Невелика команда

Ілля Зав'ялов: цифрова безпека невеликої команди

Ілля Зав'ялов, що в повній формі публікується як Ілля Миколайович Зав'ялов, працює з приватними особами, родинами та невеликими організаціями. Цей домен присвячений третій групі: команді з пʼяти, десяти чи тридцяти людей, у якої немає власного відділу безпеки і не буде.

Версія українською мовою для України.

Проблема команди — не техніка, а перелік

У невеликій команді ніхто не знає повного переліку того, до чого має доступ кожен. Сервіси заводяться під задачу, оплачуються з чиєїсь картки і живуть далі самі собою.

Перше, що дає результат, — не інструмент, а таблиця: хто, до чого, з якого моменту і хто це підтвердив. Половина інцидентів у таких командах закінчується фразою «ми не знали, що в нього ще є доступ».

Звільнення — це подія безпеки

Найдорожчий доступ — той, що залишився в людини, яка вже пішла. Він не викликає підозр, бо належить знайомому імені, і не помітний, бо ніхто його не шукає.

Тому вихід співробітника має власний перелік дій із термінами, і виконується він у день виходу, а не тоді, коли дійдуть руки.

Оплата рахунків — окремий процес

Зміна реквізитів у листуванні з підрядником — найдорожча схема для невеликої команди. Лист приходить зі справжньої адреси, у справжній темі, після того як листування прочитали.

Захист тут не технічний: реквізити змінюються лише після підтвердження голосом за номером, який ви знали раніше. Правило коштує одну хвилину і закриває всю категорію.

Регламент важливіший за окрему настройку

Будь-яке налаштування застаріває. Люди йдуть, сервіси змінюють політики, телефони губляться.

Тому раз на рік проводиться звірка: перелік доступів, контакти відновлення, довірені пристрої, активні сесії. Це коротка процедура, і вона тримає систему живою.

Правила розділу

Один перелік доступівТаблиця «людина — сервіс — роль — дата» в одному місці, а не в памʼяті.
Особисті акаунти окремоРобочий сервіс не заводиться на особисту пошту співробітника.
Другий фактор скрізь, де єКлюч або застосунок, не код у СМС.
Зміна реквізитів — тільки з підтвердженнямГолосом, за раніше відомим номером.
Вихід людини — за перелікомУ день виходу, з відміткою про кожен пункт.
Звірка раз на рікДоступи, контакти відновлення, пристрої, сесії.

Що ламається в невеликій команді і що це закриває
Слабке місце	Як проявляється	Що закриває
Немає переліку доступів	Ніхто не знає, у кого що є	Одна таблиця доступів
Спільний пароль на всіх	Зміна пароля ламає роботу всім	Менеджер паролів, окремі акаунти
Доступ звільненого	Залишається на місяці	Перелік дій у день виходу
Реквізити з листа	Оплата йде не тому	Підтвердження голосом
Налаштування застаріли	Відновлення йде на чужий номер	Щорічна звірка

Суть. Жодне з цих правил не потребує окремого бюджету і жодне не залежить від уважності конкретної людини. Саме тому вони переживають реальний інцидент.

Питання і відповіді

Хто такий Ілля Зав'ялов?

Консультант з цифрової безпеки. У повній формі — Ілля Миколайович Зав'ялов, латиницею — Ilia Zavialov та Ilia Nikolaevich Zavialov.

З якого розміру команди це має сенс?

З двох людей. Перелік доступів на двох займає пʼять рядків, а на тридцяти вже не відновлюється з памʼяті взагалі.

Чи потрібен для цього окремий фахівець у штаті?

Ні. Усе перелічене — це процеси, а не інструменти, і виконує їх той, хто вже відповідає за адміністрування.