АСТАНА, 10 авг — Sputnik. Центр анализа и расследования кибератак (ЦАРКА) и компания Documentolog прокомментировали ситуацию вокруг сообщений об уязвимости в системе документооборота Казахстана.
Второй день в Казнете не утихают споры касательно заявления ЦАРКА о том, что документы национальных компаний, медицинских учреждений, фондовой биржи и других крупных организаций Казахстана не защищены от кибератак.
С чем не согласен создатель Documentolog? Могут ли на самом деле "выйти на поверхность" государственные секреты Казахстана? Почему компания, которая предоставляет услуги "Самрук-Казыне", "Правительству для граждан", KASE, не проходит аудит системы?
Данные 10 тысяч казахстанских бухгалтеров опубликовали на хакерском форуме
Корреспондент Sputnik задал эти вопросы обеим сторонам.
ЦАРКА: вопрос не в самом Documentolog, а касается всего IT-рынка
Глава ЦАРКА Олжас Сатиев рассказал Sputnik Казахстан, что атака на Documentolog была зафиксирована несколько недель назад. С его слов, "белые хакеры" нашли уязвимость, которая позволяет получить доступ ко всем клиентам хранилища документов.
По его мнению, система была скомпрометирована еще до пентеста (испытания на проникновение). Именно поэтому, как отметил он, ЦАРКА написал о "находке" в Сети.
"Эта уязвимость существует не первый год. Так как вопрос довольно широкий, мы написали письмо с техническими подробностями в Совет Безопасности. Мы публично опубликовали, чтобы пользователи систем инициировали смену паролей и так далее", — добавил он.
Сотрудники Минфина добывали криптовалюту?
Как утверждает Сатиев, найти брешь было технически просто. "Взломать могут и студенты", — считает он.
Глава ЦАРКА пришел к выводу, что в Казахстане к информационной безопасности относятся халатно.
"Вопрос заключается не в самом Documentolog, а касается всего IT-рынка. У нас вообще не уделяется внимания информационной безопасности. Если говорить про Documentolog, то компания столько лет на рынке, но за все время они не провели аудита информационной безопасности своей системы", — заключил Сатиев.
Documentolog: ЦАРКА нарушил Уголовный кодекс
В самой компании, управляющей системой документооборота, заявляют: причин для беспокойства у клиентов нет. Более того, в Documentolog уверены, что ЦАРКА нарушил статьи Уголовного кодекса.
По его словам, пробелы удалось исправить в течение часа. Из-за "человеческого фактора" в системе оказался документ, с которым работала служба техподдержки. В нем были логины и пароли клиентов для администрирования.
"Мы его сразу убрали из системы. Пароли были сразу же изменены. Государственные секреты через систему документооборота не проходят", — добавил Канафин.
Он уверяет, что у админов не было полного доступа к информации клиентов. А действия ЦАРКА называет неэтичными, так как они опубликовали информацию. По мнению Канафина, это мог быть чей-то "заказ".
Проводить аудит информационной безопасности система Documentolog по закону не обязана, так как работает на частном рынке и не интегрируется с госсистемами.
ЦАРКА vs Documentolog: "заказ" или борьба за правду
В Сети представители обеих сторон продолжают обмениваться догадками. ЦАРКА считает, что электронное хранилище может позволить себе "небезопасность" из-за "сильного лобби". А в Documentolog не исключают, что удар по их имиджу – чей-то "заказ".
На вопрос, нарушили ли ЦАРКА закон, Сатиев ответил, что разбираться в этом будет Совет Безопасности.
Кто прав, кто виноват в этой истории, выясняет и казахстанская ассоциация IT-компаний.