В три часа ночи врач приёмного отделения пытается открыть электронную карту пациента. Система не отвечает: сервер перегружен после обновления. Врач знает, что у пациента аллергия на препарат, который нужно ввести, но не может проверить, на какой именно. Он звонит коллеге, тот ищет бумажную копию, время идёт.

В это же время в одном из телеграм-каналов появляется объявление о продаже базы пациентов этой же клиники. А неделей раньше в карте другого пациента кто-то исправил запись об аллергии: было «непереносимость пенициллина», стало «аллергий нет». Никто не заметил.

Три разные истории, но все они — про информационную безопасность. В первом случае данные есть, но недоступны. Во втором они доступны не тем людям. В третьем лежат на месте, но им нельзя верить. Если продолжить эту логику, становится понятно, что информационная безопасность занимается не «компьютерами» и не «хакерами», а доверием: можем ли мы доверять данным и системам в тот момент, когда это важно.

Почему доверие ломается

У информации есть три уязвимых места, и каждое по-своему разрушает доверие.

Первое — информацию могут увидеть те, кому не положено. База пациентов, которую продают в канале, осталась той же базой: записи не изменились, система работает. Но доверие уже потеряно, потому что чужие люди знают то, чего знать не должны. Это свойство называют конфиденциальностью, и оно нарушается не только взломом. Достаточно, чтобы сотрудник отправил файл не тому адресату или сохранил копию на личную почту.

Второе — информацию могут незаметно изменить. В истории с аллергией данные никуда не утекли, доступ не пропал. Изменилась одна запись, и врач едва не назначил опасное лечение. Это нарушение целостности: данным физически можно верить только тогда, когда вы уверены, что их не правили в обход правил. Причём изменить запись может не только злоумышленник, но и сбой, и ошибка в программе, и коллега, который «поправил очевидную неточность».

Третье — информацию может быть невозможно получить вовремя. Сервер перегружен, интернет пропал, диск вышел из строя, больницу отключили от сети из-за атаки. Данные при этом целы и никому не переданы, но помочь пациенту всё равно нельзя. Это доступность, и её недооценивают чаще всего, потому что она не выглядит как кража.

Кажется, что все три свойства нужно просто «максимизировать». Но здесь начинается самое интересное. Они конфликтуют друг с другом. Чем строже вы ограничиваете доступ, тем выше риск, что в критический момент нужный человек не сможет войти. Чем проще доступ, тем шире круг людей, которые могут увидеть лишнее. Чем больше копий и зеркал вы делаете для доступности, тем больше мест, откуда данные могут утечь.

Поэтому хорошая защита — это не «сделать всё максимально безопасным». Это осознанный выбор баланса под конкретную ситуацию. В больнице доступ к карте ночью важнее, чем идеальная секретность, поэтому там делают «экстренный доступ» с обязательной записью в журнал: врач может открыть карту, но потом будет видно, кто и зачем это сделал. Компромисс не отменяет контроль — он делает его умнее.

Важно. Безопасность не бывает «вообще». Она всегда про конкретные данные, конкретных людей и конкретный момент, когда эти данные нужны.

Почему одного замка недостаточно

Теперь представьте, что в клинике решили «усилить безопасность» и купили дорогую программу защиты. Поможет ли она?

Чтобы ответить, нужно разобрать, как вообще происходит потеря. Любая история с данными — это цепочка. Сначала есть тот, кто хочет навредить, или то, что может навредить случайно. Потом есть слабое место, через которое это становится возможным. Потом — само воздействие. И наконец — последствие, из-за которого нам больно.

В нашей клинике злоумышленник хотел получить базу. Слабым местом оказался старый плагин на сайте, который не обновляли два года. Через него получили доступ к серверу, а с сервера — к базе. Последствие: утечка, штраф, потеря репутации и несколько месяцев разбирательств.

Первый элемент этой цепочки называют угрозой. Угроза — это не только хакер. Это и сотрудник, который ошибся, и диск, который отказал, и пожар, и отключение электричества, и программа-шифровальщик, попавшая в почту. Второй элемент — уязвимость, то есть слабое место. Третье — риск: сочетание вероятности, что угроза воспользуется уязвимостью, и размера ущерба.

