«У нас и так работает»: 69% российских компаний не планируют менять подход к управлению паролями — даже после инцидентов

Только 20% компаний не имеют парольной политики, а 19% хранят пароли в файлах, в том числе в Excel и Word. Такую статистику показал опрос 50 представителей российских компаний из Москвы и Санкт-Петербурга из разных отраслей с численностью от 50 до 500 сотрудников, проведенный АБП2Б при поддержке «РУССОФТ».

SecPost выпускал карточки, в которых указывалось 9 принципов, превращающих управление секретами в управляемый процесс.

Ранее опрос 150 компаний показал, что 20% корпоративных аккаунтов используют одинаковые пароли. В 34% организаций было обнаружено более 1000 учетных записей с атрибутом PasswordNeverExpires («никогда не истекает»). SecPost выпускал материал об этом.

В ходе опроса 66,7% участников отметило наличие в компании действующей парольной политики, а 13,3% указали на нахождение политики в разработке. При этом исследователи подчеркнули, что наличие формальных правил не подтверждает их соблюдение на практике, поскольку статистика основывается на ответах респондентов, а не на проверке компаний.

В то же время около 23,8% опрошенных ответили, что их компания хранит пароли для привилегированных учетных записей при помощи KeePass. 19% респондентов выделили, что для хранения таких паролей используют файлы, включая Excel и Word, а еще 19% — российские менеджеры паролей, как «ОдинКлюч», «Пассворк» и BearPass. Среди прочих ответов фигурируют другие способы (19%), PAM-системы (9,5%), зарубежные менеджеры паролей (4,8%), а также Vault и другие хранилища секретов (4,8%).

Несмотря на статистику исследования, руководитель направления «Развитие услуг» «Кросстех» Ильдар Галиев отметил, что, по оценке «Кросстеха», до 40% российских компаний уже внедрили PAM. По мнению эксперта, это один из основных инструментов управления доступом, который особенно актуален на сегодняшний день, когда периметр все сильнее размывается и на передний план выходят контроль пользователей и защита активов.

Тем не менее собеседник SecPost указал, что у части пользователей решение неправильно настроено, а у других и вовсе встроено лишь формально и не выполняет свои функции. Третьи же, по мнению Галиева, не имеют собственных специалистов для контроля и обслуживания такого решения. «Если говорить о тех, у кого PAM встроен и работает, — это порядка 30%», — уточнил эксперт.

Пароли для обычных пользовательских аккаунтов чаще всего хранят в файлах (22,2%), защищают их при помощи KeePass (22,2%), российских менеджеров паролей (16,7%) и при помощи других способов (33,3%). Технические же учетные записи также хранят при посредстве российских менеджеров паролей (27,8%), при помощи других способов (27,8%), используя KeePass (22,2%), файлы (11,1%), а также используя Vault и другие хранилища секретов (11,1%).

Галиев указал, что, по другой статистике, до 25% российских компаний используют блокнот, Excel, Word и другие неспециализированные инструменты для хранения корпоративных паролей. При этом эксперт подчеркнул: сам факт хранения таким образом не означает риски, более важна организация процесса хранения.

Руководитель направления информационной безопасности ГК «Корус Консалтинг» Олег Андреев выделил, что, исходя из практики, можно сказать, что 50% компаний и более хранят корпоративные пароли в Excel, Word и других неспециализированных инструментах. По мнению эксперта, дело не в требованиях компании, а в самих сотрудниках, поскольку намного проще записать пароль в Excel или блокнот, чем скачивать специальный софт.

К этому собеседник добавил, что многие компании не готовы инвестировать средства в приобретение централизованных систем хранения паролей: в среднем только лицензия без учета внедрения, сопровождения и обновления такого решения может обойтись компании в 1,5 тыс. руб. в год за одного сотрудника. Андреев указал, что компаниям с большим штатом такое решение может показаться невыгодным.

Исследователи из АБП2Б объяснили, что результаты опроса о хранении паролей от учетных записей разного профиля показывают, что организации используют неоднородный набор инструментов. При этом, отметили специалисты, сам по себе выбор определенного продукта не гарантирует, что управление доступами организовано централизованно, поскольку многое зависит от настроек, регламентов и повседневных процессов.

