Непрерывность. Устойчивость. Антихрупкость.

#ПонедельниCheck #11. Сегодня поговорим об управлении доступом.
Казалось бы, проблема не нова, о чем тут говорить (хотя нередко аудиты показывают, что есть о чем). Но сегодня эта тема расцветает новыми красками в свете использования агентского ИИ.
Риск: процесс управления доступом не учитывает специфики агентского ИИ.
Последствия:
👉 у организации нет полной и актуальной картины выданных доступов, в т.ч. связи между УЗ агентов и их владельцем
👉 у ИИ-агентов присутствуют избыточные права (например, пользователь запускает агента под своей учеткой)
👉 ИИ-агент может использовать свой доступ за пределами порученной задачи
Примеры:
1️⃣ Replit. Несмотря на явный запрет внесения изменений без согласования, агент удалил производственную базу. Просто потому, что мог 🙄
2️⃣ Классический подход ограничения доступа пользователя на уровне приложения больше не работает. Смотрим на примере Cursor + Supabase, как клиент получил доступ к данным всех пользователей.
3️⃣ Увольнение сотрудника и стандартная процедура отзыва всех доступов... кроме тех, которыми пользовались его агенты. Хорошая статья Derek Chua на эту тему.
Актуальность: возрастающая.
Стратегия реагирования:
1. Наличие формальной процедуры выдачи (и отзыва) доступов для ИИ-агентов, с соблюдением правила минимально необходимых полномочий
2. Контроль за использованием пользовательских УЗ для работы ИИ-агентов
3. Использование механизмов за рамками ИИ-моделей (включая человека) для контроля наиболее критичных действий ИИ-агентов

#ПонедельниCheck #10. Тема сегодняшнего разбора обусловлена трендом на атаки на ЦОДы в ходе боевых действий.
Риск: хранение резервных копий на одной площадке с продуктивными системами организации. Альтернативная конфигурация с меньшим, но все еще существенным риском — резервные копии в резервном ЦОДе, но в том же регионе.
Последствия: невосстановимая потеря данных при потери одной или двух площадок. Еще один смежный риск — физическое/логическое повреждение резервных копий инсайдером.
Примеры:
1️⃣ Официально признанная AWS потеря данных региона me-south-1 (Бахрейн) в результате серии атак на ЦОДы компании. Минус три ЦОДа — в результате погибли как продуктивные системы, так и их бекапы.
2️⃣ Пожар в ЦОД Национальной службы информационных ресурсов Южной Кореи 26.09.2025. Внешней резервной копии не было вообще.
3️⃣ Пожар в OVHcloud Strasbourg. Используемые клиентами механизмы резервного копирования должны были обеспечить нахождение копий на другой площадке, однако в результате халатности OVH оказались там же, где и продуктивные системы.
Актуальность: максимальная.
Стратегия реагирования:
1. Минимальный, но не достаточный уровень: наличие резервных копий на площадке, географически удаленной от продуктивной.
2. Правильный уровень: регулярное создание резервных копий на отчуждаемых носителях (от классических лент до решений типа AWS Snowball) и их вывоз за пределы площадки. В идеале:
👉 В защищенное и достаточное удаленное место
👉 Зашифрованными
👉 Отдельными людьми, не из числа системных администраторов
3. И конечно же, не забываем про тестирование.

А вы же видели, что AWS почти полгода спустя признали потерю данных в регионе me-south-1? И ни один из ЦОДов региона до сих пор не запущен?
Из этого события можно извлечь много полезных уроков, среди которых осознание того, что обычный БПЛА вполне способен вывести ЦОД из строя примерно навсегда.
https://almitech.ru/knowledge/material/aws-middle-east/

