Артық шығынсыз киберқауіпсіздік: орта бизнеске шын мәнінде не қажет?

Бизнесіңізді қалыпты деңгейде қорғау үшін міндетті түрде ондаған мың доллар жұмсаудың қажеті жоқ. Бірақ бірнеше тегін құрал барлық жағдайдан қорғайды деп есептеу де дұрыс емес.

Ірі банк, телеком-оператор немесе мемлекеттік кәсіпорын үшін жағдай басқаша: ақпараттық қауіпсіздік бойынша жеке бөлімдер, мамандар, күрделі инфрақұрылым және соған сәйкес бюджет бар. Ал орта бизнестің жағдайы басқа. Мұнда көбіне киберқауіпсіздік бойынша үлкен бөлім болмайды, ал шешімдерді компания иесі, IT-директор немесе басшы қабылдайды.

Негізгі сұрақ әлдеқайда қарапайым: біз нақты нені қорғауымыз керек және оған қанша қаражат жұмсау орынды?

Өз аудитіңіз: нені қорғау керек

Әр компанияның тәуекелі әртүрлі.

Интернет-дүкен. Ең осал тұсы — сайт пен сатып алушылардың деректері. Егер қызу сауда кезеңінде сайт бір күнге істен шықса, компания сатылымнан айырылады. Ал клиенттердің деректері таралып кетсе, беделге нұқсан келіп, түрлі талаптар туындауы мүмкін. Сондықтан бірінші кезекте сайтты, деректерді және оларға қолжетімділікті қорғау қажет.

Өндірістік компания. Ең осал тұсы — ішкі жүйелер мен қашықтан қол жеткізу. Өндірістік бағдарламадағы ақау немесе бөгде адамның серверлерге қол жеткізуі сайттың тоқтап қалуынан әлдеқайда қымбатқа түсуі мүмкін. Мұнда корпоративтік желіні, екі факторлы аутентификацияны және резервтік көшірмелерді қорғау маңызды.

Заңгерлік немесе консалтингтік компания. Ең осал тұсы — құжаттар мен хат-хабарлар. Келісімшарттардың немесе клиентпен жүргізілген келіссөздердің сыртқа шығуы жаңа келісімшарттардан айырылуға әкелуі мүмкін. Сондықтан бірінші кезекте корпоративтік поштаны, қолжетімділік құқықтарын және резервтік көшірмелерді қорғау қажет.

Үш түрлі бизнес — қорғаудың үш түрлі жиынтығы. Сондықтан олардың барлығына бірдей қаражат жұмсаудың қажеті жоқ. Бәрін мына қарапайым сұрақтан бастау керек: егер маңызды жүйе жұмысын тоқтатса немесе ақпарат бөгде адамның қолына түссе, бизнес үшін ең ауыр салдар қандай болады?

Бизнеске арналған қарапайым матрица

Бұл жерде маңызды қағида бар: бәрін қарапайым нәрселерден бастау керек.

Қарапайымнан бастаңыз

Арнайы жүйелер мен күрделі қауіпсіздік инфрақұрылымын бизнеске олар шынымен қажет болғанға дейін кейінге қалдыруға болады. Көптеген компаниялар үшін киберқауіпсіздікті базалық баптаулардан бастаудың өзі жеткілікті:

• екі факторлы аутентификация;
• бірегей құпиясөздер және қолжетімділікті басқару;
• резервтік көшірмелер;
• бағдарламаларды уақтылы жаңарту;
• бұрынғы қызметкерлердің қолжетімділігін өшіру;
• қызметкерлердің компьютерлерін қорғау;
• қызметкерлерді алаяқтық хаттар мен сілтемелерді тануға үйрету.

Бұл шаралар арнайы жабдыққа қарағанда әлдеқайда арзан, бірақ кең таралған көптеген мәселелердің алдын алуға мүмкіндік береді. Сондықтан киберқауіпсіздікті кезең-кезеңімен құрған дұрыс.

Бизнес өскен сайын жаңа міндеттер пайда болады. Мысалы, кеңейтілген құқықтары бар пайдаланушыларды, әсіресе жүйелік әкімшілерді, бөлек бақылау қажет. Өйткені мұндай есептік жазбаның бұзылуы елеулі салдарға әкелуі мүмкін.

Сондай-ақ тек белгілі шабуылдарды ғана емес, әдеттен тыс белсенділікті де бақылау маңызды: жүктеменің күрт өсуі, сұраныстардың көп болуы, пайдаланушылардың әдеттен тыс әрекеттері немесе деректерге жаппай қол жеткізу әрекеттері.

Егер бизнес өсіп, күрделі IT-инфрақұрылым пайда болса, трафик көлемі артса немесе жұмыстың тоқтап қалуы қымбатқа түссе — қауіпсіздікке жұмсалатын шығын да соған сәйкес өсуі керек.

