![После каждого крупного инцидента ИБ в компаниях, который затронул пользователей, весь негатив получают далеко не киберпреступники, а именно компания – она несет репутационный ущерб независимо от того, сложно ли было злоумышленникам ее взломать.В комментариях к постам люди задаются вопросом: «ну неужели нельзя было сделать безопасно?!» Security & Usability: что будет, если безопасность заменит удобство](/upload/resize_cache/iblock/a84/847_360_2/s70oxxkt6pjrid4bo24q8snr96r0v2sb.jpg)
После каждого крупного инцидента ИБ в компаниях, который затронул пользователей, весь негатив получают далеко не киберпреступники, а именно компания – она несет репутационный ущерб независимо от того, сложно ли было злоумышленникам ее взломать.
В комментариях к постам люди задаются вопросом: «ну неужели нельзя было сделать безопасно?!». В этой статье мы выбрали несколько отраслей с большим количеством пользователей, и попросили экспертов описать «максимально секьюрную» реализацию сервисов.
Исторически сложилось так, что чаще всего безопасность обеспечивалась за счет юзабилити и наоборот. Многие продолжают придерживаться мнения, что не существует способа достичь эффективной безопасности и комфорта использования одновременно. Это просто не работает, ведь у безопасности и удобства разные подходы и стратегии. В таблице ниже представили важные цели Security и Usability.
Безопасность |
Удобство |
Многоуровневая безопасность. Внедряются многоуровневые меры безопасности для защиты данных пользователей, включая шифрование, двухфакторную аутентификацию и регулярные обновления безопасности. |
Упрощенный пользовательский интерфейс. Приложения разрабатываются с интуитивно понятным и простым в использовании интерфейсом, который требует минимальных усилий для навигации и выполнения задач. |
Соблюдение отраслевых стандартов. Приложения разрабатываются в соответствии с признанными отраслевыми стандартами безопасности, такими как PCI DSS и ISO 27001, что гарантирует соответствие лучшим практикам. |
Персонализированный опыт. Приложения персонализируются на основе предпочтений и поведения пользователей, что делает взаимодействие более релевантным и приятным. |
Управление идентификацией и доступом. Реализуется строгая система управления идентификацией и доступом (IAM) для контроля доступа к данным и функциям приложения. |
Быстрая загрузка и производительность. Приложения оптимизируются для быстрой загрузки и плавной работы на разных устройствах и сетевых условиях. |
Регулярный мониторинг и тестирование. Приложения постоянно контролируются и тестируются на наличие уязвимостей, а обновления безопасности оперативно выпускаются для устранения любых обнаруженных проблем. |
Доступность. Приложения разрабатываются с учетом различных потребностей пользователей, включая пользователей с ограниченными возможностями и тех, кто не является носителем языка. |
Но нужно ли ставить в приоритет только безопасность? Есть вероятность, что по-настоящему безопасный процесс всегда будет неудобен, а, значит, неинтересен пользователям.
Представить привычные нам приложения, разработанные по всем правилам безопасности, без глубоких технических знаний достаточно сложно. Поэтому мы обратились к экспертам и попросили их пофантазировать.
Такие приложения предназначены для управления личными финансами, отслеживания расходов, составления бюджета и осуществления инвестиций. Они предоставляют пользователям различные инструменты и функции для принятия обоснованных финансовых решений и достижения своих финансовых целей. Но как могли бы выглядеть приложения категории «Финансы», если сделать их максимально секьюрно?
Роман Панин
Автор телеграм-канала «Пакет Безопасности», руководитель направления архитектуры ИБ в МТС
Максимально секьюрное приложение категории «Финансы», на мой взгляд, выглядело бы так:
- Вход в приложение возможен только через Госуслуги.
- Доступ к адресной книге в телефоне всегда запрещен, поэтому, чтобы перевести кому-то деньги по СБП, нужно вбивать номер телефона вручную.
