Security & Usability: что будет, если безопасность заменит удобство

После каждого крупного инцидента ИБ в компаниях, который затронул пользователей, весь негатив получают далеко не киберпреступники, а именно компания – она несет репутационный ущерб независимо от того, сложно ли было злоумышленникам ее взломать.

В комментариях к постам люди задаются вопросом: «ну неужели нельзя было сделать безопасно?!». В этой статье мы выбрали несколько отраслей с большим количеством пользователей, и попросили экспертов описать «максимально секьюрную» реализацию сервисов.

Задачи безопасности и удобства приложений

Исторически сложилось так, что чаще всего безопасность обеспечивалась за счет юзабилити и наоборот. Многие продолжают придерживаться мнения, что не существует способа достичь эффективной безопасности и комфорта использования одновременно. Это просто не работает, ведь у безопасности и удобства разные подходы и стратегии. В таблице ниже представили важные цели Security и Usability.

Но нужно ли ставить в приоритет только безопасность? Есть вероятность, что по-настоящему безопасный процесс всегда будет неудобен, а, значит, неинтересен пользователям.

Как выглядит безопасность без комфорта использования

Представить привычные нам приложения, разработанные по всем правилам безопасности, без глубоких технических знаний достаточно сложно. Поэтому мы обратились к экспертам и попросили их пофантазировать.

Финансы: баланс можно узнать только по запросу

Такие приложения предназначены для управления личными финансами, отслеживания расходов, составления бюджета и осуществления инвестиций. Они предоставляют пользователям различные инструменты и функции для принятия обоснованных финансовых решений и достижения своих финансовых целей. Но как могли бы выглядеть приложения категории «Финансы», если сделать их максимально секьюрно?

Роман Панин

Автор телеграм-канала «Пакет Безопасности», руководитель направления архитектуры ИБ в МТС

Максимально секьюрное приложение категории «Финансы», на мой взгляд, выглядело бы так:

1. Вход в приложение возможен только через Госуслуги.
2. Доступ к адресной книге в телефоне всегда запрещен, поэтому, чтобы перевести кому-то деньги по СБП, нужно вбивать номер телефона вручную.
3. Баланс личного счета не виден в мобильном приложении, так как кто угодно может смотреть в этот момент в ваш экран, а это уже разглашение банковской тайны. Но свой баланс всегда можно легко узнать, просто позвонив в банк.
4. Чтобы первый раз войти в мобильное приложение на новом устройстве, нужно обратиться в офис банка (даже если это банк без офисов). Обязательно предоставить клерку свой паспорт, свидетельство о рождении и договор с банком для получения уникального 18-значного одноразового кода, состоящего из букв разных алфавитов и регистров, цифр и спецсимволов. Код необходимо ввести в мобильное приложение вручную в течение 15 минут после получения.
5. Доступ к буферу обмена в мобильном приложении также запрещен, поэтому все номера карт, одноразовые коды и другие идентификаторы необходимо вводить вручную.

Достаточно сложно и раздражающе, не так ли? Финансовые и банковские приложения — неотъемлемая часть жизни современного человека. И хорошо, что разработчики сочетают в них безопасность и удобство. Когда банковское или финансовое приложение безопасно и удобно в использовании, пользователи доверяют ему свои финансовые данные и деньги. Это доверие имеет решающее значение для удержания клиентов и роста бизнеса.

Соцсети: в друзья только при наличии трех поручителей

Платформы, которые позволяют пользователям общаться, делиться контентом и строить отношения с другими людьми, разделяющими схожие интересы, мы привычно называем соцсетями. Они создали сетевой эффект, соединяющий людей по всему миру и изменяющий способ нашего общения и взаимодействия друг с другом. Но так ли легко общаться было бы в них, если включить безопасность приложений на полную силу?

Александр Луганский

Менеджер по развитию UserGate

Добавление в «друзья» происходит только по согласованию с ГИС ЗАГС (они уже выкатили это обновление 2 июня), либо при подтверждении не менее 5 физических лиц о том, что знакомство действительно состоялось.

В случае сомнений администрация Соцсети может назначить тест на знание взаимных особенностей и привычек, а на прохождение дается ограниченное время и не более двух попыток.

В качестве меры, способствующей ускорению процесса согласования, может быть предоставлена справка от психолога о том, что отношения не являются абьюзивными, не происходит оскорбление личности, а также справка из вечернего клуба о том, что у физических лиц, решивших вступить в дружеские отношения в социальной сети, присутствуют общие интересы.

Очевидно, что подобная однобокость в выборе приоритета стала бы для соцсетей фатальной. А вот приложения, которые сочетают безопасность и удобство использования, привлекают больше пользователей и увеличивают свою пользовательскую базу.

Игры: опрос после каждой «катки»

Игровые приложения — это цифровые развлекательные платформы, которые предоставляют пользователям интерактивные игровые возможности на их мобильных устройствах или компьютерах. Они охватывают широкий спектр жанров, от казуальных и головоломок до ролевых игр и шутеров от первого лица.

