Компания «Гарда» (входит в ИКС Холдинг) представила результаты исследования практик использования и защиты тестовых сред в российских организациях. Опрос показал, что специализированные средства маскирования данных применяют лишь 3,1% респондентов. При этом почти половина организаций регулярно переносит в тестовые среды копии продуктивных баз без изменений.

Большинство респондентов — 59,4% — используют для тестовых сред выделенный изолированный контур. В то же время почти каждая четвертая организация (18,8%) размещает тестовые базы в том же кластере или на том же сервере, что и продуктивная среда. Еще 15,6% используют облачные решения. В общей сложности, примерно треть опрошенных имеет тестовые базы данных на той же инфраструктуре, что и основные системы компании, и не полностью изолированы от них. Это создает высокий риск утечек, поскольку при такой архитектуре границы между средами размыты, и получение злоумышленником доступа к тестовым данным открывает путь к реальным конфиденциальным сведениям.

Половина компаний (46,9%) регулярно переносит копии продакшен-данных в тестовые среды без каких-либо изменений. Это расширяет круг пользователей и систем, которые обладают доступом к конфиденциальной информации, повышает риск ее неконтролируемого распространения и в конечном итоге может привести к штрафам со стороны регуляторов. При этом каждая пятая компания (21,9%) знает о наличии персональных данных в тестовых базах, но не располагает их точным и актуальным перечнем.

Подходы к защите тестовых сред также остаются неоднородными. Половина респондентов применяют к ним те же меры, что и к продуктивным системам, 28,1% ограничиваются базовым контролем доступа и сетевой изоляцией, а 12,5% не защищают тестовые базы, считая их частью доверенного контура. Специализированные средства маскирования применяют только 3,1% компаний. Таким образом, почти 97% организаций не используют целенаправленные решения для безопасной замены конфиденциальных данных в тестовых средах.

Дополнительным фактором риска остается отношение к обезличенной информации. Более 81% опрошенных полностью или частично согласны с тем, что требования приказа ФСТЭК России № 117 не применяются к обезличенным данным. Такое восприятие может привести к преждевременному ослаблению защитных мер и недооценке риска повторной идентификации данных.

«Тестовые среды остаются недооцененным источником риска для бизнеса. Компании регулярно переносят в них копии реальных баз, но не всегда задумываются о том, какие именно данные там хранятся и кто имеет к ним доступ. При этом технология маскирования применяется редко, а обезличивание часто воспринимается как основание для снижения требований к защите. В результате тестовый контур оказывается защищен слабее продуктивного, хотя может содержать персональные или конфиденциальные сведения. Это повышает потребность в автоматическом поиске чувствительных данных, их маскировании до передачи разработчикам и постоянном контроле тестовых копий. Такой подход позволяет снизить риск утечек, сохранить пригодность данных для работы и обеспечить единый уровень защиты на всем их жизненном цикле», — рассказал Дмитрий Ларин, руководитель направления по защите баз данных компании «Гарда», владелец продукта «Гарда Data Masking».

Источник: