Стройка под защитой: как ИБ помогает девелоперу развивать бизнес

Единый цифровой контур

Для девелоперской компании кибербезопасность — это защита не только офисной сети и корпоративных сервисов, но и цифровых систем на строительных площадках и специализированного программного обеспечения, связанного с технологическими контурами объектов.

Разумеется, ИБ не ограничивается предотвращением только прямых атак на инфраструктуру. Существуют риски компрометации или недостаточной защищённости внешних организаций-партнёров. Нам приходится учитывать безопасность подрядчиков, чтобы выстроить собственную модель защиты, а не рассматривать её исключительно как внешнюю зону ответственности.

В такой среде важно уметь видеть цифровой контур как систему взаимосвязей, а не как набор изолированных сегментов. Поэтому выбор и развитие специальных технических мер исходит прежде всего из особенностей процессов компании, состава внешних взаимодействий и критичности конкретных систем.

Контроль внешних связей

Особенность нашей работы с подрядчиками состоит в том, что нам важны не декларативные требования, а проверяемость. Для компании принципиально иметь возможность получить техническую информацию, если возникает инцидент. Это необходимо для установления обстоятельств и оценки того, затрагивает ли событие нашу собственную инфраструктуру.

Мы не требуем от контрагентов разворачивать у себя полный набор средств киберзащиты, но базовый уровень зрелости обязателен. На стороне подрядной организации должны присутствовать как минимум антивирусные решения, средства предотвращения утечек данных и возможность сбора логов, будь то полноценная SIEM-система или корректная выгрузка журналов событий. Это позволяет в нештатной ситуации оперативно собрать фактуру для расследования и оценки влияния инцидента, а не действовать вслепую.

При этом наличие средств защиты на стороне партнёра вовсе не даёт ему права на прямой и бесконтрольный доступ к нашей среде. Если подрядчику нужно подключиться к инфраструктуре компании, мы заводим его на Jump Server, чтобы контролировать действия в корпоративном контуре.

Чтобы эти правила реально работали, стоит фиксировать их ещё на старте сотрудничества. Так, если у партнёра на этапе входа в проект обнаруживаются пробелы в контуре безопасности или непонимание регламентов, необходимо оформлять требования документально. После этого контрагент должен будет привести всё в порядок, чтобы начать работу.

Безопасность как часть архитектуры

В девелопменте ИБ не может существовать автономно от ИТ-инфраструктуры или навязывать ограничения постфактум. Все решения мы прорабатываем в максимально плотной связке с ИТ-блоком ещё на этапе формирования технического задания. Для этого используется внутренний чек-лист запросов. Мы заранее определяем, как решение выглядит с точки зрения инфраструктуры, в какой сетевой сегмент оно помещается, по каким портам и протоколам пойдёт трафик, а также оцениваем характер передаваемых данных и требуемый уровень их защиты.

Такой параллельный подход позволяет соблюдать баланс между защищённостью и операционной непрерывностью бизнеса. Инструменты ИБ не должны создавать риски простоя или блокировать рабочие процессы компании. Например, при внедрении систем контроля данных мы выбираем режим работы в теневой копии, а не в разрыв трафика: для DLP-системы установка в разрыв повышает нагрузку на команду ИБ и при сбое может создать риск остановки бизнес-операций.

Для крупного девелопера архитектурная связанность важна также и в географическом разрезе. Безопасность строительных площадок — как в Москве, так и на удалённых объектах, например, в Санкт-Петербурге, — централизованно курируется из головного офиса. Информация о событиях и инцидентах поступает в единый центр мониторинга, что позволяет поддерживать единые подходы к контролю инфраструктуры наших офисов и объектов.

Данные и доверие клиентов

Сохранность конфиденциальных сведений — одна из ключевых задач. Речь идёт о защите персональных данных и критически важной информации, перечень которой закреплён нашими внутренними регламентами. Например, типичный сценарий — отправка служебных сведений на личную почту. В таких случаях мы не ограничиваемся формальной фиксацией факта, а выясняем первопричину, добиваемся удаления переданных файлов и направляем сотрудника на повторное изучение регламентов безопасности.