С риском удобно работать, потому что он позволяет сравнивать несравнимое. Один и тот же старый плагин на тестовом сервере, где нет реальных данных, — это почти нулевой риск. Он же на боевом сайте с базой на сто тысяч человек — совсем другой риск. И дело не в том, что плагин стал опаснее. Изменилась цена последствия.

Из этой цепочки следует практический вывод: защита может работать на любом её звене. Можно убрать уязвимость — обновить плагин. Можно снизить вероятность — ограничить доступ к серверу. Можно уменьшить последствие — сделать резервную копию, чтобы восстановиться, даже если что-то случится. Можно воздействовать на угрозу — например, обучить сотрудников, чтобы они не открывали подозрительные письма.

А теперь вернёмся к вопросу про дорогую программу. Антивирус или средство защиты — это один замок на одной двери. Он неплохо закрывает одно звено: попадание вредоносной программы на устройство. Но он ничего не делает с сотрудником, который пишет пароль на стикере, с общим паролем от базы, с отсутствием резервных копий и с уволенным работником, у которого остался доступ. Это другие звенья, и закрывать их нужно другими способами.

Именно поэтому в компаниях, где «всё куплено», иногда всё равно происходят утечки. Покупка средства защиты — не финал, а один из шагов. Без правил, привычек и контроля он часто оказывается бесполезным.

Из чего складывается защита

Защита держится на трёх слоях, и все три нужны одновременно.

Первый слой — организационный. Это ответы на вопросы «кто имеет право», «что можно», «кто отвечает» и «что делать, если». Приказ о допуске, политика безопасности, регламент резервного копирования, обучение сотрудников, список тех, кому разрешён доступ к базе. Звучит скучно, но именно здесь чаще всего находятся настоящие дыры: не потому что программа плохая, а потому что никто не решил, кому что можно.

Второй слой — технический. Это то, что ограничивает и проверяет автоматически: разделение прав, многофакторная аутентификация, шифрование, резервные копии, журналы событий, обновления, средства защиты. Техника хороша тем, что не устаёт и не забывает. Плоха тем, что её нужно правильно настроить и поддерживать.

Третий слой — правовой. Законы и договоры задают рамку: какие данные можно собирать, на каком основании, сколько хранить, что сообщать при утечке. Без этого слоя организация может сделать технически всё правильно, но всё равно нарушить закон — и получить штраф или предписание.

Почему нельзя обойтись одним слоем? Потому что они страхуют друг друга. Правило без техники остаётся текстом на бумаге: политика говорит «шифруйте», но если нет инструмента и привычки, никто не шифрует. Техника без правил создаёт ложное чувство порядка: система настроена, но сотрудники обходят её, потому что «так быстрее». Право без практики превращается в формальность: документы есть, а данных нет.

Дальше начинается процесс, который никогда не заканчивается. Сначала нужно понять, что именно защищаем: какие данные, где они лежат, кому нужны. Потом — от кого: какие угрозы реальны именно для нас. Потом оценить риск: что будет, если это случится. Потом выбрать меры и внедрить их. Потом проверить, что они работают и не мешают людям. И обновить, потому что за это время появились новые уязвимости, уволился сотрудник, обновилась программа или изменился закон.

Именно поэтому безопасность — это не «проект, который закрыли», а регулярная работа. Обновление, которое сломало совместимость с базой, — тоже часть этой работы: его нужно тестировать, планировать и уметь откатить.

Как это выглядит в маленьком магазине

Абстрактные слои становятся понятнее на конкретном примере. Представьте магазин у дома: три продавца, касса, база клиентов с телефонами для рассылки, Wi-Fi для покупателей и бухгалтер, который работает удалённо.