Сайтты қорғау

Интернет арқылы белсенді жұмыс істейтін компания үшін алғашқы арнайы міндеттердің бірі — өз сайтын қорғау. Біреу осалдықты табуға немесе әкімшілік панельге қол жеткізуге тырысуы мүмкін. Тағы бір нұсқа — сайтты қолжетімсіз етуге бағытталған DDoS-шабуыл.

Бұл ретте DDoS — тек өте көп сұраныс жіберу деген сөз емес. Шабуыл желі арнасын, серверлерді немесе желілік инфрақұрылымды шамадан тыс жүктейтін үлкен көлемдегі жасанды трафикті де қалыптастыруы мүмкін. Сондықтан қорғаныс құралын таңдағанда сұраныстардың қарқындылығын да, трафик көлемін де ескеру қажет.

Бұрын мұндай мәселелерден қорғану үшін компаниялар арнайы жабдық сатып алып, оны өздерінің дата-орталығына орнататын. Бүгінде бұл жалғыз нұсқа емес. Трафикті алдымен арнайы бұлтты сервис арқылы өткізуге болады. Ол сұраныстарды тексеріп, күдіктілерін сүзгіден өткізіп, қалыпты трафикті сайтқа жібереді.

Бұл ретте компанияға серверлер сатып алудың, күрделі жабдық орнатудың немесе осы міндет үшін жеке инфрақұрылым құрудың қажеті жоқ.

Осындай сервистердің ең танымалдарының бірі — Cloudflare. Оның мүмкіндіктеріне DDoS-шабуылдардан қорғау, зиянды трафикті сүзу, CDN, SSL және сайттарды қорғау мен жылдамдатудың басқа да функциялары кіреді.

Маңызды жайт: Cloudflare сайт пен интернет-трафикті қорғайды. Егер мәселе қызметкердің компьютерінде, корпоративтік поштада немесе ішкі желіде болса — сайтты қорғау бұл мәселені шешпейді. Бұл — қауіпсіздіктің бір деңгейі ғана. Ол компанияның бүкіл киберқауіпсіздігін алмастырмайды.

Бұл қанша тұрады?

Cloudflare-де тегін тариф бар. Ақылы Pro тарифі жылдық төлем кезінде айына 20 долларды (ай сайынғы төлем кезінде 25 доллар), ал Business тарифі айына 200 долларды (ай сайынғы төлем кезінде 250 доллар) құрайды. Келісімшарттық деңгейдің құны жеке есептеледі.

Яғни шағын немесе орта сайт үшін мұндай қорғаныстың базалық деңгейі жылына ондаған мың доллар емес, жүздеген доллар тұруы мүмкін. Ал бұл өзіңізге қарағанда ондаған есе үлкен инфрақұрылымға есептелген жабдықты тек «қорғаныс болсын» деп сатып алғаннан әлдеқайда орынды болуы мүмкін.

Алайда баға жалғыз критерий болмауы керек. Таңдалған сервис нақты қандай мәселені шешетінін түсіну маңызды.

Қарапайым шешім жеткіліксіз болған кезде

Бірнеше кеңсесі, өз серверлері, ондаған немесе жүздеген қызметкері, қашықтан жұмыс істейтін пайдаланушылары, бірнеше корпоративтік жүйесі, клиенттердің үлкен көлемдегі деректері, әртүрлі қосымшалар арасындағы интеграциялары және жұмыстың тоқтап қалуы қымбатқа түсетін компанияны елестетейік.

Мұнда сайтты қорғаудың өзі жеткіліксіз. Ішкі инфрақұрылымды да қорғау қажет: кімнің қандай жүйелерге қолжетімділігі бар, қызметкерлер сырттан қалай қосылады, кеңейтілген құқықтары бар пайдаланушылар қандай әрекеттер орындайды, күдікті белсенділік байқалған жағдайда не болады, компания мәселені қалай анықтайды және жұмысты қаншалықты жылдам қалпына келтіре алады.

Дәл осы жерде тек қорғаныс қана емес, инфрақұрылым ішінде болып жатқан жағдайды тұрақты бақылау қажеттілігі пайда болады.

Дәл осы жерде шығындардың келесі деңгейі басталады.

F5, A10 және Radware

F5, A10 Networks және Radware — интернет-қосымшаларды жеткізуге, олардың қолжетімділігі мен қауіпсіздігін қамтамасыз етуге маманданған технологиялық компаниялар. Олардың шешімдері серверлер арасындағы жүктемені бөлуге, қосымшаларды шабуылдардан қорғауға және үлкен көлемдегі трафик кезінде сервистердің тұрақты жұмысын қамтамасыз етуге көмектеседі.

