НКЦКИ не советует обновлять opensource-софт из-за угрозы новых санкций

Угроза введения новых санкций против российских бизнес- и госструктур пока сохраняет свою актуальность. Поскольку такие ограничения могут повлечь повышение рисков в ИТ-сфере, Национальный координационный центр по компьютерным инцидентам (НКЦКИ) счел нужным опубликовать рекомендации по защите таких активов в новых условиях.

Приостановка поставок в Россию товаров и услуг, на которые привыкли полагаться существующие ИТ-инфраструктуры, способна нарушить их нормальное функционирование, повлиять на доступность информационных ресурсов, снизить эффективность средств ИБ. Зафиксированы также попытки проведения хактивистских атак посредством внедрения в свободно распространяемый софт вредоносных функций, выполняемых только на машинах россиян.

Минимизировать риски в отношении текущих угроз, по мнению НКЦКИ, помогут следующие меры (PDF): 

1. Перенос хостинга общедоступных ресурсов на территорию РФ.
2. Готовность компенсировать риски в случае отказа хостера разместить публичный ресурс из-за ассоциаций с компанией, находящейся под санкциями.
3. Отказ от использования иностранных DNS-серверов для публичных ресурсов, в том числе в качестве промежуточного звена.
4. Передача управления доменными именами публичных ресурсов отечественным регистраторам.
5. Перенос публичных ресурсов в TLD-зону .ru (по возможности).
6. Регулярная проверка связности подопечных AS-систем.
7. Разработка плана по переходу на самоподписанные SSL-сертификаты или сертификаты УЦ, находящихся на территории России.
8. Замена облачных решений (мессенджеров, CRM, IDE, средств коллективной работы, офисных пакетов) отечественными аналогами либо решениями, которые разворачиваются локально и не предусматривают внешнего контроля со стороны производителя.
9. Замена продуктов, требующих проверку лицензии за рубежом.
10. Создание локальных хранилищ дистрибутивов программных продуктов и opensource-софта, отказ от обновления таких продуктов (в случае особой нужды апдейт всегда можно проверить в тестовой среде).
11. Предельное ограничение использования стороннего софта с открытым исходным кодом.
12. Создание условий для безопасного обновления opensource-софта в составе программных комплексов отечественного производства.
13. Отказ от сотрудничества с контрагентами, которые не могут принимать платежи с территории РФ.

Напомним, ранее НКЦКИ опубликовал рекомендации по повышению уровня защищенности веб-приложений в рунете и снижению рисков для пользователей.