Владелец начинает с привычного: «Купим антивирус, и всё будет хорошо». Но потом кто-то задаёт правильный вопрос: а что именно мы защищаем? Выясняется, что база клиентов лежит в Excel на ноутбуке продавца, копия — в облаке, ещё одна — на телефоне у второго продавца. Пароль от облака знают все, включая бывшего сотрудника. Резервных копий нет. Wi-Fi открыт, и через него можно попасть в ту же сеть, где стоит касса.

Теперь можно расставить приоритеты. Самое болезненное — потеря базы и кассы, поэтому сначала делают резервные копии и проверяют, что из них действительно можно восстановиться. Потом наводят порядок с доступами: у каждого продавца свой аккаунт, у уволенного доступ отключают в тот же день, общий пароль меняют. Потом отделяют гостевой Wi-Fi от рабочей сети, чтобы покупатель не оказался в одной сети с кассой. И только после этого добавляют технические средства, потому что теперь понятно, что именно они должны защищать.

Через полгода происходит показательная история. Уволенный продавец заходит в старый аккаунт облака и выгружает базу. Почему? Потому что пароль от общего аккаунта не сменили, а доступ не отозвали. Технически в магазине был антивирус. Организационно не было привычки менять доступы. Именно такое сочетание — «купили защиту, но не изменили процесс» — и приводит к инцидентам.

После этого владелец делает то, что должен был сделать сразу: вводит личные аккаунты, включает двухфакторную аутентификацию, настраивает журнал входов и правило «уволился — доступ закрыт в тот же день». Ни одна из этих мер не требует больших денег. Зато вместе они закрывают сразу несколько звеньев цепочки.

Почему это касается лично вас

Может показаться, что всё это — про компании и их базы. Но вы тоже участвуете в этой системе, причём с двух сторон.

С одной стороны, ваши данные лежат в десятках мест: в поликлинике, банке, доставке, на сайтах, где вы регистрировались. Когда у компании происходит утечка, страдаете не только она. Ваш номер попадает в спам-обзвоны, на вас пытаются оформить кредит, вам приходит письмо «от банка», которое очень похоже на настоящее. Понимание основ помогает замечать такие вещи раньше и не отдавать данные добровольно.

С другой стороны, вы сами принимаете решения. Если вы работаете в компании, вы пользуетесь паролями, открываете файлы, отправляете документы. Если у вас свой бизнес, вы становитесь оператором персональных данных и обязаны соблюдать закон, даже если у вас три сотрудника. Если вы выбираете профессию, понимание основ — первый шаг к нормальной работе, а не к «взлому за тридцать дней».

И есть ещё одна мысль, которая важнее остальных. Информационная безопасность — это не продукт, который можно купить, и не состояние, которого можно достичь раз и навсегда. Это серия решений в условиях неопределённости. Мы не знаем, когда и как произойдёт следующая атака. Мы не можем сделать риск нулевым. Но мы можем понять, что для нас важно, какие угрозы реальны, сколько стоит ошибка — и выбрать меры, которые уменьшают риск до приемлемого уровня.

Именно поэтому в начале статьи были три истории, а не одна. Кража, подмена и недоступность — это три разных способа потерять доверие, и защита от каждого строится по-своему. Поняв это, вы перестаёте искать «волшебную программу» и начинаете задавать правильные вопросы: что защищаем, от кого, что будет, если не получится, и кто за это отвечает.

Главная мысль

Информационная безопасность начинается не с антивируса и не с «хакеров», а с вопроса: можем ли мы доверять данным и системам тогда, когда это действительно важно. Доверие ломается тремя способами — данные видят лишние, данные незаметно меняются, данные недоступны вовремя, — и между этими свойствами всегда приходится искать баланс.

Любая потеря — это цепочка из угрозы, уязвимости и последствия. Защита работает, когда мы закрываем разные звенья этой цепочки, а не покупаем один замок и успокаиваемся. Организационные правила, техника и закон — три слоя одной системы, и без любого из них остальные дают трещину.

Если после этой статьи вы запомнили только одну вещь, пусть это будет мысль: безопасность — это не «сделать так, чтобы ничего не случилось». Это «понимать, что может случиться, и заранее решить, что мы с этим сделаем».

Что делать дальше