F5 — америкалық компания, A10 Networks — америкалық компания, ал Radware — израильдік компания. Бірақ мұндай шешімдер басқа нарықтарда да бар.

Ресейде веб-қосымшаларды қорғау, DDoS-шабуылдардан қорғау және желілік инфрақұрылымға арналған отандық өнімдер дамып келеді. Мысалы, ресейлік Angie Software компаниясы жүктемені теңестіруге, желілік трафикті басқаруға және жоғары қолжетімділікті қамтамасыз етуге арналған Angie ADC шешімін дамытады. Қытайда да желілік инфрақұрылым және қауіпсіздік саласында ірі жеткізушілер бар, олардың қатарында Sangfor бар.

Бұл компаниялардың өнімдік портфелі бір-бірінен ерекшеленеді. Сондықтан елдер мен өндірушілерді тұтастай салыстырғаннан гөрі нақты міндеттерді салыстырған дұрыс: сайтты қорғау, DDoS-шабуылдардан қорғау, жүктемені теңестіру, қосымшаларды немесе корпоративтік желіні қорғау.

Мұндай мамандандырылған платформалар әсіресе күрделі желілік және қолданбалы инфрақұрылымы бар компанияларға қажет. Бірақ орта бизнеске мұндай жүйе әрдайым қажет емес. Егер компанияда корпоративтік сайт, бірнеше сервер және бірнеше ондаған қызметкер болса, тек техникалық мүмкіндігі жоғары болғаны үшін ірі оператор немесе үлкен дата-орталық деңгейіндегі инфрақұрылымды сатып алу — бизнеске әзірге қажет емес мүмкіндіктер үшін артық төлеу деген сөз.

Артық төлей бастағаныңызды қалай түсінуге болады?

Киберқауіпсіздікте мынадай қақпанға түсу оңай: «Шешім қымбат болса, демек ол жақсырақ қорғайды».

Баға мен нақты қорғалғандық деңгейінің арасында тікелей байланыс жоқ. Өте үлкен көлемдегі трафикті өңдей алатын қымбат жабдық сатып алып, оның мүмкіндіктерінің екі пайызын ғана пайдалануға болады. Бірнеше арнайы жүйе сатып алып, оларды дұрыс баптап, бақылап отыратын маман болмауы да мүмкін.

Нәтижесінде компания көп ақша жұмсайды, бірақ нақты қорғаныс деңгейі күткендей жоғары болмайды. Қарапайым тест бар: егер сіз сатып алғалы отырған жүйе қандай нақты мәселені шешетінін түсіндіре алмасаңыз, оны сатып алуға әлі ерте болуы мүмкін.

• «Бізге ең қуатты firewall керек» — мәселені дұрыс қою емес.
• «Бізге 200 қызметкердің қашықтан қолжетімділігін және бірнеше ішкі серверді қорғау керек» — бұл әлдеқайда нақты міндет.
• «Бізге сайтты шабуылдардан қорғап, жоғары маусым кезінде оның қолжетімсіз болуына жол бермеу керек» — одан да нақты.

Алдымен тәуекел анықталады, содан кейін технология таңдалады.

Негізгі қағида

Киберқауіпсіздікті «қор үшін» сатып алмаңыз. Алдымен төрт сұраққа жауап беріңіз:

• Бизнес үшін не маңызды?
• Егер бұл жұмысын тоқтатса, не болады?
• Қандай қауіптердің туындау ықтималдығы жоғары?
• Тоқтап қалу немесе деректердің таралып кетуі қаншаға түседі?

Содан кейін ғана технологияны таңдаңыз. Бір бизнес үшін бірнеше базалық құрал мен сайтты бұлт арқылы қорғау жеткілікті болуы мүмкін. Екіншісіне толық корпоративтік қауіпсіздік инфрақұрылымы қажет болады. Ал F5, A10, Radware деңгейіндегі немесе оларға ұқсас шешімдер бизнес олар әзірленген міндеттерге шынымен жеткен кезде ғана орынды.

Жақсы киберқауіпсіздік — технологиялардың максималды саны емес. Бұл бизнеске әзірге қажет емес нәрсеге артық төлемей, жеткілікті деңгейде қорғану.

RD media дайындады

---

Дереккөздер:

• Cloudflare — тарифтер және мүмкіндіктер: https://www.cloudflare.com/plans
• F5 — Application Delivery and Security Platform: https://www.f5.com/
• A10 Networks — Thunder ADC: https://www.a10networks.com/
• Radware — Application Delivery and Protection: https://www.radware.com/
• Angie Software — Angie ADC: https://en.angie.software/
• Sangfor Technologies — компания: https://en.wikipedia.org/wiki/Sangfor_Technologies