Сотрудник открыл внутренний документ по публичной ссылке или отправил письмо с вложением на сторону — вы узнаете об этом сегодня или через квартал при разборе логов? Разбираем, какие рисковые действия в Яндекс 360 стоит держать на виду, почему «просто всё запретить» делает только хуже и как настроить события-алерты в «+Альянс Потоке» — без кода и без круглосуточного дежурства у монитора.
Знать бы, где упасть — соломки бы подстелил.
Русская пословица
Есть простой вопрос, на который у большинства руководителей нет ответа. Если прямо сейчас кто-то в вашем облаке откроет внутренний документ на весь интернет — вы об этом узнаете? И если да, то когда: через минуту, через неделю, никогда?
Обычно ответ звучит как «ну, наверное, заметим». Наверное — это плохое слово, когда речь про корпоративные данные.
Дальше — по делу. Разберём, какие действия в Яндекс 360 стоит держать на виду, почему «просто всё запретить» делает только хуже, и как контроль рисковых событий собирается в «+Альянс Потоке» — без программирования и без того, чтобы кто-то весь день сидел и смотрел в логи.
Что вообще считать рисковым действием
Соблазн большой — объявить опасным всё подряд. Но стоит честно выписать, что на самом деле выливается в проблемы, — перечень выходит на удивление коротким. И почти всё в нём — обычные рабочие операции, а не диверсии.
Файл ушёл в публичный доступ. Один клик — и документ, который писался для внутреннего пользования, открывается по прямой ссылке кому угодно. Функция удобная и абсолютно рабочая: так делятся файлами постоянно. Проблема не в клике. Загвоздка в том, что этот клик почти никогда нигде не отмечается — ни в чьей памяти, ни на чьём столе. Контроль доступа к файлам держится на том, что кто-то помнит, кому и что открывал. А память — так себе система безопасности.
Письма с вложениями пошли на внешние адреса. Иногда это работа с подрядчиком, всё чисто. Иногда — тихий вынос наработок за пару недель до заявления об уходе. Со стороны одно от другого не отличить — разберётся только живой человек, который взглянет на отправителя и вникнет в контекст. Вот только сигнал нужен ему в день события, а не спустя месяцы при разборе логов.
У пользователя сменился пароль. Событие незаметное, а трактовок две. Либо сотрудник обновил доступ по правилам гигиены, либо в аккаунт уже проник посторонний и первым же шагом переписал пароль под себя, отрезав настоящему владельцу дорогу назад. Отличить одно от другого можно только по обстоятельствам — потому такое и нельзя пропускать.
Общее у всех трёх одно: под запрет их не загонишь. Всё в рамках закона и рабочих будней. Рисковыми эти действия становятся не сами по себе, а в конкретной ситуации — и оценить ситуацию может только человек. Задача техники другая: вовремя подать ему сигнал. Это и есть событийный мониторинг — не тотальный присмотр, а реакция на конкретные события.
Почему «давайте всё закроем» — не решение
Первый порыв руководителя понятен: раз беда от ссылок и пересылок, значит, надо их запретить. Наглухо.
Порыв понятен, но проигрышный.
Делиться документами и отправлять письма людям приходится не из вредности — на этом держится их работа и, в конечном счёте, выручка компании. Закроете штатные каналы — количество этой работы не изменится, изменится только маршрут: выгрузка в личный ящик, пересылка через сторонний сервис, копия на домашнем ноутбуке. И вот здесь ловушка. Пока обмен шёл внутри Яндекс 360, у вас оставалась хотя бы техническая возможность его заметить. Стоит человеку свернуть в обход — и эта возможность исчезает подчистую. На бумаге вы закрутили гайки, на деле — просто перестали видеть, что происходит.
Вывод невесёлый, но честный: запрет не устраняет риск, он лишь загоняет его в зону, куда вы не заглядываете. Умнее не отбирать удобные инструменты, а поставить наблюдение на опасные события.
Как «+Альянс Поток» закрывает эту задачу
«+Альянс Поток» — это автоматизация для Яндекс 360: сервис работает по модели SaaS, а собранные в нём сценарии реагируют на события в вашем облаке. Разработчик — «+Альянс», компания из России. Ниже — ответы на вопросы, которые нам задают чаще всего, когда речь заходит про алерты безопасности.
