Базове пояснення відповідає на питання «що це». Тут відповімо на інше — як воно влаштоване зсередини. Бо за словом стоїть радше концепція, побудована на кількох принципах, аніж набір інструментів.
Кібербезпека: визначення, яке варто знати
Формальне визначення кібербезпеки таке: це стан захищеності життєво важливих інтересів людини, суспільства й держави в кіберпросторі.
Зверніть увагу на ключове слово — стан. Ані «програма», ані «відділ», ані «сертифікат». Стан — це характеристика, яку можна оцінити на конкретний момент, як температуру або рівень пального.
Звідси випливає незручний наслідок: купити стан неможливо. Можна купити фаєрвол, найняти людину, впровадити правила — але захищеність буде результатом усього цього разом, а не окремою покупкою.
Стан кібербезпеки: чому він змінюється щодня
Фраза «стан кібербезпеки» має цілком конкретний зміст: наскільки система захищена зараз — з урахуванням поточних загроз, слабких місць та впроваджених заходів.
Захищеність — річ тимчасова. Ось типові події, після яких вона змінюється тієї ж миті:
- дослідники оприлюднили нову вразливість у вашій CMS — а оновлення ще немає;
- звільнився адміністратор, чиї доступи забули відкликати;
- підрядник отримав тимчасовий доступ до бази й лишив його собі;
- маркетинг підняв новий сайт на окремому хостингу, ІТ про це дізналося згодом;
- бухгалтерка встановила «зручний» застосунок для сканування документів.
Жодна з цих подій зовні не схожа на атаку. Проте кожна змінює картину: з'явилися нові двері, про які ніхто й гадки не має.
Саме тому оцінювання роблять регулярним, а не разовим: раз на квартал або одразу після кожної суттєвої зміни в системах, людях чи підрядниках.
Як виміряти стан кібербезпеки
Найпоширеніша відповідь на питання «як у нас із захистом» — «ну, начебто нормально». Її неможливо ані перевірити, ані порівняти з торішньою. Тому зрілі компанії міряють захищеність цифрами.
Шість показників, доступних будь-кому:
- Покриття другим фактором — частка облікових записів із увімкненою багатофакторною автентифікацією.
- Час установлення критичних оновлень — скільки днів минає від виходу латки до її встановлення.
- Частка активів без власника — сервери й сервіси, за які формально відповідає ніхто.
- Час виявлення — скільки минуло від початку події до моменту, коли її помітили.
- Час відновлення — скільки триває повернення сервісу після збою (перевіряється лише на навчаннях, а не в теорії).
- Частка переходів за посиланням у навчальній фішинговій розсилці.
Показники — лише дзеркало. Зате вони перетворюють розмову з керівництвом із суперечки про відчуття на розмову про динаміку: торік — 40%, зараз — 85%.
Пастка тут одна — показники заради показників. Кількість заблокованих листів чи спрацювань антивірусу виглядає солідно у звіті, проте нічого не каже про захищеність: вона зростає від того, скільки дірок ви закрили, а не від того, скільки разів спрацював фільтр.
Кібератака: визначення й межа з інцидентом
Робоче визначення кібератаки — спрямовані дії в кіберпросторі, метою яких є порушення роботи систем, викрадення, зміна чи знищення інформації або отримання несанкціонованого доступу до неї.
Типові приклади: DDoS, фішинг, програми-вимагачі, використання відомих вразливостей, злам облікових записів.
Важлива межа: кібератака — це дія нападника, а кіберінцидент — уже наслідок, тобто реально порушена робота або витік. Атака може провалитися; інцидент — за визначенням ні. Плутанина тут коштує дорого: якщо звати інцидентом кожне спрацювання антивірусу, реагування знецінюється (див. SIEM і SOC).
Концепція кібербезпеки: ешелонований захист
Головна ідея сучасного підходу проста: єдиного бар'єра, здатного зупинити все, просто немає. Тому захист будують шарами — так, аби подолання одного рівня не означало програшу.
Англійською підхід називають defense in depth, українською — ешелонований, або багаторівневий захист. Рівні:
- Люди. Навчений персонал, який не відкриває підозрілі вкладення, — перший рубіж.
- Правила та порядки. Хто до чого має доступ, як діяти під час інциденту.
- Периметр. Фаєрвол, фільтрація трафіку, протидія DDoS.
- Мережа. Сегментація — аби один заражений комп'ютер не відкривав шлях до всього.
- Кінцеві пристрої. Антивірус, оновлення, контроль конфігурацій.
- Застосунки. WAF, безпечна розробка, керування вразливостями.
- Дані. Шифрування, розмежування доступу, резервні копії.
- Спостереження. SOC та журнали — аби побачити те, що прорвалося крізь попередні сім.
Ключова думка шарів — не дублювання, а різна природа. Фаєрвол і навчений працівник ловлять різні речі; два фаєрволи поспіль — просто подвійні витрати.
Принципи, на яких тримається концепція
- Припускай компрометацію. Питання стоїть інакше: «коли», а зовсім не «чи». Отже, будуй систему так, аби зламали частину, а не все.
- Нульова довіра. Жодного доступу «за замовчуванням» — навіть усередині мережі; кожен запит перевіряють.
- Мінімальні привілеї. Кожен має рівно ті права, які потрібні для роботи, і рівно на той час, поки потрібні.
- Безпека за задумом. Захист закладають на етапі проєктування, а не «прикручують» після запуску.
- Керування ризиками. Спершу захищають найцінніше й найвразливіше, а не все підряд однаково.
Принципи легко переписати в політику — важче витримати. Кожен із них рано чи пізно зіштовхнеться зі зручністю: комусь треба «просто дати доступ», комусь — «тимчасово вимкнути перевірку». Саме в таких епізодах і видно справжню концепцію, а не ту, яку записано в документі.
Три помилки в розумінні концепції
«Нульова довіра — це продукт, його можна купити». Ні, це підхід. Постачальники охоче продають «рішення zero trust», проте суть — у моделі доступу: перевіряти щоразу, довіряти нікому, надавати мінімум.
«Шари — надлишок, ми ж уже витратилися на периметр». Периметр давно перестав бути межею: працівники ходять з дому, дані лежать в оренді, підрядники мають доступ. Захист тепер будують навколо облікового запису та даних, а не навколо офісу.
«Досягнемо потрібного рівня — і закриємо питання». Захищеність — це не вершина, а положення на схилі: щойно зупинилися, починаєте з'їжджати. Нова вразливість, новий сервіс, нова людина — картина вже інша.
Як це виглядає в малій компанії
Концепція обходиться без бюджету корпорації. Мінімальна версія тих самих восьми рівнів:
- люди — година навчання раз на півроку;
- правила — одна сторінка: хто відповідає, кому телефонувати, де копії;
- периметр і мережа — гостьовий Wi-Fi окремо від робочого;
- пристрої — автоматичні оновлення ввімкнено;
- застосунки — сайт та плагіни оновлені;
- дані — копія поза мережею, перевірена відновленням;
- спостереження — сповіщення про вхід із нових пристроїв увімкнені.
Це не «корпоративний рівень». Це той мінімум, після якого масова автоматизована атака проходить повз вас до сусіда.
Порядок теж має значення. Спершу закривають найдешевші рівні з найбільшою віддачею — люди, копії, оновлення, доступи. Дорогі інструменти без цього фундаменту просто дають хибне відчуття спокою: журнали пишуться, сповіщення приходять, а читати їх нікому.