликнувший по фишингу бухгалтер может остановить вообще всё.
И «все свои» тут не защита. Мошенникам неважно, большая вы компания или нет — атаки массовые и автоматические, письма и звонки рассылают всем подряд. Так что базовые ограничения маленькой компании окупаются даже быстрее — терять ей нечего.
Если ограничения мешают работе — значит, права выданы криво, и проблема в настройке, а не в самих ограничениях. Правильно настроенные права режут лишнее и оставляют нужное: у человека есть доступ ко всему, что требуется для его задач, и нет доступа к чужому.
Вариант «дать всем всё, чтобы не жаловались» балансом только кажется — по сути это отказ от безопасности. Нормальный путь — один раз аккуратно настроить права под реальные роли. Тогда и работать не мешает, и ошибка одного не кладёт всех. А если у сотрудника действительно появилась новая задача, для которой нужен доступ, — его спокойно выдают. Это вопрос пары минут, а не повод раздавать всем права «на будущее». Кстати, чаще всего за жалобой стоит не желание получить больше прав, а раздражение от того, что приходится каждый раз просить, — и лечится это понятной процедурой запроса доступа, а вовсе не снятием ограничений.
Полностью — нет. Человек всегда останется в системе, а значит, останется и возможность ошибиться. Обещания «поставьте нашу программу и забудьте про человеческий фактор» — это маркетинг.
Но можно резко сузить, что человек физически способен сделать не так. Нет прав поставить программу — не поставит вредонос. Нет доступа к чужим папкам — не удалит их по ошибке. Техника человека не отменяет, она снижает цену его промаха.
Отдельный специалист по безопасности маленькой компании и не нужен. Всё перечисленное — права доступа, регламенты, запрет на установку программ, бэкапы, двухфакторка — это часть нормального ИТ-сопровождения, а не отдельная дорогая должность.
То есть это настраивается на том же этапе, что и вся остальная инфраструктура. Если ИТ ведут грамотно, безопасность закладывается сразу — и её не приходится потом докупать отдельно и задорого. Больше того: отдельный «безопасник» без нормально настроенной инфраструктуры всё равно ничего не сделает — ему просто не на что опереться. Сначала должны быть выстроены базовые вещи: домен, права, бэкапы, разделение сети. А это и есть обычная работа по сопровождению, которую мы и берём на себя. Выделенная служба безопасности нужна уже крупным компаниям — а малому бизнесу важнее, чтобы фундамент был сделан правильно.
Это самый опасный случай: у кого больше всего прав — у того и ошибка дороже всего. Если директор сидит под полным админом и кликнет по фишингу, пострадает вообще всё, а не его отдельный участок.
Поэтому правила должны касаться всех, включая руководство. Даже директору не стоит работать каждый день под учёткой с максимальными правами, а переводы и важные операции — проводить через ту же процедуру, что и все. Иначе самая большая дыра остаётся на самом верху. Тут есть психологический момент: руководителю часто кажется, что правила — это для сотрудников, а ему «по статусу положено» иметь полный доступ ко всему. Но злоумышленнику как раз и нужен тот, у кого прав больше всех — именно директоров и владельцев выбирают целью самых тщательно подготовленных атак. Так что ограничения для руководства вообще не про недоверие — они защищают самый ценный доступ в компании.
Первое и главное — не ругать так, чтобы человек начал скрывать. Если за ошибку «казнят», следующий промах просто спрячут — и вы узнаете о проблеме, когда будет поздно. Сотрудник должен спокойно прийти и сказать «кажется, я накосячил».
Дальше — по ситуации: сразу сообщить тем, кто ведёт ИТ, сменить засвеченный пароль, проверить, что успели сделать с доступом, при необходимости отключить учётку. Чем быстрее сообщили — тем меньше последствий. Культура «сказал сразу» защищает лучше, чем требование «не ошибайся».
Чтобы в нужный момент не растеряться, стоит заранее договориться о простом порядке действий. Если назвали или ввели пароль — сразу сменить его везде, где он использовался (и вот почему нельзя использовать один пароль на всё — меняли бы один, а не десять). Если кликнули по ссылке или открыли вложение — отключить компьютер от сети и позвать тех, кто ведёт ИТ, не продолжая на нём работать. Если успели перевести деньги — немедленно звонить в банк, иногда платёж ещё можно остановить.
И самое важное на будущее: этот порядок должен быть где-то записан и известен сотрудникам заранее — кому звонить, что делать в первые минуты. В момент паники человек не вспомнит, что надо было сделать, если ему никто этого не объяснял. Поэтому короткая понятная инструкция «что делать, если кажется, что тебя взломали» полезнее любого часового семинара про безопасность.
Частые вопросы и уточнения
Что чаще всего уточняют про человеческий фактор.
Чем меньше компания, тем дороже ей обходится одна ошибка: запаса прочности нет, выделенного айтишника часто тоже. Взлом всего одной учётки в такой ситуации может остановить вообще всю работу.
