Кибербезопасность в Казани

Аутентификация как главный узел риска

Если вход в сервис происходит через внешнего поставщика идентификации, ошибки чаще всего лежат не в самом протоколе, а в его применении: непроверенное состояние сессии, доверие к параметру из запроса, отсутствие привязки токена к устройству, возможность подставить чужой идентификатор на шаге завершения входа. Мы разбираем весь маршрут входа по шагам и проверяем каждый переход отдельно, а не только конечный результат.

Типичные находки в сервисах с гражданскими данными

• доступ к чужой заявке по последовательному номеру в адресе страницы
• выгрузка справок и документов из хранилища без проверки прав
• подробные технические ошибки, раскрывающие внутреннюю структуру
• сессия, не завершающаяся при смене пароля или при выходе
• персональные данные в параметрах адреса и, как следствие, в логах

Каждая находка описывается так, чтобы её можно было приложить к внутренней заявке на исправление без переписывания: суть, шаги, влияние, рекомендация. Приоритет проставляется исходя из того, к чьим данным и в каком объёме открывается доступ.

152-ФЗ и уведомление регулятора

Для операторов персональных данных отдельным разделом разбираем инженерную сторону соответствия: перечень фактически собираемых данных против заявленного в политике, разграничение доступа сотрудников, срок хранения, что уходит во внешние сервисы аналитики. Также фиксируем, готов ли у вас процесс уведомления Роскомнадзора об инциденте — по закону срок реагирования короткий, и техническая возможность быстро понять объём утечки должна быть заложена заранее, а не собираться в момент происшествия.