Насколько быстро приходит сигнал?
В тот же момент, когда действие произошло. Сценарий цепляется не за расписание, а за само событие: открыли файл наружу — поток стартует немедленно; ушло письмо с вложением на сторону — тоже. Поводов зацепиться достаточно: в Потоке доступно 18 типов триггеров — событий Яндекс 360, за которые может браться сценарий. Именно это «в моменте» и отличает нормальный контроль от разбора журналов раз в сутки, когда самое важное уже успевает остыть.
Может ли система сама закрыть доступ, а не только предупредить?
Да, и это, пожалуй, самое ценное. Поток не ограничивается письмом ответственному — он способен вмешаться в ситуацию сам. Что он умеет сделать в ответ: снять или изменить права на файл в Диске, сбросить активные сессии пользователя, заблокировать учётную запись целиком, отправить оповещение. Так что реакцией на публичную ссылку может быть не «мы вам сообщили», а «доступ уже перекрыт, разбирайтесь спокойно». Для защиты корпоративных данных эта скорость важнее любого регламента.
Готовый поток-алерт: триггер «Файл расшарен публично» → уведомление ответственному и закрытие доступа.
Придётся ли что-то программировать?
Нет. Сценарий рисуется на визуальной доске перетаскиванием блоков: развилки «если — иначе», циклы, работа с переменными — всё мышкой. Для частых задач готовы 8 шаблонов потоков, а с первым сценарием проведёт за руку интерактивный тур — все 30 шагов, от начала до запуска. Нужно связать контроль с 1С или другой внешней системой — обмен настраивается через вебхуки: и входящие, и исходящие. То есть настроить контроль по силам администратору, отдельный программист не нужен.
Сценарий на визуальной доске «Потока». Слева — панель триггеров, в разделе «Безопасность» те самые события: «Файл расшарен публично», «Смена пароля», «Пересылка письма».
Как убедиться, что автоматика действительно работает?
Резонный вопрос: сломавшийся и молчащий сценарий даёт ложное чувство защищённости, а это хуже честного «у нас ничего не настроено». Поэтому в Потоке каждый запуск фиксируется — по журналу видно, на каком именно шаге поток отработал или споткнулся. Перед боевым включением сценарий можно прогнать в тестовом режиме. Если что-то отвалится — придёт оповещение о сбое. А чтобы держать в поле зрения общую картину, а не только всплески тревог, по расписанию собираются и рассылаются сводки по доступам.
Безопасно ли подключение и где хранятся данные?
Подключение идёт через авторизацию Яндекс 360 по протоколу OAuth; раздавать доступы вправе только администраторы вашей организации, а пароли за пределы Яндекс 360 не передаются. Логика простая: система, которая следит за безопасностью, сама не должна открывать новую лазейку. Данные обрабатываются в российском контуре — для части компаний это не пожелание, а условие, без которого разговор не начинается. И честная оговорка: в реестр российского ПО «Поток» пока не внесён. Российским его делают две вещи — компания-разработчик из России и хранение данных внутри страны, но не запись в реестре.
Как попробовать на своих сценариях
Если свести к сути, контроль рисковых действий — это не про недоверие к людям и не про надзор. Это про одну величину, которой реально можно управлять: сколько времени проходит между рисковым действием и реакцией на него. Что стоит держать в голове:
- за большинством инцидентов стоит не злой умысел, а спешка — наказаниями это не лечится, зато ранняя реакция экономит и нервы, и деньги;
- глухие запреты не отменяют риск, а перегоняют его туда, куда ваш обзор уже не достаёт;
- ценность сигнала — в его своевременности: письмо через минуту работает, строчка в отчёте через квартал — нет;
- у самой автоматики должны быть видимые признаки жизни, иначе она незаметно станет декорацией.
Проще один раз попробовать, чем прикидывать на бумаге. Доступ к «+Альянс Потоку» открыт на 30 дней бесплатно, карту привязывать не нужно. А не хочется собирать всё с нуля в одиночку — проведём демонстрацию на ваших задачах: вместе решим, за какими событиями следить, что делать в ответ и кого звать.
Пишите нам — настроим под ваш Яндекс 360 контроль, который срабатывает без вашего участия.
