«Т-Технологии» запустили программу кибериспытаний
«Т-Технологии» запустили программу по тестированию инфраструктуры на предмет реализации «недопустимых событий», которые могут привести к критическим для компании последствиям. В частности, речь идет о недопустимости несанкционированного доступа к внутренним сервисам, закреплении на сервере базы данных от привилегированной учетной записи, внедрении кода в цепочку релизов продуктов и обходе механизмов защиты и мониторинга. Об этом рассказал руководитель департамента информационной безопасности Т-банка Дмитрий Гадарь на «Финополисе».
Вознаграждение по программе будет выплачиваться не за найденную уязвимость, а за сценарий, который способен проверить реальную устойчивость экосистемы. При этом исследователям не ставятся жесткие ограничения по вектору атак – разрешено искать слабые места в мобильных приложениях, API, бизнес-логике, интеграциях с партнерами и других элементах цифровой инфраструктуры.
За осуществление «недопустимого события» компания готова выплатить 3 млн руб., а за реализацию промежуточных событий – от 100 000 до 1,5 млн руб. в зависимости от ущерба инфраструктуре компании.
Программа запущена на площадке Standoff Bug Bounty, принадлежащей Positive Technologies. На текущий момент она не доступна публично и открыта только для ограниченного круга исследователей, рассказал Гадарь. Он также добавил, что в дальнейшем участие в программе будет расширено.
На фоне ускоренной цифровизации и роста числа киберугроз усиливается и роль регуляторных органов, которые вводят новые требования к защите субъектов КИИ и государственных информационных систем, говорит директор по продуктам платформы Standoff 365 Positive Technologies Иван Булавин. Вектор развития смещается в сторону проактивной защиты, при этом сохраняются ключевые вызовы, продолжает он: дефицит квалифицированных кадров и поиск баланса между надежностью и бизнес-эффективностью.
«Кибериспытания – следующий этап. Это не про поиск отдельных багов, а про проверку готовности инфраструктуры к серьезным инцидентам. Исследователи проводят цепочки атак, комбинируют уязвимости, ищут слабые места на стыках систем – все так, как это делает настоящий злоумышленник, но в контролируемой среде», – заявил Булавин.