«В Egov.kz фиксировали 200 уязвимостей»: эксперт о кибербезопасности страны и населения

На заседании правительства 26 ноября глава министерства цифрового развития, инноваций и аэрокосмической промышленности РК Жаслан Мадиев рассказал, что для защиты персональных данных жителей страны чиновники привлекают в рамках программы «Bug Bounty» белых хакеров. Подробнее о программе, об опасности утечек данных, о проекте «Взломать Пентагон» и о том, как свою кибербезопасность могут обеспечить самостоятельно жители нашей страны, редакции Taspanews.kz рассказала cybersecurity engineer Енлик Сатиева.

Bug Bounty

Сатиева рассказала, что «Bug Bounty» — это программа, которая позволяет организациям (в нашем случае, государственным) выявлять уязвимости в своих информационных системах с помощью независимых специалистов по кибербезопасности. 

«Мы их называем „белыми хакерами“. В нашей системе зарегистрировано более 2 тысяч таких специалистов»,  — поделилась инженер. 

Она подчеркнула — следует понимать, что такой подход сильно отличается от простой работы информационного отдела: огромное количество спецов по всему миру тестируют приложение. Соответственно, гораздо больше шансов увидеть какие-то «непокрытые» участки. Участники находят уязвимость и сообщают о ней на специальной платформе в обмен на денежное вознаграждение. По сути, программа способствует проактивной защите данных и систем. 

«В Egov.kz в свое время фиксировали около 200 уязвимостей, которые могли бы привести к непредсказуемым последствиям, но с помощью этой программы Egov.kz оперативно закрыл все уязвимости, и мы стали менее подвержены каким-либо кибератакам»,  — привела пример Сатиева.

По словам специалиста по кибербезопасности, аналоги существуют в других странах. Например, в США активно используют аналоги Bug Bounty и крупные компании, вроде Google и Microsoft, Meta. И государственные компании тоже, — Министерство обороны, например, — у них проект носил название «Hack The Pentagon» («Взломать Пентагон»).

Белые хакеры ищут уязвимости, выявляют наиболее слабые места в системе. Например, на тех же самых порталах госуслуг. Тем самым они предотвращают использование их нежелательными лицами, преступниками, вымогателями и так далее. 

Утечка данных

Сатиева подчеркнула, что утечка данных — это очень важный аспект не только для государства, но и для самого физического лица. 

«Наверное, все люди сталкивались не раз со звонками мошенников, якобы из банка. Это как раз таки стандартный пример утечки данных, которой воспользовались преступники. Причем, не факт, что эта утечка произошла именно у банка, могла пострадать любая другая информационная система»,  — привела пример инженер. 

Утечка данных — это чаще всего крупные финансовые потери, которые очень тяжело восстановить, кража личности, нарушение конфиденциальности. 

«Если государство не заботится о безопасности личных данных своих граждан, то у общества растет недоверие к государству, возникает ощущение национальной нестабильности»,  — обратила внимание Сатиева на социальную сторону проблемы. 

Существует индекс киберготовности ООН, который оценивает порядка 150 стран, — отметила специалист по кибербезопасности. 

«Еще пять лет назад мы были 118 месте в этом рейтинге, однако потом поднялись на 32 позицию. Это показывает, что страна действительно делает конкретные шаги по укреплению кибербезопасности, но моменты для работы все еще остаются, конечно же»,  — считает она. 

Слив данных

Слив личных данных происходит всегда разными способами, но Сатиева отметила, что среди них есть тройка «лидеров», и рассказала о каждом. 

Первый — это чересчур легкие пароли, которые могут ставить наши граждане (дата рождения, номер телефона и так далее, qwerty). Хакеры именно так получают доступ к аккаунтам, социальным сетям и так далее. 

Второй способ — это мошеннические письма (фишинг). Например, приходит письмо, в котором сказано, что вы выиграли поездку в Дубай. Для того чтобы забрать приз, предлагают перейти по ссылке, ввести свои данные (номер карты и так далее). 

Третий, также достаточно популярный способ — это поддельные вай-фай сети. У нас любят часто подключаться к бесплатному вай-фаю, но мошенники свою собственную сетку могут настроить таким образом, чтобы при подключении видеть, например, чужие запросы в интернете, потом использовать это в своих целях. 

«Понятно, что это все — мошеннические схемы. Своими руками отдаем свои данные»,  — считает эксперт по кибербезопасности.

Как обезопасить себя?

Енлик Сатиева перечислила основные правила, которые помогут казахстанцам оставаться в кибербезопасности:

1. Не кликайте на подозрительные ссылки;

2. Ставьте сложные пароли;

3. Используйте двухфакторную аутентификацию;

4. Регулярно обновляйте программное обеспечение. 

«Хакеры чаще всего используют для маскировки VPN, тем более, что они могут работать в пределах разных юрисдикций. Это очень усложняет работу международного сотрудничества, к тому же сказывается дефицит кадров, которые специализируются на поимке и разборе таких кейсов»,  — подытожила специалист по кибербезопасности.