 |
ГИГАНТ — Компьютерные системы о безопасности работы с контрагентами
Игорь Юрин, технический директор, руководитель направления цифровизации и цифровой трансформации, «ГИГАНТ — Компьютерные системы», рассказал о том, что Zero Trust в 2026 году — это уже не тренд, а база, без которой работать с подрядчиками просто опасно. А также о том, как не дать атаке расползтись по всей инфраструктуре, если контрагента всё-таки взломали.
— Какую роль в защите от Supply Chain-атак сегодня играют принципы Zero Trust, и где компании чаще всего допускают ошибки при их внедрении?
По опыту наших инженеров по информационной безопасности, принципы Zero Trust являются фундаментом защиты от атак на цепочки поставок. Этот подход изначально задает правильную логику: никому не доверять по умолчанию и проверять каждый запрос, включая обращения из внутренней сети.
Частая ошибка - воспринимать Zero Trust как отдельный инструмент, который достаточно приобрести и настроить. Для его внедрения необходимо понимать структуру взаимодействия компании со всеми партнерами, контролировать предоставляемые им права и регулярно пересматривать доступы. Помним, “кибербезопасность - не набор инструментов и не одноразовая процедура, а непрерывный процесс контроля и обеспечения информационной безопасности”.
— Какие технические механизмы позволяют предотвратить развитие атаки внутри компании, если злоумышленник получил доступ через подрядчика?
Если злоумышленник уже получил доступ к инфраструктуре, сдержать распространение атаки позволяет многоуровневая эшелонированная защита. В своих проектах мы, как правило, используем решения нескольких разработчиков и объединяем сильные стороны разных продуктов.
Для критических информационных систем необходимы разделение сред, контейнеризация инфраструктуры и микросегментация сети с помощью VLAN. Программные пакеты и файлы следует предварительно проверять в песочнице, на цифровом двойнике инфраструктуры или ее отдельного сегмента. Также применяются инструменты: поведенческий анализ, непрерывная верификация, контроль целостности и цифровых подписей, внутренние доверенные репозитории обновлений.
Отдельное значение имеют принцип наименьших привилегий и управление доступами с помощью IAM. При этом важно совмещать технические механизмы в связке с организационными мерами, это значительно повышает эффективность защиты.
— Какой минимальный набор требований к подрядчикам стоит включать в договоры и политики ИБ, чтобы снизить риск Supply Chain-атак?
Идеальный сценарий для постоянных партнеров - единая корпоративная политика, включающая требования по обеспечению информационной безопасности. Такой подход доступен прежде всего крупному зрелому бизнесу, который может внедрить эту политику и потребовать ее соблюдения от ключевых партнеров и поставщиков.
В остальных случаях четкие требования к подрядчику необходимо заранее закрепить в договорах и соглашениях. Одновременно следует определить механизмы контроля: что именно будет проверяться, какие подтверждения должен предоставить подрядчик и с какой периодичностью будут проводиться проверки. Без этого требования останутся только декларацией.
— Как проверить, что подрядчик действительно соблюдает заявленные требования информационной безопасности, а не только декларирует их?
В первую очередь мы рекомендуем закрепить в договоре право на аудит. Штатный специалист компании или независимый эксперт должен иметь возможность проверить, как подрядчик соблюдает утвержденные требования информационной безопасности.
У подрядчика можно и нужно запросить регламентирующие документы и политики безопасности, но важно получить доказательства фактического выполнения мер. Это могут быть отчеты систем мониторинга ИБ, результаты внутреннего аудита, проверок уязвимостей и пентестов.
Если подрядчик подключается со своих устройств, необходимо проверять наличие согласованных средств защиты, актуальных обновлений операционной системы и прикладного ПО, антивируса и обновленных сигнатурных баз. Такие проверки удобнее проводить по заранее согласованному опроснику или чек-листу. Плановый подход позволяет обеим сторонам подготовить необходимые подтверждения и упрощает регулярный контроль.
Контактное лицо: ГИГАНТ
Компания: ГИГАНТ
Добавлен: 22:06, 03.09.2026
Количество просмотров: 392
Страна: Россия
| НКК «Машиностроение» и «Нева Технолоджи» укрепляют партнерство для развития сквозных технологий проектирования и производства композитных изделий, Национальная компьютерная корпорация, 02:56, 14.11.2026, Россия122 |
| НКК «Машиностроение», разработчик платформы САРУС+, и «Нева Технолоджи», системный интегратор и разработчик высокотехнологичного оборудования для производства изделий из композитов, объявляют о расширении стратегического сотрудничества. Стороны подписали соглашение, направленное на совместную разработку комплексного решения, его продвижение и внедрение на промышленных предприятиях на базе ПО САРУС+ и оборудования, поставляемого «Нева Технолоджи». |
| АО «Волтари» вступило в ассоциацию НАУФОР, Web3 Tech, 02:56, 14.11.2026, Россия119 |  |
| АО «Волтари» (Vaultary), компания из группы Web3 Tech – разработчика корпоративных блокчейн-решений и провайдера web3-сервисов, включена в состав членов Национальной ассоциации участников фондового рынка (НАУФОР). |
| Axenix помогла ППТ автоматизировать документооборот, Axenix, 02:48, 14.11.2026, Россия52 |  |
| Компания Axenix завершила проект по внедрению электронного документооборота на основе «1С:Документооборот 8 КОРП» для ООО «Подъемно-погрузочная техника» – крупнейшего игрока в сегменте складской техники на российском рынке. |
| Hisense представила новые саундбары на российском рынке, Hisense, 23:54, 13.11.2026, Россия167 |  |
| Компания Hisense, один из ведущих мировых производителей телевизионной и бытовой техники, представила в России три новые модели саундбаров – Hisense HS5100S, Hisense HS3100S и Hisense HS2100S. Мощные и многофункциональные устройства уже поступили в продажу. |
|
|
