«Аметист» посвятил подкаст рискам MFA и защите идентичности

В разговоре также затронули отношения IT-отделов и служб информационной безопасности. По словам Овчинникова, стандарт ISO 27001 закрепил независимость ИБ и отдельную роль CISO, однако формальных механизмов согласования между подразделениями мало. Часто руководители договариваются напрямую. Еще один подход — матричная структура, в которой специалисты по безопасности оценивают риски и представляют их руководству, а не запрещают решения самостоятельно.

MFA дополняет пароль вторым фактором — например, SMS-кодом, push-уведомлением или кодом из приложения. Овчинников предупредил, что SMS можно перехватить с помощью поддельных базовых станций, а device-code — использовать в фишинговой атаке, если код действует долго. Более надежными эксперт считает решения на асимметричной криптографии, включая стандарт FIDO и passkeys. При этом уверенность во втором факторе, по его словам, иногда приводит к ослаблению требований к паролю.

«Ключевая проблема информационной безопасности — это бардак. Абсолютно защищенных систем не бывает, но можно сделать систему настолько целостной, чтобы злоумышленнику было дорого найти в ней слабое место», — сказал Овчинников.

Участники обсудили и переход от защиты периметра к контролю идентичности: злоумышленники все чаще используют украденные учетные данные. Концепция ITDR, описанная Gartner в 2022 году, охватывает мониторинг среды identity — от Active Directory до облачных сервисов и мобильных устройств. Егор Петров, директор по развитию направления информационной безопасности «Аметист», заявил, что зрелая программа требует управления рисками всей этой экосистемы и включает работу с легаси-протоколами, облаками и мобильными устройствами.

По оценке спикера, решения для автономных ИИ-агентов пока находятся в зачаточном состоянии. Ни один современный протокол аутентификации, отметил он, не поддерживает цепочки делегирования длиннее двух, что важно для агентных сценариев. Ведущим выпуска был Андрей Соловьев, руководитель спецпроектов «Аметист» и техноблогер.