- Баланс личного счета не виден в мобильном приложении, так как кто угодно может смотреть в этот момент в ваш экран, а это уже разглашение банковской тайны. Но свой баланс всегда можно легко узнать, просто позвонив в банк.
- Чтобы первый раз войти в мобильное приложение на новом устройстве, нужно обратиться в офис банка (даже если это банк без офисов). Обязательно предоставить клерку свой паспорт, свидетельство о рождении и договор с банком для получения уникального 18-значного одноразового кода, состоящего из букв разных алфавитов и регистров, цифр и спецсимволов. Код необходимо ввести в мобильное приложение вручную в течение 15 минут после получения.
- Доступ к буферу обмена в мобильном приложении также запрещен, поэтому все номера карт, одноразовые коды и другие идентификаторы необходимо вводить вручную.
Достаточно сложно и раздражающе, не так ли? Финансовые и банковские приложения — неотъемлемая часть жизни современного человека. И хорошо, что разработчики сочетают в них безопасность и удобство. Когда банковское или финансовое приложение безопасно и удобно в использовании, пользователи доверяют ему свои финансовые данные и деньги. Это доверие имеет решающее значение для удержания клиентов и роста бизнеса.
Платформы, которые позволяют пользователям общаться, делиться контентом и строить отношения с другими людьми, разделяющими схожие интересы, мы привычно называем соцсетями. Они создали сетевой эффект, соединяющий людей по всему миру и изменяющий способ нашего общения и взаимодействия друг с другом. Но так ли легко общаться было бы в них, если включить безопасность приложений на полную силу?
Александр Луганский
Менеджер по развитию UserGate
Добавление в «друзья» происходит только по согласованию с ГИС ЗАГС (они уже выкатили это обновление 2 июня), либо при подтверждении не менее 5 физических лиц о том, что знакомство действительно состоялось.
В случае сомнений администрация Соцсети может назначить тест на знание взаимных особенностей и привычек, а на прохождение дается ограниченное время и не более двух попыток.
В качестве меры, способствующей ускорению процесса согласования, может быть предоставлена справка от психолога о том, что отношения не являются абьюзивными, не происходит оскорбление личности, а также справка из вечернего клуба о том, что у физических лиц, решивших вступить в дружеские отношения в социальной сети, присутствуют общие интересы.
Очевидно, что подобная однобокость в выборе приоритета стала бы для соцсетей фатальной. А вот приложения, которые сочетают безопасность и удобство использования, привлекают больше пользователей и увеличивают свою пользовательскую базу.
Игровые приложения — это цифровые развлекательные платформы, которые предоставляют пользователям интерактивные игровые возможности на их мобильных устройствах или компьютерах. Они охватывают широкий спектр жанров, от казуальных и головоломок до ролевых игр и шутеров от первого лица.
Сергей Зыбнев
Пентестер Awillix
На мой взгляд, 100% секьюрность в игровых приложениях могла бы выглядеть так:
- Перед входом в игру нужно включать веб-камеру, направленную на лицо.
- Скачать специальный софт, который 12 часов до игры будет проверять вашу деятельность за ПК, все файлы на наличие читов, трейнеров и иных видов программ, облегчающих игру.
- Обязательно будет анализ характеристик ПК, включая все железо и периферию.
- Когда вы, наконец, сможете зайти в лаунчер, придется пройти личное онлайн-собеседование с командой разработчиков. Они будут расспрашивать, почему вы выбрали их игру, какой у вас скил и т. д.
- Когда вы начнете играть, в фоне будет запущен очень жесткий античит, блокирующий любые процессы, которые могут внедряться в процесс игры, а также оверлей программы, включая Nvidia Overlay. Еще он будет высчитывать ваш АПМ. При аномальном возрастании АПМ, вас сразу же кикнет из матча и вы будете вызваны на проверку 10 модераторов.
