Разбираемся с экспертами, кто и как охотится за данными и можно ли достичь 100% защиты.
Цифровая трансформация строительной отрасли и переход в BIM принесли не только новый уровень эффективности, но и новые риски. Поэтому, как отмечал ранее в интервью Всеостройке.рф заместитель министра строительства и ЖКХ РФ Константин Михайлик, кибербезопасность становится сегодня критически важным сервисом. Причем кибербезопасность на всех этапах: от управления персональными данными на этапе взаимодействия «клиент — застройщик» до проектирования, строительства и эксплуатации. О том, насколько реален хакерский интерес к строительной отрасли, откуда исходят главные угрозы и как строительным компаниям выстроить эффективную оборону, рассуждают эксперты рынка.
Хакеры не дремлют
Вопрос о том, является ли BIM-модель особой, приоритетной мишенью для киберпреступников, вызывает среди экспертов оживленную дискуссию. Взгляды колеблются от убежденности в уязвимости цифрового двойника до мнения, что отрасль сталкивается скорее с общими угрозами. Однако все сходятся в одном: концентрация информации в модели делает ее защиту важной для бизнеса.
Давид Худоян, генеральный директор компании Optima Development, обратил внимание, что многие сектора российской экономики регулярно подвергаются киберугрозам на протяжении последних лет. Строительная отрасль вовсе не выделяется на этом фоне особой уязвимостью.
«Чаще всего злоумышленники устраивают бот-атаки на публичные информационные ресурсы застройщиков, а также проводят фишинговые рассылки на корпоративные электронные адреса. Успешные попытки внедрения в цифровые экосистемы девелоперов — огромная редкость. Те же BIM-модели надежно защищены от внешних воздействий и деформаций», — считает эксперт.
О росте количества фишинговых атак на сотрудников через почту, мессенджеры и звонки рассказал и Владислав Гаранин, руководитель управления информационного моделирования группы «Самолет». Но, по его словам, это точно не связано с BIM-моделями. Тем не менее защищать их нужно.
«BIM-модели высокой степени проработки, в том числе модели стадии РД, содержат полную цифровую информацию о сооружении, включая объемы материалов. Утечка таких данных представляет серьезный риск: от финансовых махинаций при закупках до подготовки целенаправленных атак», — отметил Владислав.
Ведь BIM-модель — это совокупность сведений, документов и материалов об объекте в электронном виде, которые формируются на этапах инженерных изысканий, проектирования, строительства, реконструкции, капремонта, эксплуатации и сноса объекта, напомнил Рустам Саидов, директор по цифровой трансформации «Архплей Девелопмент». Модель позволяет отслеживать состояние объекта на всех этапах, что важно для экспертизы проектов и управления инвестиционно-строительными проектами.
«Соответственно, за этой информацией гоняются не только обычные хакеры, но и конкуренты, которые готовы платить за это определенные деньги для того, чтобы понимать, как зарабатывает компания-конкурент. Из BIM-модели при определенных технических возможностях всю эту информацию можно вычленить», — отметил он.
Модель содержит всю коммерческую тайну — от точных спецификаций до финансовых расчетов, подчеркнул Алексей Власевский, руководитель проектного офиса ПГС АСКОН.
«BIM-модель — это концентратор информации об объекте, содержащий в себе коммерческую тайну (точные спецификации материалов, полная стоимость проекта), критическую инфраструктуру (например, сводный план инженерных сетей). Она является привлекательной целью для атак “шифровальщиков”, так как заблокированная BIM-модель парализует проект и дает злоумышленнику огромный рычаг давления», — обратил внимание эксперт.
При этом, по мнению Александра Попова, технического директора SIGNAL, уязвимость строительных компаний обусловлена не уникальной ценностью BIM-моделей, а потенциально более слабой IT-инфраструктурой по сравнению с другими секторами, например, финансовым.
