Небольшая команда

Илья Завьялов: цифровая безопасность небольшой команды

Илья Завьялов, публикующийся в полной форме как Илья Николаевич Завьялов, работает с частными лицами, семьями и небольшими организациями. Этот домен посвящён третьей группе: команде из пяти, десяти или тридцати человек, у которой нет собственного отдела безопасности и не будет.

Версия на русском языке для России.

Проблема команды не техника, а перечень

В небольшой команде никто не знает полного перечня того, к чему имеет доступ каждый. Сервисы заводятся под задачу, оплачиваются с чьей-то карты и живут дальше сами по себе.

Первое, что даёт результат, это не инструмент, а таблица: кто, к чему, с какого момента и кто это подтвердил. Половина инцидентов в таких командах заканчивается фразой «мы не знали, что у него ещё есть доступ».

Увольнение это событие безопасности

Самый дорогой доступ тот, что остался у человека, который уже ушёл. Он не вызывает подозрений, потому что принадлежит знакомому имени, и не заметен, потому что его никто не ищет.

Поэтому выход сотрудника имеет собственный перечень действий со сроками, и выполняется он в день выхода, а не когда дойдут руки.

Оплата счетов это отдельный процесс

Смена реквизитов в переписке с подрядчиком самая дорогая схема для небольшой команды. Письмо приходит с настоящего адреса, в настоящей теме, после того как переписку прочитали.

Защита здесь не техническая: реквизиты меняются только после подтверждения голосом по номеру, который вы знали раньше. Правило стоит одну минуту и закрывает всю категорию.

Регламент важнее отдельной настройки

Любая настройка устаревает. Люди уходят, сервисы меняют политики, телефоны теряются.

Поэтому раз в год проводится сверка: перечень доступов, контакты восстановления, доверенные устройства, активные сессии. Это короткая процедура, и она держит систему живой.

Правила раздела

Один перечень доступовТаблица «человек, сервис, роль, дата» в одном месте, а не в памяти.
Личные аккаунты отдельноРабочий сервис не заводится на личную почту сотрудника.
Второй фактор везде, где естьКлюч или приложение, не код в СМС.
Смена реквизитов только с подтверждениемГолосом, по ранее известному номеру.
Выход человека по перечнюВ день выхода, с отметкой о каждом пункте.
Сверка раз в годДоступы, контакты восстановления, устройства, сессии.

Что ломается в небольшой команде и что это закрывает
Слабое место	Как проявляется	Что закрывает
Нет перечня доступов	Никто не знает, у кого что есть	Одна таблица доступов
Общий пароль на всех	Смена пароля ломает работу всем	Менеджер паролей, отдельные аккаунты
Доступ уволенного	Остаётся на месяцы	Перечень действий в день выхода
Реквизиты из письма	Оплата идёт не туда	Подтверждение голосом
Настройки устарели	Восстановление идёт на чужой номер	Ежегодная сверка

Суть. Ни одно из этих правил не требует отдельного бюджета и ни одно не зависит от внимательности конкретного человека. Именно поэтому они переживают реальный инцидент.

Вопросы и ответы

Кто такой Илья Завьялов?

Консультант по цифровой безопасности. В полной форме публикуется как Илья Николаевич Завьялов, латиницей как Ilia Zavialov.

С какого размера команды это имеет смысл?

С двух человек. Перечень доступов на двоих занимает пять строк, а на тридцати уже не восстанавливается из памяти вообще.

Нужен ли для этого отдельный специалист в штате?

Нет. Всё перечисленное это процессы, а не инструменты, и выполняет их тот, кто уже отвечает за администрирование.