Переход на отечественную технику усилит защиту государственных данных
В устройствах из госзакупок находят критические уязвимости. Обнаружены угрозы в принтерах, позволяющие злоумышленникам получать доступ к данным с подключенных компьютеров и сканируемых документов. Эксперты отмечают, что развитие отечественного производства может снизить риски утечек.
iStock
В компании-производителе электроники Fplus рассказали, что в ходе исследований была установлена возможность злоумышленников получить доступ к интерфейсу управления, другим сервисам и документам на устройствах. Подобные уязвимости становятся системной проблемой, так как многие организации не воспринимают печатающую технику как возможный источник утечки данных.
"Принтеры и многофункциональные устройства (МФУ) многих брендов работают на закрытых прошивках, в которых безопасность уступает место удобству удаленного администрирования и маркетинговым сервисам. Инженеры регулярно выявляют различные уязвимости в технике западных брендов", - указывают в компании.
Важно, что принтеры HP и Xerox, несмотря на официальное прекращение работы этих производителей в России, до сих пор поставляются в госучреждения, в том числе на объекты критической информационной инфраструктуры (КИИ).
"Вообще, это очень похоже на тщательно замаскированный бэкдор, который был специально внедрен в ПО его разработчиками для использования в целях промышленного шпионажа. Учитывая популярность устройств HP и Xerox в российском госсекторе, это вызывает серьезные опасения не только в сфере промышленного шпионажа. В общем, сигнал тревоги тревожный и как минимум должен стать поводом для целого комплекса внутренних проверок со стороны ИБ-специалистов", - отмечает первый заместитель председателя комитета Госдумы по информационной политике, информационным технологиям и связи, глава РОЦИТ Антон Горелкин.
В таких случаях принципом защиты становятся изоляция и контроль доступа. По мнению Кирилла Левкина, проджект-менеджера MD Audit, устройства, особенно принтеры, сканеры и IoT-компоненты, должны быть вынесены в отдельный сегмент Сети с ограниченными правами доступа и контролем трафика. Важно регулярно обновлять прошивки только из доверенных источников, отключать неиспользуемые интерфейсы и протоколы, например FTP или Telnet.
Также нужно включать журналирование событий, использовать системы мониторинга сетевых аномалий и проводить аудит безопасности перед вводом оборудования в эксплуатацию. Для критичных инфраструктур рекомендуется использовать только сертифицированные решения и внедрять многоуровневую модель защиты, где физическая, сетевая и прикладная безопасность взаимосвязаны.
"Проверка устройств должна проводиться еще на этапе закупки. Заказчикам стоит требовать результаты независимого анализа безопасности или сертификаты ФСТЭК и ФСБ, если речь идет о критической инфраструктуре. Перед установкой желательно выполнить техническое тестирование: сканирование на наличие открытых портов, уязвимостей и встроенных сервисов с дефолтными паролями. Также важно провести проверку поставочной цепочки - убедиться, что устройства поставляются напрямую от производителя или официального дистрибьютора", - добавляет Левкин.
Федор Боярков, вице-президент GS Group по развитию производства, отмечает, что государство во многом способствует усилению локализации и расширения производства в России. Так, в конце прошлого года запрет на закупки многих видов иностранных товаров распространили на госкорпорации, муниципальные учреждения и компании с госучастием.
"Отечественной электроники должно стать больше. Но и нарушений закона - тоже. Недобросовестные производители заявляют о наличии российских компонентов, которые на самом деле используются только в демонстрационной партии, а в основном объеме применяется иностранная электронная компонентная база (ЭКБ)", - рассказал Боярков.
По его мнению, решением может стать ужесточение законодательства - введение системы прослеживаемости, чтобы можно было увидеть всю цепочку производства, и осуществление выездных проверок с разбором продукции на предмет наличия отечественной ЭКБ. Боярков предлагает вносить нарушителей в черный список и исключать из реестра отечественной продукции.