«Идея о том, что BIM-модель — это “лакомый кусок” для киберпреступников, является мифом. На практике у хакеров нет ни необходимого программного обеспечения (Revit, Navisworks), ни понимания, как можно монетизировать эти данные. Гигабайты чертежей и моделей не представляют для них прямой ценности. Реальная и наиболее серьезная угроза — это атаки с использованием программ-шифровальщиков. Цель таких атак — не кража данных, а полная парализация IT-инфраструктуры компании. Злоумышленники шифруют серверы и компьютеры пользователей, останавливая все бизнес-процессы, а затем требуют выкуп за восстановление доступа. Именно остановка деятельности, а не потеря файлов, наносит основной ущерб. Это заставляет сместить фокус с защиты самих данных на анализ основного источника уязвимостей», — считает Александр.
В свою очередь, Михаил Бочаров, заместитель генерального директора по научной работе АО «СиСофт Девелопмент» (входит в ГК «СиСофт»), не стал называть именно строительные компании новой мишенью для западных хакеров. По его словам, их гораздо больше интересуют объекты критической информационной инфраструктуры на этапе эксплуатации. Эксперт предлагает взглянуть на проблему шире:
«Здесь, как мне кажется, другая цель, ведь такой сегмент рынка, как строительство, тянет за собой много отраслей. Делается это, как сказал недавно президент, “чтобы повысить градус проблемности в обществе”. Своими действиями хакеры могут оставить строителей без работы, сделать стройматериалы и продукты строительства значительно дороже. Если вы “делаете BIM-модель” на западных продуктах и используете бесплатные просмотрщики для формата IFC, знайте: вы даете хакерам, даже самым неквалифицированным, преимущество для изучения ваших данных, в том числе и коммерческих данных ваших заказчиков. Лучше формируйте информационные модели, переходите на отечественное ПО и бесшовные технологии, не нуждающиеся в IFC. Нужно также понимать, что трехмерка — не самоцель. Это просто элемент визуализации и взаимосвязи на отдельных этапах жизненного цикла объекта капитального строительства (ОКС) и при необходимости — структура для хранения данных», — отметил эксперт.
Карта угроз
Эксперты солидарны: угрозы информационной безопасности носят комбинированный характер, формируя сложную и постоянно меняющуюся карту рисков. Ее можно условно разделить на два главных фронта: внешний и внутренний. Однако именно на стыке этих направлений, где ключевую роль играет человеческий фактор, могут возникнуть риски атак.
Александр Попов из SIGNAL ставит этот тезис во главу угла, подчеркивая, что технологии бессильны против ошибок персонала:
«Даже самые сложные и дорогостоящие технические системы защиты оказываются бесполезными, если игнорировать человеческий фактор. Именно сотрудники, а не технологические бреши, чаще всего становятся точкой входа для злоумышленников и самым слабым звеном в корпоративной безопасности», — подчеркивает эксперт.
По его наблюдениям, самая частая причина взломов — это фишинговые атаки, направленные на персонал. Механизм такой атаки предельно прост: сотруднику приходит электронное письмо, внешне похожее на легитимное, с просьбой перейти по ссылке (например, для проверки документа или входа в корпоративный портал). Перейдя по ссылке, пользователь попадает на поддельную страницу, где вводит свои корпоративные логин и пароль. Эти данные немедленно попадают к мошенникам, открывая им доступ во внутреннюю сеть компании.
Александр подчеркнул, что для хакеров атака на людей — самый простой и эффективный вектор, не требующий взлома сложных систем. Понимание этого является отправной точкой для построения действенной стратегии защиты.
Это подтверждает и Давид Худоян из компании Optima Development: основная угроза кроется в недостаточной бдительности. Но он отмечает, что компании уже активно учатся с этим бороться:
«Основной вид угрозы, обусловленный недостаточной бдительностью персонала, — переход на посторонние ссылки при получении сомнительных писем на электронную почту. Но полностью застраховаться от подобных рисков невозможно. Хотя в крупных компаниях сегодня, разумеется, установлены мощные спам-фильтры и антивирусные системы, а также ведется обстоятельная разъяснительная работа среди сотрудников. Иногда также для получения денег, конфиденциальной информации или доступа к персональным аккаунтам мошенники создают фейковые профили руководителей организаций в соцсетях».