Другой пласт рисков лежит во внешней среде и напрямую влияет на доверие к бренду девелопера. Прежде всего, это создание мошеннических фишинговых сайтов, которые используют имя известной организации, чтобы заманить покупателей и похитить их средства.

Кроме того, сюда можно отнести получение сторонней аналитики и кэша данных, которые продаются на рынке. С их помощью конкуренты пытаются перехватывать входящий интерес и переманивать потенциальных клиентов на свои объекты.

Поскольку подобные инциденты несут угрозу бренду, ИБ важно выстроить взаимодействие с бизнесом, руководителями проектов, юристами. Уже на этапе планирования маркетинговых или коммерческих инструментов мы оцениваем предложения и объясняем, где возникают недопустимые репутационные риски. Бизнес, как правило, учитывает такую аргументацию.

В ситуации когда клиенты обращаются с претензиями, утверждая, что их данные утекли после посещения ресурсов компании, установить реальный внешний источник в открытой сети крайне сложно. В подобных ситуациях мы совместно с юристами проводим расследование внутри своего периметра. Если признаков утечки в корпоративной инфраструктуре не обнаружено, даём официальный ответ об итогах проверки и указываем, что вероятный источник проблемы находится за пределами компании.

Какие технологии используем

Если говорить о конкретных технологиях, для нас важно не собирать набор изолированных инструментов, а последовательно закрывать разные уровни риска.

При внедрении DLP-системы было принципиально сохранить непрерывность рабочих процессов. Поэтому Solar Dozor работает с копией трафика. Система анализирует корпоративные коммуникации и передачу данных, выявляет признаки нарушений политик безопасности и помогает восстановить последовательность событий при расследовании инцидентов. В дальнейшем её возможности планируется расширить модулем Solar DCAP. Он поможет с поиском критически важной информации в файловых хранилищах, сегментацией и администрированием доступа.

Solar webProxy решает другую задачу и работает непосредственно в разрыве трафика. Пользовательский поток собирается со всех объектов, включая стройплощадки, и сводится в центральный офис. Система позволяет инспектировать шифрованный трафик, разграничивать доступ в интернет и блокировать запросы, нарушающие политики безопасности. Модули Core и webCat дают возможность настраивать правила с учётом пользователя, его группы и запрашиваемого интернет-ресурса. В результате нагрузка на NGFW снизилась, а уровень сетевой безопасности повысился.

Вместе Solar Dozor и Solar webProxy уже формируют единый контур кибербезопасности. Следующая задача — выстроить связку SWG- и DLP-систем, чтобы усилить мониторинг трафика и пользовательских запросов и использовать эти сведения как дополнительный источник аналитики для SOC. При этом для нас принципиально не останавливать бизнес-процессы и не увеличивать операционные затраты.

Можно ли перевести защиту в автономный режим?

Развитие генеративного ИИ заставляет нас одновременно формировать правила его безопасного применения и учитывать новые сценарии передачи чувствительных данных. Внешние ИИ-сервисы в периметре компании блокируются с помощью Solar webProxy, однако от самой технологии мы не отказываемся: для сотрудников развёрнута собственная LLM. Доступ к ней организован через внутренний шлюз с токенизацией и анонимайзером, который скрывает чувствительные данные от языковой модели.

Что же касается мнения, будто защиту можно полностью перевести в автономный режим, то, на мой взгляд, исключить участие человека невозможно. Современные системы мониторинга и алгоритмы корреляции событий действительно берут на себя первичный сбор данных и помогают агрегировать подозрительную активность в карточки инцидентов. Однако на практике они не заменяют квалифицированного аналитика при разборе ложных срабатываний и неоднозначных событий.

Устойчивость безопасности обеспечивают именно люди. И речь не только о профильной команде ИБ, но и о цифровой грамотности других сотрудников. Для этого у нас проводятся регулярные обучения, тестирования, имитация фишинговых рассылок. Даже доступ к удалённой работе мы открываем работникам только после проверки знаний внутренних регламентов.

По вопросам глубокого аудита и стресс-тестирования инфраструктуры мы привлекаем внешних специалистов. Автоматизированные проверки полезны для поиска известных и типовых уязвимостей, однако сложные цепочки атак, нестандартную бизнес-логику и фактическую устойчивость цифрового контура должен оценивать именно эксперт.