Каждая четвертая компания открывает подрядчикам доступ к персональным данным клиентов

Почти каждая четвертая российская компания предоставляет внешним подрядчикам доступ к персональным данным клиентов. Столько же организаций допускают их к данным сотрудников, коммерческой информации и корпоративным файловым хранилищам. При этом главной угрозой при работе с подрядчиками участники исследования назвали передачу информации третьим лицам. К таким выводам пришли эксперты Контур.Эгиды и Staffcop по итогам опроса 1200 специалистов по информационной безопасности и ИТ из компаний различных отраслей.

Подрядчики получают доступ не только к отдельным рабочим сервисам, но и к ключевым элементам корпоративной инфраструктуры. В 32% компаний внешние исполнители работают с облачными сервисами и инфраструктурой, в 29% — с корпоративными информационными системами, в 28% — с внутренними базами данных.

Еще 24% организаций предоставляют подрядчикам доступ к коммерческой информации и внутренним документам, столько же — к корпоративным файловым хранилищам. Доступ к персональным данным клиентов и сотрудников открывают по 23% компаний. В каждой пятой организации подрядчики могут работать с финансовыми системами или исходным кодом и средами разработки.

Чаще всего компании опасаются, что подрядчик передаст полученные данные третьим лицам: этот риск отметили 37% респондентов. Еще 34% назвали угрозой человеческие ошибки сотрудников подрядчика, 33% — утечку конфиденциальной информации, а 30% — недобросовестные действия внешних специалистов.

Среди других опасений — использование подрядчиком небезопасных сервисов и программ (27%), недостаточный уровень его собственной защиты (26%), отсутствие прозрачности процессов информационной безопасности (24%), компрометация учетных записей и избыточные права доступа — по 20%.

По словам Даниила Бориславского, эксперта по ИБ Контур.Эгиды и Staffcop, сам факт доступа подрядчика к персональным данным или внутренним системам не означает высокий риск. Во многих случаях такой доступ объективно необходим для выполнения работ. Вопрос в другом: насколько этот доступ ограничен. Если подрядчик получает больше полномочий, чем требуется, если права сохраняются после завершения проекта или используются общие учетные записи, вероятность инцидента резко возрастает.

Даниил Бориславский
Эксперт по информационной безопасности Контур.Эгиды и Staffcop

Когда подрядчик получает доступ к базе данных, облачной инфраструктуре или персональным данным, информация фактически выходит за пределы привычного контура контроля компании. При этом организация продолжает отвечать за ее безопасность, хотя уже не полностью управляет устройствами, учетными записями и процессами внешнего исполнителя. Главный риск заключается не только в умышленных действиях. Сотрудник подрядчика может ошибиться, использовать небезопасную программу, передать файл через неподходящий сервис или потерять доступ к учетной записи. Поэтому одного соглашения о конфиденциальности недостаточно: заказчику необходимо технически ограничивать доступ к данным и контролировать действия внешних пользователей. Наконец нужно принять как данность, что если ваш подрядчик не занимается своей ИБ, то его ИБ будете заниматься вы.

Наибольшие опасения у респондентов вызывают подрядчики, которым для выполнения работ нужны широкие технические полномочия. В первую очередь это компании, оказывающие услуги в области информационной безопасности (30%), разработчики программного обеспечения (28%) и интеграторы ИТ-решений (27%). ИТ-аутсорсинг, администрирование инфраструктуры, а также обслуживание оборудования и инженерных систем отметили по 22% участников исследования.

Эксперты Контур.Эгиды рекомендуют предоставлять подрядчикам только те права, которые необходимы для конкретной задачи, и ограничивать время их действия. Для учетных записей с расширенными полномочиями особенно важны многофакторная аутентификация, запись действий пользователей, регулярная проверка прав и оперативное отключение доступа после завершения работ. Также компаниям необходимо учитывать не только надежность подрядчика как юридического лица, но и то, как именно организована работа с данными внутри его инфраструктуры: кто из сотрудников получает доступ, с каких устройств и сервисов он осуществляется, можно ли передавать информацию третьим лицам и как фиксируются действия пользователей.