Помимо этого, участники исследования назвали проблемы, связанные с управлением учетными записями. Чаще всего респонденты отмечали проблемы с контролем доступа сотрудников (28,6%). Отсутствие централизованного хранилища, недостаточный контроль привилегированных аккаунтов и отсутствие трудностей получили по 14,3%.

Также были выделены другие проблемы (10,7%), смена паролей после ухода сотрудников и временный доступ подрядчиков (по 7,1%), а также отсутствие аудита (3,6%). По мнению исследователей, статистика указывает на то, что проблема не сводится к выбору места для хранения.

В ближайшие 12 месяцев 69,2% участников не планируют внедрение или замену решения для управления паролями, 23,1% рассматривают такую возможность, а 7,7% респондентов планируют изменения. Исследователи со ссылкой на Verizon DBIR отметили, что 22% подтвержденных утечек данных в прошлом году начинались с кражи или компрометации учетных данных.

Респонденты также сообщили об инцидентах, связанных с паролями и привилегированным доступом. 20% опрошенных сообщили, что подобные инциденты у них происходили, 66,7% сообщили об отсутствии инцидентов, а 13,3% не стали раскрывать информацию. В статистике исследователи увидели отображение того, что риски, связанные с паролями, остаются актуальной темой для корпоративной информационной безопасности.

Независимый консультант по кибербезопасности и автор канала «Топ Кибербезопасности» Денис Батранков указал исследователям на частое повторное использование административных паролей и их хранение в открытых текстовых файлах. Эксперт отметил, что SSO, парольные менеджеры и двухфакторная аутентификация повышают устойчивость компаний к взлому.

При этом основатель 3side/4sec, автор канала «3side кибербезопасности» Антон Бочкарев отметил, что пароли останутся частью корпоративной практики еще надолго, а независимый эксперт и автор канала BELYAEV_SECURITY Дмитрий Беляев подчеркнул, что хранение паролей в почте, Excel и на бумажных носителях может обернуться значительными потерями при инциденте.

Специалисты указали, что результаты исследования отображают, что зрелость управления паролями определяется не только наличием политики или конкретного продукта, но и тем, насколько компания контролирует доступ к системам, хранение учетных данных, привилегированные технические аккаунты и прочие компоненты безопасности.

«У нас и так работает»

Заместитель директора по развитию бизнеса «IT Бастион» Константин Родин считает, что самое показательное в статистике — сочетание 69,2% респондентов, не планирующих менять решения, с другими заявлениями. «Каждая пятая компания признала инциденты, связанные с паролями или привилегированным доступом, а еще 13% предпочли не отвечать. При этом почти львиная доля ничего менять не планирует. То есть проблема есть, но в приоритеты она не попадает», — выделил эксперт.

Собеседник привел несколько причин такого взгляда на проблему.

«Первая — «у нас и так работает». Если пароли лежат в KeePass или Excel и до сих пор не было громкого инцидента, руководитель не видит, за что платить. Риск невидим, пока не реализовался», — объяснил Родин. По мнению эксперта, «инцидентов не было» часто означает «мы их не заметили»: в компании без контроля привилегированного доступа просто нечем увидеть, что кто-то воспользовался чужой учетной записью.

Вторая причина, обозначенная экспертом, состоит в деньгах и приоритетах. Родин выделил, что у среднего бизнеса бюджет достаточно ограничен и тратится в первую очередь на необходимые продукты: антивирусы, межсетевой экран и резервные копии. Управление паролями в таком случае воспринимается как задача второй очередности, отметил эксперт.

Третья причина, по мнению Родина, заключается в том, что средний бизнес усиливает защиту только тогда, когда этого требует закон или крупный заказчик. Собеседник объяснил, что, пока явного требования по внедрению менеджера паролей или PAM нет, решение будет все так же откладываться.

Четвертая же причина, обозначенная собеседником SecPost, состоит в людях. Родин объяснил, что во многих компаниях ИТ и ИБ — это один-два, максимум несколько человек, у которых нет ресурса на еще один проект внедрения.

«Им кажется, что это долго и сложно, хотя сегодня есть модели и по подписке, и с внедрением «под ключ», да и в целом «не так страшен черт, как его малюют», — объяснил эксперт. Кардинально, по мнению Родина, меняется ситуация после одного из трех событий: инцидента, требования крупного заказчика или регулятора либо ухода ключевого администратора, после которого становится понятно, что никто не знает паролей от половины инфраструктуры.