IT-эксперт Гусев заявил, что корпоративные менеджеры паролей больше не обеспечивают полную защиту бизнеса

Корпоративные менеджеры паролей помогают сотрудникам хранить сложные пароли и безопасно делиться учетными данными. Однако в современной ИТ-инфраструктуре, где взаимодействия происходят автоматически между приложениями и сервисами, они становятся недостаточными. Об этом заявил в интервью радио Sputnik технический директор HASPBOX Александр Гусев.

Эксперт отметил, что проблема заключается в машинных секретах, таких как API-ключи, токены и сертификаты. Они могут одновременно находиться в коде, конфигурациях и настройках, и у них часто нет конкретного владельца, который заметил бы проблему и быстро сменил доступ.

Утечка инфраструктурного секрета может открыть доступ сразу к нескольким системам, что представляет серьезную угрозу для безопасности. По словам Гусева, проблема машинных секретов в том, что они часто живут годами и могут быть скопированы в несколько систем.

«Один ключ может быть скопирован в несколько систем, а человек, который когда-то его создал, уже давно не работает в компании», — подчеркнул эксперт.

Для управления машинными секретами необходимо использовать систему Secret Management, которая предполагает управление всем жизненным циклом доступа. Это включает выдачу, срок действия, ротацию, отзыв и аудит использования.

Гусев рекомендует начинать с инвентаризации: проверить код, конфигурации, переменные окружения, CI/CD и облачную инфраструктуру, а затем определить владельцев и зависимости найденных секретов.