Сергей Зыбнев

Пентестер Awillix

На мой взгляд, 100% секьюрность в игровых приложениях могла бы выглядеть так:

1. Перед входом в игру нужно включать веб-камеру, направленную на лицо.
2. Скачать специальный софт, который 12 часов до игры будет проверять вашу деятельность за ПК, все файлы на наличие читов, трейнеров и иных видов программ, облегчающих игру.
3. Обязательно будет анализ характеристик ПК, включая все железо и периферию.
4. Когда вы, наконец, сможете зайти в лаунчер, придется пройти личное онлайн-собеседование с командой разработчиков. Они будут расспрашивать, почему вы выбрали их игру, какой у вас скил и т. д.
5. Когда вы начнете играть, в фоне будет запущен очень жесткий античит, блокирующий любые процессы, которые могут внедряться в процесс игры, а также оверлей программы, включая Nvidia Overlay. Еще он будет высчитывать ваш АПМ. При аномальном возрастании АПМ, вас сразу же кикнет из матча и вы будете вызваны на проверку 10 модераторов.
6. Все игровые файлы вне игры зашифрованы AES-256, чтобы вы не могли изучать исходники. Античит при включении игры будет расшифровывать файлы, что будет занимать 3-5 минут. А если вы попробуете что-то сделать с файлами игры, то вас автоматически забанят и компьюнет будет зашифрован до выяснения обстоятельств.

Хорошо, что разработчики понимают, что сочетание Security и Usability в игровых приложениях обеспечивает безопасный и приятный игровой опыт для пользователей. Ведь для многих пользователей игра — это способ отвлечься и расслабиться. А чрезмерная секьюрность в данной сфере способна сжечь немало нервных клеток игроков.

Образование: доступ к курсам через полиграф

Приложения, предназначенные для обучения и саморазвития, охватывают широкий спектр тем — от иностранных языков до науки и искусства. Объединяет их общая цель — предоставление знаний и умений в удобной и доступной форме. Такие приложения используют различные методики: интерактивные уроки, видеолекции, тесты и игры. Они позволяют пользователям изучать новое в любое время и в любом месте, делая образование более гибким и индивидуализированным. Но было бы так, если разработчики ориентировались только на безопасность? 

Сергей Полунин

Руководитель группы защиты инфраструктурных ИТ-решений компании «Газинформсервис»

Основная проблема безопасности образовательных платформ — вероятность, что знания окажутся не в тех руках. Соответственно, основным механизмом защиты будет выступать необходимость подтверждения, что вам действительно нужны полученные знания.

Для каких-то базовых курсов подойдет простой набор документов: характеристика с места работы, описание решаемых производственных задач, скан школьного аттестата. А вот для курсов по защите информации или тестирование на проникновение уже потребуется тестирование на полиграфе, а также подписка о невыезде.

Хотя безопасность — важный фактор при разработке любого приложения, чрезмерная сосредоточенность на ней в ущерб другим аспектам, таким как удобство использования и образовательная ценность, может негативно сказаться на продаваемости и популярности продукта.

Доставка: безопаснее забрать самовывозом

Маркетплейсы и службы доставки — это приложения, которые соединяют покупателей и продавцов, обеспечивая удобную и эффективную платформу для торговли и доставки товаров. Общая черта, объединяющая эти приложения — акцент на удобстве и эффективности. Они устраняют необходимость посещать физические магазины и предоставляют покупателям возможность совершать покупки в любое время и в любом месте. Кроме того, они упрощают доставку заказов, уменьшая хлопоты и экономя время клиентов.

Сергей Полунин

Руководитель группы защиты инфраструктурных ИТ-решений компании «Газинформсервис»

В мире, где безопасность превыше всего — доставки отсутствуют как класс. Потому что транспортные компании — это слабое звено и дополнительная поверхность для атаки. В идеале пользователь бронирует товар по телефону и самостоятельно едет забирать его со склада. При этом потребуется подтверждение личности, анкетирование, а при покупке определенных видов товаров, сдача анализов биологических жидкостей.

Фактически безопасное приложения доставки или маркетплейса — это то, чего не должно существовать в идеальном секьюрном мире. А в реальной жизни упор только на безопасность при создании приложений для доставки или маркетплейсов — плохая идея. Это приведет к разочарованию и оттоку клиентов, затруднению интеграции со сторонними сервисами, а также плохо скажется на репутации бренда и лояльности клиентов.

Подводя итоги

Бизнесу почти всегда нужны экономически целесообразные сервисы – те, которые приносят деньги. Если приложение трижды безопасно, но неудобно для пользователя – оно станет обузой и с большой вероятностью будет переработано в сторону смягчения политик безопасности.

Достижение баланса между удобством для пользователя и безопасностью требует тщательного планирования, проектирования и внедрения. Разработчики должны постоянно следить за развивающимся ландшафтом угроз и внедрять передовые методы для защиты приложений и данных пользователей.

Вместе с тем, вряд ли когда-то наступит момент, когда после успешной кибератаки пользователи начнут массово посылать в комментариях «лучи добра» и ругать злых киберпреступников.