О

Операционщик

IT и технологии · 28 октября 2026 г.

Открыть канал в MAX

Зачем айтишник за 30 секунд завод выключил

Зачем айтишник за 30 секунд завод выключил Глянул на днях вот этот выпуск подкаста "Не защищены" от "Инфосистемы Джет", где Ринат Сагиров (руководит у них центром мониторинга и реагирования) рассказывает, что делать компании сразу после взлома. В 4-м выпуске он общается с людьми, которые сталкивались с реальными атаками: IT-директором российского Great Wall Motor и замдиректором по ИБ "Дом. РФ Технологии". Там были разные тезисы. Например, что атака обязательно будет в самый неудобный момент - когда в самолёте летите или в выходные отдыхаете (одного из гостей она застала в Питере с женой, другая команда просидела в расследовании всё 8 марта). Что бизнесу в первые дни не нужны детали взлома. И про "написанные кровью" ценные плейбуки, которые в момент икс естественно никто не откроет. Но больше всего меня зацепила история ИТ-директора Great Wall Motor. На мой взгляд, она хорошо показывает, насколько решение во время атаки может расходиться с привычной айтишной логикой. Вскрыли компанию, IT-директор получает звонок, у него 5 минут на осознание и 30 секунд на решение. И он решает: выключаем вообще ВСЁ - завод, офис, дистрибуцию и даже сервисы, которые не были скомпрометированы, хотя на тот момент речь шла об одной хакнутой системе. И хорошо, что он смог донести до бизнеса истину: "либо стоим один день, либо теряем всё и восстанавливаемся неделями". Мог и не донести, но тут получилось грамотно "надавить на нужный KPI". Ретроспективно решение верное. Но смотрите, кто его принимал - Директор по ИТ, у которого главный KPI = доступность систем. То есть, человек своими руками обнулил собственный ключевой показатель, но это стало самым верным решением. Потому что в этот момент важнее сохранить возможность вообще запустить компанию обратно. Кибербез - это наверно единственная корпоративная функция, где хорошая работа выглядит как "ничего не произошло", а правильное действие в кризис внешне похоже на саботаж 🤔 Конечно, выключать всё при любой атаке нужно не всегда. В выпуске отдельно обсуждают, когда можно изолировать только часть инфраструктуры. Но чтобы выбирать между этими вариантами, хорошо бы заранее понимать, как у вас все связано, что можно отрубить, и из чего потом восстанавливаться. Вот тут и нужна та самая скучная база: проверенные бэкапы, знание инфраструктуры и т.д. Потому что в момент атаки будет не до изучения всего этого, мягко говоря. Дальше у того IT-директора из видоса было три месяца "откровенной паранойи", и коллеги даже подходили и говорили "ну нормально же всё, чо ты начинаешь". Вот тут я его отлично понимаю. У меня пару лет назад чуть не угнали канал - уже влезли, я успел выкинуть вовремя, всё поменял, и вообще потом упоролся по защите, но осадочек такой, что ещё внукам хватит. Теперь проверяю сессии минимум утром и вечером, хотя Телега сама обычно орёт о подозрительных входах. И это какой-то там канал (ладно, не какой-то там, а лучший во всей Телеге!), а там у ребят целый завод с кучей людей и данных. Короче, обоснованная трезвая паранойя - это единственный реально работающий механизм защиты. Но лучше воплотить ее в понятный план. Какие бы бюджеты, регламенты и NGFW за кучу деняк ни встраивали - риск взлома остается. Поэтому "стелить соломку” стоит до рокового звонка: отработать сценарий реагирования, проверить восстановление и определить того самого везунчика, который в день икс сможет принять решение об остановке сервисов. P.S. Не просто так даже в 2026 году, когда есть самые разные сценарии атаки и технические средства и т.д., чаще всего всё начинается с фишинга и соц-инженерии.