- Все игровые файлы вне игры зашифрованы AES-256, чтобы вы не могли изучать исходники. Античит при включении игры будет расшифровывать файлы, что будет занимать 3-5 минут. А если вы попробуете что-то сделать с файлами игры, то вас автоматически забанят и компьюнет будет зашифрован до выяснения обстоятельств.
Хорошо, что разработчики понимают, что сочетание Security и Usability в игровых приложениях обеспечивает безопасный и приятный игровой опыт для пользователей. Ведь для многих пользователей игра — это способ отвлечься и расслабиться. А чрезмерная секьюрность в данной сфере способна сжечь немало нервных клеток игроков.
Приложения, предназначенные для обучения и саморазвития, охватывают широкий спектр тем — от иностранных языков до науки и искусства. Объединяет их общая цель — предоставление знаний и умений в удобной и доступной форме. Такие приложения используют различные методики: интерактивные уроки, видеолекции, тесты и игры. Они позволяют пользователям изучать новое в любое время и в любом месте, делая образование более гибким и индивидуализированным. Но было бы так, если разработчики ориентировались только на безопасность?
Сергей Полунин
Руководитель группы защиты инфраструктурных ИТ-решений компании «Газинформсервис»
Основная проблема безопасности образовательных платформ — вероятность, что знания окажутся не в тех руках. Соответственно, основным механизмом защиты будет выступать необходимость подтверждения, что вам действительно нужны полученные знания.
Для каких-то базовых курсов подойдет простой набор документов: характеристика с места работы, описание решаемых производственных задач, скан школьного аттестата. А вот для курсов по защите информации или тестирование на проникновение уже потребуется тестирование на полиграфе, а также подписка о невыезде.
Хотя безопасность — важный фактор при разработке любого приложения, чрезмерная сосредоточенность на ней в ущерб другим аспектам, таким как удобство использования и образовательная ценность, может негативно сказаться на продаваемости и популярности продукта.
Маркетплейсы и службы доставки — это приложения, которые соединяют покупателей и продавцов, обеспечивая удобную и эффективную платформу для торговли и доставки товаров. Общая черта, объединяющая эти приложения — акцент на удобстве и эффективности. Они устраняют необходимость посещать физические магазины и предоставляют покупателям возможность совершать покупки в любое время и в любом месте. Кроме того, они упрощают доставку заказов, уменьшая хлопоты и экономя время клиентов.
Сергей Полунин
Руководитель группы защиты инфраструктурных ИТ-решений компании «Газинформсервис»
В мире, где безопасность превыше всего — доставки отсутствуют как класс. Потому что транспортные компании — это слабое звено и дополнительная поверхность для атаки. В идеале пользователь бронирует товар по телефону и самостоятельно едет забирать его со склада. При этом потребуется подтверждение личности, анкетирование, а при покупке определенных видов товаров, сдача анализов биологических жидкостей.
Фактически безопасное приложения доставки или маркетплейса — это то, чего не должно существовать в идеальном секьюрном мире. А в реальной жизни упор только на безопасность при создании приложений для доставки или маркетплейсов — плохая идея. Это приведет к разочарованию и оттоку клиентов, затруднению интеграции со сторонними сервисами, а также плохо скажется на репутации бренда и лояльности клиентов.
Бизнесу почти всегда нужны экономически целесообразные сервисы – те, которые приносят деньги. Если приложение трижды безопасно, но неудобно для пользователя – оно станет обузой и с большой вероятностью будет переработано в сторону смягчения политик безопасности.
Достижение баланса между удобством для пользователя и безопасностью требует тщательного планирования, проектирования и внедрения. Разработчики должны постоянно следить за развивающимся ландшафтом угроз и внедрять передовые методы для защиты приложений и данных пользователей.
Вместе с тем, вряд ли когда-то наступит момент, когда после успешной кибератаки пользователи начнут массово посылать в комментариях «лучи добра» и ругать злых киберпреступников.
Нажимая на кнопку, я даю Согласие на обработку персональных данных в соответствии с Политикой обработки.
Зарегистрироваться