Схожую классификацию угроз, приходящих извне и изнутри, приводит Иван Мартынов, системный администратор компании BM Group Development, выделяя типичные сценарии:
«Угрозы приходят извне (фишинг, атаки на облачные BIM-платформы, взломы подрядчиков) и изнутри — чаще всего по халатности. Один сотрудник, отправивший модель через личную почту или использовавший простой пароль, может стать слабым звеном, открывающим доступ ко всем данным проекта для злоумышленников», — перечислил эксперт.
Рустам Саидов («Архплей Девелопмент») детализирует эту карту, обращая внимание на риски в цепочке взаимодействия с подрядчиками и из-за бесконтрольного распределения прав внутри компании:
«Карта угроз строится следующим образом: внешнее окружение и внутреннее окружение. В карте угроз могут быть десятки параметров, которые нужно соблюсти и внимательно просмотреть на предмет уязвимости. Какие пути возникновения угроз существуют? Простейший пример: мы отправили подрядчику наш документ на корректировку, и может получиться так, что с противоположной стороны сотрудник несанкционированно “слил” информацию и уволился, перешел в другую компанию, таким образом получили утечку. Еще пример — если при управлении проектами по BIM-модели нет единой точки входа внутри компании, и часто бывает так, что права выдаются бесконтрольно сотрудникам: главному инженеру проекта, BIM-менеджеру, BIM-координатору, секретарю, который получает электронную почту, а в договоре с подрядчиком указано, что основным каналом передачи данных являются электронные почтовые отправления. На каждом из этих этапов существует определенная вероятность, что информация будет отправлена не по адресу», — поделился Рустам Саидов.
При этом карта угроз постоянно пополняется, добавляет Михаил Бочаров (АО «СиСофт Девелопмент», входит в ГК «СиСофт»). Он расширяет понятие внешних угроз, связывая их с геополитикой и выбором технологий, а также приводит пример «технической» некомпетентности:
«Ушедшие западные компании закрыли доступ к своим облакам. Если вы все еще пользуетесь облачными решениями, расположенными на серверах других стран, то продолжаете усугублять эти угрозы. Что касается халатности и некомпетентности сотрудников, самый простой пример такой некомпетентности — использование так называемых бесплатных просмотрщиков или сервисов, которые предлагают облачные услуги для формата IFC. Вообще от этого формата желательно уходить. Есть отечественные форматы (и их несколько), которые обеспечивают беспроблемное движение данных, в том числе и трехмерных, на протяжении всего жизненного цикла ОКС без использования формата IFC. Используя их, вы не только снизите свои трудозатраты, но и повысите информационную безопасность», — убежден эксперт.
Стратегия защиты
Выявление угроз — лишь первый шаг. Следующий, и главный, — выстроить на их основе работающую систему защиты. Рекомендации экспертов, несмотря на различия в деталях, сходятся в основных принципах: необходим комплексный подход, сочетающий технологические решения, строгие организационные процедуры и постоянное внимание к человеческому фактору.
Михаил Бочаров называет фундаментальным шагом переход на отечественные технологии, уход от уязвимых форматов и зарубежных облаков:
«Нужно начать с того, что BIM должен быть исключен не просто из лексикона, но и из смыслов. И это не “железный занавес”, как нас пугают некоторые, а просто первый и правильный шаг к реальности. Западные продукты, если вы в чем-то видите их преимущество, должны быть легальными, однако нужно четко понимать, что такие игры ни к чему хорошему не приведут. Политика импортозамещения, как бы ее ни тормозили, будет выполнена. И опасаться перехода на отечественное не нужно. Всю базу знаний, которая заключалась в западных разработках, легко перевести в продукты ГК “СиСофт” и дальше пользоваться более совершенной линейкой. Переходите на отечественное информационное моделирование. Это самый первый шаг, который должен быть сделан в выстраивании своей киберкрепости», — отмечает Михаил Бочаров.
Для ежедневной работы Давид Худоян из Optima Development предлагает конкретные и прагматичные правила:
«Во-первых, нужно не использовать пиратское программное обеспечение. Во-вторых, воздерживаться от пересылки массивов данных через мессенджеры. В-третьих, необходимо разрабатывать надежные алгоритмы шифрования облачных сервисов», — перечислил он.
