Единый контроль недостаточен для безопасности конфиденциальных данных

Что произошло

В мире кибербезопасности все чаще признается, что одного решения недостаточно для противодействия сложным угрозам. Последнее и убедительное подтверждение этого подхода пришло от Венкаты Павана Кумара Гуммади, профессионального инженера-программиста компании Broadridge. В видеоанализе, опубликованном Help Net Security, Гуммади подробно объяснил, почему многоуровневая стратегия, известная как «эшелонированная оборона» (defense in depth), жизненно важна для защиты конфиденциальных данных.

Основной аргумент Гуммади заключается в том, что отдельные средства контроля безопасности, такие как шифрование дисков или предотвращение утечки данных (DLP), оставляют пробелы и слабые места, которые злоумышленники могут легко использовать. Злоумышленники добиваются успеха, находя «швы» между этими уровнями, проникая в системы, которые кажутся безопасными. Поэтому создание проактивной и целостной архитектуры безопасности дает гораздо более эффективные результаты, чем реактивные меры. Гуммади предлагает четыре основных уровня, которые работают вместе и охватывают весь жизненный цикл данных, от создания до уничтожения.

Какие данные нуждаются в защите

В основе этой стратегии лежат «конфиденциальные данные», которые она призвана защищать. В исходной статье Гуммади приводит в качестве примеров номера социального страхования (SSN) и номера счетов — типы личной и финансовой информации. Такие данные являются основной целью для кражи личных данных, финансового мошенничества и других киберпреступлений. Если они попадут в руки киберпреступника, последствия могут быть разрушительными как для отдельных лиц, так и для организаций.

Однако понятие конфиденциальных данных не ограничивается этими двумя примерами. С более широкой точки зрения, типы данных, которые компании должны защищать, могут включать:

• Персональные данные (PII): Информация, которая напрямую идентифицирует личность, такая как имя, адрес, номер телефона и дата рождения.
• Финансовые данные: Номера кредитных карт, реквизиты банковских счетов, истории транзакций и инвестиционные портфели.
• Медицинская информация (PHI): Чрезвычайно конфиденциальные данные, такие как история болезни, страховая информация, диагнозы и записи о лечении.
• Интеллектуальная собственность: Коммерческие тайны, заявки на патенты, дизайн продуктов, исходные коды и стратегические бизнес-планы.
• Учетные данные для аутентификации: Имена пользователей, пароли, ключи API и сертификаты безопасности.

Первый шаг стратегии эшелонированной обороны — это полное понимание того, где находятся эти данные, как они используются и кто имеет к ним доступ. Без этого осознания невозможно обеспечить эффективную защиту.

Почему атаки успешны

Согласно анализу Гуммади, основная причина успеха кибератак заключается в том, что организации полагаются на одноуровневые или разрозненные подходы к безопасности. Например, компания может считать себя в безопасности, зашифровав диск, на котором размещена вся ее база данных. Однако это защищает только от физической кражи или несанкционированного доступа к диску. Если злоумышленник получает доступ к базе данных через приложение, которое выглядит как легитимный пользователь, шифрование диска становится бессмысленным, поскольку данные обрабатываются в незашифрованном виде на уровне приложения. Злоумышленник использовал этот «шов» между уровнями.

Аналогичным образом, решение DLP, которое отслеживает только электронную почту, не может предотвратить загрузку данных в облачное хранилище или их копирование на USB-накопитель. Злоумышленники всегда ищут путь наименьшего сопротивления. Каждый пробел в архитектуре безопасности является для них потенциальной точкой входа. Поэтому рассмотрение одного средства контроля как «панацеи» является одним из самых опасных заблуждений в кибербезопасности. Успешные атаки часто нацелены на архитектуры, построенные на этом предположении.

Четыре уровня стратегии эшелонированной обороны

Венката Паван Кумар Гуммади предлагает четырехслойную модель, в которой каждый уровень предназначен для перехвата того, что мог пропустить предыдущий, эффективно устраняя эти уязвимости.

1. Классификация (Classification)

Все начинается со знания ваших данных. Классификация — это процесс маркировки данных в соответствии с их уровнем конфиденциальности. Например, поле, такое как номер социального страхования, может быть помечено как «Совершенно секретно», а внутреннее объявление компании — как «Внутреннее». Эта маркировка позволяет всем последующим средствам контроля безопасности определять, какую политику применять к каким данным. Вы не можете должным образом защитить часть данных, не зная ее ценности. Этот уровень составляет основу стратегии безопасности, и эффективность других уровней напрямую зависит от точности классификации.

2. Токенизация (Tokenization)

Второй уровень включает замену ценных данных бессмысленными случайными строками символов, называемыми «токенами», перед их сохранением в системах. Например, номер кредитной карты заменяется токеном, который имеет тот же формат, но не является реальным номером. Фактические данные хранятся в безопасном «хранилище токенов» (token vault). Таким образом, даже если злоумышленник взломает вашу систему и похитит базу данных, все, что он получит, — это бесполезные токены. Токенизация устраняет внутреннюю ценность данных, делая их непривлекательной целью для злоумышленников. Это критически важная линия защиты, особенно для платежных систем и приложений, хранящих личные данные.

3. Настройка политик предотвращения утечки данных (DLP)

Системы DLP предназначены для предотвращения утечки конфиденциальных данных за пределы организации. Эти системы постоянно отслеживают пути перемещения данных (электронная почта, вложения файлов, облачные сервисы, USB-устройства, печать). Однако ключевой момент, который подчеркивает Гуммади, — это необходимость «настройки» (tuning) этих политик. Плохо настроенная DLP может либо генерировать слишком много ложных тревог, что приводит к усталости команд безопасности (alert fatigue), либо блокировать законные рабочие процессы, снижая производительность. Эффективная DLP должна работать на основе меток классификации данных и интеллектуально блокировать только те перемещения данных, которые представляют реальный риск.

4. Контроль доступа (Access Controls)

Последний уровень защиты управляет тем, кто, когда и как может получать доступ к данным. Современный контроль доступа основан на идентификации и выходит за рамки статических паролей. На этом уровне используются динамические методы аутентификации, такие как краткосрочные токены, сертификаты и многофакторная аутентификация (MFA). В случае компрометации краткосрочные токены становятся бесполезными по истечении срока их действия. MFA предотвращает несанкционированный доступ, даже если пароль украден, требуя второго шага проверки. В сочетании с принципом «наименьших привилегий» (least privilege) этот уровень серьезно ограничивает способность злоумышленника к боковому перемещению внутри сети.

Что говорит эксперт

Гуммади иллюстрирует, как эти уровни работают на практике, на примере анализа случая атаки программы-вымогателя. В этом сценарии каждый уровень играет роль в остановке угрозы, которую пропустил предыдущий. Например, даже если злоумышленнику удается проникнуть в систему, украденные им данные бессмысленны благодаря токенизации. DLP может поднять тревогу, когда он попытается вывести эти данные. Контроль доступа может предотвратить распространение злоумышленника на другие системы. В худшем случае, когда системы зашифрованы, классификация гарантирует, что вы знаете, какие данные являются наиболее важными, что позволяет вам приоритизировать их восстановление.

Урок из этого анализа ясен и прост: «Один контроль никогда не победит, поэтому создавайте глубину целенаправленно и держите восстановление независимым». Это подчеркивает важность не только сосредоточения на предотвращении атаки, но и наличия независимого и надежного плана восстановления для обеспечения непрерывности бизнеса и восстановления данных даже в случае успеха атаки.

Источник

https://www.helpnetsecurity.com/2026/07/23/defense-in-depth-strategy-video/