Утечка у критического подрядчика: как понять ущерб без остановки сервиса

Отсутствие простоя часто создает ложное спокойствие. При атаке на доступность сервис действительно перестает работать, но при краже данных преступнику выгодно оставаться незаметным. Клиенты продолжают входить в систему, сотрудники выполняют операции, а копирование информации уже произошло.

Первый вопрос после уведомления подрядчика - не «работает ли сервис», а «какие данные были доступны нарушителю». Нужно разделить учетные записи, документы, переписку, технические журналы, персональные данные и коммерческую информацию. Формулировка «затронута часть среды» без перечня объектов не позволяет оценить риск.

Второй вопрос касается времени. Важны дата первого доступа, момент обнаружения, продолжительность присутствия и дата подтвержденного закрытия. Чем дольше неизвестное окно, тем шире круг действий, которые нужно проверить у себя: входы, смену реквизитов, выгрузки, обращения в поддержку и создание новых пользователей.

Третий вопрос - какие секреты могли перейти к злоумышленнику. Пароли, токены интеграций, ключи API, резервные коды, ссылки на документы и служебные адреса требуют замены даже тогда, когда подрядчик не подтверждает их использование. Компрометированный секрет нельзя сделать безопасным обещанием наблюдать за ним.

Далее оценивается вторичный риск. Сведения о сотрудниках и клиентах могут использоваться для адресного фишинга, поддельных счетов и убедительных звонков от имени поддержки. Поэтому уведомление должно объяснять не только факт инцидента, но и конкретные признаки последующей атаки.

Договор с критическим поставщиком должен заранее определять срок уведомления, содержание отчета, сохранение доказательств, участие в расследовании, ответственность субподрядчиков и порядок удаления данных. Без этих условий клиент узнает только ту часть истории, которую поставщик решил раскрыть.

HEIMDALL помогает оценить подрядчика до подключения и пересмотреть риск после инцидента. Решение зависит не от красивого статуса «все системы работают», а от масштаба данных, качества реакции, прозрачности расследования и возможности безопасно продолжать сотрудничество.