И обязательно нужна техническая сегментация, добавляет Иван Мартынов из BM Group Development: выделение отдельных защищенных сетей для проектных команд и изоляция среды работ с BIM-данными от общей корпоративной сети. Немаловажно внедрение шифрования данных как при хранении (на серверах и ноутбуках), так и при передаче (через защищенные VPN или корпоративные облачные платформы с шифрованием).
«Введение строгой политики паролей и обязательной двухфакторной аутентификации для всех корпоративных систем. Основным принципом распределения прав должен стать принцип наименьших привилегий — каждый сотрудник получает доступ только к тем данным, которые необходимы для его конкретной задачи, и не более того. Параллельно необходимо внедрение регулярного обучения сотрудников по кибергигиене, так как человеческий фактор — главная уязвимость», — отметил Иван Мартынов.
Владислав Гаранин (группа «Самолет») также настаивает на создании контролируемой среды и четком управлении доступом:
«Начинать нужно с создания единой среды общих данных (СОД). Это должно быть файловое хранилище с четко настроенным ролевым доступом. С чего начать: внедрение системы управления доступом и прав, обязательное использование двухфакторной аутентификации и регулярное обучение персонала. Основной принцип распределения прав — принцип минимально необходимых привилегий. Сотрудник должен иметь доступ только к тем данным и функциям, которые абсолютно необходимы ему для выполнения его текущей работы, и ни к чему более», — считает Владислав.
В свою очередь, Рустам Саидов («Архплей Девелопмент») советует взглянуть на проблему глазами злоумышленника и сделать акцент на контроле документооборота:
«Чтобы выстроить эффективную защиту BIM-моделей, представьте себя на месте конкурента: какую информацию вы бы хотели получить, чтобы получить преимущество? Протестируйте несколько десятков таких гипотез. Это поможет выявить потенциальные угрозы и разработать стратегию их устранения.
Не стоит забывать и о таких угрозах, которые, казалось бы, напрямую не касаются информационной модели, например, как “программы-шифровальщики”. Но, попадая в сеть компании, в качестве “маленького прицепа” они могут зашифровать всю документацию, и хакеры начинают требовать выкуп за ее восстановление. Особенно это опасно для крупных проектов, где стоимость исчисляется миллиардами рублей. Злоумышленники не разблокируют файлы, пока не получат требуемую сумму.
Для защиты от подобных угроз важно внедрить единую точку входа для всех документов, где BIM-менеджер будет контролировать их распределение. Документы должны передаваться с верификацией и подтверждением электронной подписью, предварительной технической проверкой, для исключения потенциальных угроз. Также, как правило, необходимо регулярно обновлять пароли, использовать электронные ключи и пересматривать доступы при увольнении сотрудников и т. д.», — отметил эксперт.
В целом эффективная кибербезопасность строится на базовых принципах, которые не зависят от специфики данных, будь то BIM-модели или финансовые отчеты, подытожил Александр Попов (SIGNAL). Так как в основе любой надежной системы лежат не столько сложные технологии, сколько продуманные превентивные и организационные меры.
Ключевые компоненты стратегии защиты, по его словам, можно свести к трем направлениям:
- Изоляция контура. Необходимо минимизировать количество точек входа во внутреннюю сеть компании извне. Доступ должен быть строго ограничен и контролируем. Например, удаленное подключение следует разрешать только определенным сотрудникам через защищенный VPN-канал, при этом ведя строгий учет всех подключений.
- Обучение персонала. Важнейшая мера — постоянная разъяснительная работа с сотрудниками. Необходимо создавать простые и понятные инструкции (методички), объясняющие, как распознавать подозрительные письма и сообщения. Главное правило, которое должен усвоить каждый: не переходить по незнакомым ссылкам и не открывать вложения от неизвестных отправителей.
- Практические тренировки. Теория должна подкрепляться практикой. Эффективным методом является проведение внутренних тестовых фишинговых рассылок. Это позволяет выявить сотрудников, которые наиболее уязвимы, и провести с ними дополнительное, более углубленное обучение.
Однако, подчеркнул Александр, даже самые строгие превентивные меры не гарантируют стопроцентной безопасности, что подводит к концепции управления рисками.
