IT-эксперт Гусев заявил, что корпоративные менеджеры паролей больше не обеспечивают полную защиту бизнеса
:format(webp)/YXJ0aWNsZXMvaW1hZ2UvMjAyNi85L3NpdGUtbmV3cy1pbWFnZS05OF9TRXh6VWg4LmpwZw.webp?w=1920)
Корпоративные менеджеры паролей помогают сотрудникам хранить сложные пароли и безопасно делиться учетными данными. Однако в современной ИТ-инфраструктуре, где взаимодействия происходят автоматически между приложениями и сервисами, они становятся недостаточными. Об этом заявил в интервью радио Sputnik технический директор HASPBOX Александр Гусев.
Эксперт отметил, что проблема заключается в машинных секретах, таких как API-ключи, токены и сертификаты. Они могут одновременно находиться в коде, конфигурациях и настройках, и у них часто нет конкретного владельца, который заметил бы проблему и быстро сменил доступ.
Утечка инфраструктурного секрета может открыть доступ сразу к нескольким системам, что представляет серьезную угрозу для безопасности. По словам Гусева, проблема машинных секретов в том, что они часто живут годами и могут быть скопированы в несколько систем.
«Один ключ может быть скопирован в несколько систем, а человек, который когда-то его создал, уже давно не работает в компании», — подчеркнул эксперт.
Для управления машинными секретами необходимо использовать систему Secret Management, которая предполагает управление всем жизненным циклом доступа. Это включает выдачу, срок действия, ротацию, отзыв и аудит использования.
Гусев рекомендует начинать с инвентаризации: проверить код, конфигурации, переменные окружения, CI/CD и облачную инфраструктуру, а затем определить владельцев и зависимости найденных секретов.