И то, что «все свои», ничего не меняет: массовые атаки (фишинг, звонки мошенников) не смотрят на размер компании — рассылку шлют всем подряд. Базовые ограничения малому бизнесу окупаются как раз быстрее — именно потому, что запаса прочности у него нет.
Если ограничения мешают работать — значит, права настроены криво, а не то, что ограничения сами по себе плохи. Правильно выданные права закрывают всё, что нужно для работы, и отрезают лишнее: доступ есть к тому, что требуется, и нет к тому, что не требуется.
Подход «выдать всё, чтобы не возникало вопросов» компромиссом не является — это отказ от самой модели. Нормальный путь — один раз аккуратно настроить права под реальные роли: и работать не мешает, и ошибка одного остаётся в пределах его участка. Появилась новая задача — доступ под неё выдают точечно, по запросу. Это пара минут, а не повод заранее раздавать всем права «на всякий случай». На практике значительная часть жалоб вызвана не нехваткой прав как таковой, а неудобством процедуры запроса. Лечится это понятным порядком выдачи доступа — ясно, к кому идти и как быстро решат, — а не тем, чтобы ослабить сами ограничения.
Полностью — нет. Пока в процессе есть человек, есть и возможность ошибиться. Обещания «поставьте наш продукт и забудьте про человеческий фактор» — это маркетинг, не более.
А вот что реально можно — это сузить круг того, что человек вообще способен сделать не так: нет прав на установку — не запустит вредонос, нет доступа к ресурсу — не сможет его испортить. Техника человека не убирает, она снижает цену его ошибки.
Отдельный безопасник малому бизнесу и не нужен. Всё перечисленное — права доступа, регламенты, запрет установки программ, бэкапы, 2FA — это часть обычного ИТ-сопровождения, а не отдельная должность.
Всё это настраивается на том же этапе, что и остальная инфраструктура. Если ИТ ведут грамотно, базовая безопасность заложена сразу — и отдельного дорогого человека нанимать не нужно. Больше того — отдельный безопасник без нормально настроенной инфраструктуры всё равно бесполезен, ему просто не на что опереться. Сначала должен быть порядок в базе: домен, права, сегментация сети, бэкапы, журналы — а это работа ИТ-сопровождения. Отдельная служба безопасности оправдана уже на большем масштабе или когда этого требует закон — а малому бизнесу важнее, чтобы правильно был сделан фундамент.
Это самый опасный случай: чем больше у человека прав, тем дороже его ошибка. Если руководитель работает под учёткой с полными правами и переходит по фишингу — под удар попадает вся система, а не один участок.
Вывод простой: правила касаются всех, включая руководство. Повседневная работа — без максимальных прав, важные операции — через ту же процедуру согласования, что и у всех. Иначе самая большая дыра остаётся на самом верху. Именно поэтому за руководителями и владельцами охотятся отдельно — их учётки дают максимум доступа, если атака удалась. Отсюда и практика: отдельная учётка с повышенными правами для административных задач, не та, под которой работают каждый день, обязательная двухфакторка на ней, и те же правила согласования, что и для остальных. Любое исключение «для первого лица» создаёт ровно ту дыру, через которую ломают всю компанию.
Первое и главное — не кидаться наказывать. Если за ошибку «казнят», следующий раз её просто скроют — а скрытый инцидент обходится дороже всего. Сотрудник должен спокойно прийти и сказать «кажется, я накосячил», и чем раньше — тем лучше.
Дальше по делу: сообщить тем, кто ведёт ИТ, сменить засвеченный пароль, посмотреть, что успели сделать под этим доступом, при необходимости отключить учётку и проверить соседние системы. Чем быстрее среагировали — тем меньше последствий. Культура «сказал сразу» защищает лучше, чем требование «не ошибайся».
Простой план действий лучше продумать заранее. Засветили пароль — сразу сменить его везде, где он использовался (и вот почему один пароль на всё — плохо: пришлось бы менять десять, а не один). Запустили подозрительное вложение — отключить компьютер от сети и не работать на нём до разбора. Ушёл перевод — как можно быстрее звонить в банк, иногда платёж ещё реально остановить.
И главное — этот порядок должен быть записан и известен сотрудникам заранее: кому звонить, что делать в первые минуты. В стрессе человек действует по заранее понятному сценарию, а не соображает на ходу. Короткая инструкция «что делать, если кажется, что тебя взломали» на практике полезнее длинного теоретического тренинга — потому что работает именно тогда, когда ошибка уже случилась.
Построим защиту, которая держит ошибку
Настроим права по ролям, регламенты для критичных операций, запрет на установку программ, сегментацию сети, бэкапы и двухфакторку. Чтобы одна ошибка одного сотрудника не превратилась в катастрофу для всей компании.
Система, устойчивая к ошибке
Выстроим защиту слоями: разграничение прав по ролям, регламенты для критичных операций, запрет установки ПО, сегментацию сети, бэкапы и 2FA. Цель — чтобы единичная человеческая ошибка не приводила к компрометации всей инфраструктуры.