Можно ли достичь 100% защиты?
В современном цифровом мире концепция 100% защиты является иллюзией, говорят опрошенные Всеостройке.рф эксперты. По словам Александра Попова, технического директора SIGNAL, крупнейшие корпорации с многомиллионными бюджетами на безопасность подвергаются взломам, что доказывает: любую систему можно обойти. Поэтому фокус необходимо сместить со строительства неприступной «крепости» на создание устойчивой и быстро восстанавливаемой системы.
По его словам, современная стратегия управления рисками строится на двух принципах:
- Быть готовым к взлому. Необходимо принять как факт, что рано или поздно инцидент может произойти.
- Фокус на восстановлении. Главная задача — не предотвратить атаку любой ценой, а обеспечить возможность полностью восстановить всю IT-инфраструктуру и данные в кратчайшие сроки, в идеале — в течение суток.
«Для этого необходимы конкретные шаги: регулярное создание резервных копий (бэкапов) и, что критически важно, проведение учений по их развертыванию не реже одного раза в квартал или полгода. Только так можно быть уверенным, что в нужный момент бэкапы окажутся рабочими и помогут быстро возобновить деятельность компании», — считает Александр Попов.
Михаил Бочаров (АО «СиСофт Девелопмент», входит в ГК «СиСофт») разделяет тезис о недостижимости абсолютной защиты, но видит в этом эволюционный вызов:
«Стопроцентная защита недостижима, даже если вы сделаете локальную сеть без возможности подключения по Wi-Fi телефонов, планшетов и так далее. Люди, разрабатывающие умные технологии, все равно найдут способ, как украсть данные. Просто когда эти данные украсть легко, заморачиваться новыми хакерскими разработками никто не станет. Но когда защита будет повсеместной, конечно, будут и новые схемы воровства данных», — отметил эксперт.
Для защиты данных Иван Мартынов, системный администратор компании BM Group Development, предлагает прагматичный подход через оценку стоимости рисков и внедрение многоуровневой защиты:
«Приемлемый уровень риска определяется через анализ стоимости возможных инцидентов (простой проекта, штрафы, репутация) и сравнение с бюджетом на безопасность. Управлять рисками можно, внедряя многоуровневую защиту (процедуры + технологии + обучение), регулярные тесты на проникновение и четкий план реагирования на инциденты, чтобы минимизировать ущерб», — считает он.
«Стопроцентной защиты данных достичь невозможно, но можно минимизировать риски, — соглашается Рустам Саидов из «Архплей Девелопмент». — Важно определить приемлемый уровень риска, который компания готова принять в случае кибератаки. Это включает оценку возможных финансовых потерь, например, при атаке шифровальщика, когда компания не сможет работать и выдавать документацию. Некоторые облачные компании даже предлагают компенсацию за возможные потери, что также стоит учитывать при выборе подрядчиков. В конечном итоге, все риски оцениваются в денежном выражении — это процент от предполагаемой прибыли проекта».
Таким образом, обеспечение кибербезопасности в эпоху цифрового строительства и BIM-технологий — это не разовая задача по установке «волшебного щита», а непрерывный стратегический процесс управления рисками. Как убедительно показала дискуссия экспертов, попытка достичь стопроцентной защиты является иллюзией, которая лишь отвлекает ресурсы и создает ложное чувство безопасности.
Впрочем, как отметил Давид Худоян из Optima Development, уровень угроз сегодня не является критичным.
«Девелоперы обладают комплексными системами защиты. Так что утечки стратегической информации и тем более ее искажения — нечастое явление. И еще ни одна российская строительная организация не понесла на этом фоне фатальный ущерб», — заключил эксперт.
Но даже такое видение ситуации не отменяет необходимости системной работы. Оно скорее указывает на то, что строительный сектор осознает риски и движется в правильном направлении — от реагирования на инциденты к их упреждающему управлению. В конечном счете устойчивость к киберугрозам превращается в ключевое конкурентное преимущество, гарантирующее сохранность данных, выполнение обязательств и деловую репутацию компании в цифровую эпоху.
Ранее портал Всеостройке.рф рассказал, как BIM защищает девелопера от фатальных затрат в кризис.