#ПонедельниCheck #9. Сегодня обсудим различия критичности систем в режиме обычного функционирования и в режиме ЧС.
Риск: система с низким уровнем критичности не попадает в первый приоритет восстановления, но оказывается жизненно важной именно для процесса восстановления.
Последствия: существенная деградация / невозможность восстановительных работ.
Примеры:
1️⃣ Системы, содержащие конфигурационную информацию и инструкции по восстановлению систем (wiki, confluence и проч.). В BAU режиме их недоступность не приводит к существенному влиянию на бизнес, но зато в их отсутствие вы обнаруживаете, что и DR-планы, и инструкции по восстановлению лежали именно там.
2️⃣ Системы мониторинга. Пока все работает, мониторинг вообще не влияет на функционирование систем. Зато при аварии и последующем восстановлении его отсутствие лишает вас целостной картины проблем в инфраструктуре: сначала возникающих, потом остающихся. На моей памяти есть не один случай, когда мониторинг умирал первым, не успев даже подать сигнал об аварии.
Актуальность: стабильная.
Стратегия реагирования:
1. Проверьте (в идеале - и на BIA и в ходе учений), обеспечение достаточного уровня резервирования и восстановления для подобных систем.
2. Если по каким-то причинам вы не можете отнести эти системы в класс Mission Critical (например, не хотите, чтобы их даунтайм портил общий KPI), сделайте им специальный класс, аналогичный Mission Critical по требованиям к резервированию и восстановлению

Первый пошел....
Вчера вышла в свет новая версия ISO 9001:2026, самого востребованного по количеству сертификаций стандарта. Более миллиона сертификаций, это не считая тех сертификатов, которые продаются "в подземных переходах". Предыдущая версия была принята 11 лет назад (если быть совсем занудным точным, то в 2024 году к нему было небольшое дополнение на 1 страницу).
Этот год обещает быть плодовитым на обновления знаковых стандартов, если ISO успеет:
👉 22301 (Business continuity management systems — Requirements)
👉 22331 (Business continuity management systems — Guidelines for business continuity strategy)
👉 31000 (Risk management — Guidelines)
Так что ждем.
А как вы оцениваете пользу стандартов от ISO?
🔥 - уважаю, читаю
💔 - в нашем стремительном мире нужно что-то другое

#ПонедельниCheck #7. Тема дня — удаленный доступ при недоступности офиса.
Риск: удаленный доступ осуществляется по RDP через jump host'ы, расположенные в офисе (чаще всего — ваш собственный компьютер).
Последствия: потеря офиса (пожар, взрыв) или даже потеря сетевой связности с офисом приводят к невозможности удаленной работы.
Примеры:
Здесь все просто. Есть две группы проблем:
1️⃣ Офис цел, но неработоспособен. Это может быть вызвано отключением электроснабжения, земляными работами, в ходе которых повредили вашу оптику, и т.д. Важно, что вы не можете подключиться к сети офиса.
2️⃣ Офиса больше нет. Он в огне или в руинах. Вы точно не сможете подключиться к сети офиса.
В обоих случаях в контексте нашей задачи влияние одинаковое.
Актуальность: возрастает вместе с риском физического воздействия на офисное здание.
Стратегия реагирования:
1. Более устойчивые механизмы удаленного доступа, в первую очередь VDI.
2. Наличие нескольких альтернативных вариантов удаленного доступа.

#ПонедельниCheck #6. Сегодня продолжим наш разговор о гарантированном электроснабжении, и сфокусируемся на ДГУ (или, в более редких случаях, ГПУ).
Риск: наличие ДГУ еще не гарантирует отсутствие проблем с электроснабжением ваших объектов.
Последствия: как и в прошлый раз: неработоспособность ИТ инфраструктуры, производства, складов... далее по списку.
Примеры:
1. Конфликт с соседями. Соседи близлежащих домов, недовольные регулярными тестовыми запусками ДГУ, залили строительной пеной выхлопную трубу ДГУ.
2. Отсутствие разрешения на стационарный монтаж ДГУ. Часто, чтобы обойти нормативные ограничения по размещению ДГУ, организация приобретает ДГУ на мобильной платформе и подключает его в час Х. В некоторых случаях базовым местом хранения ДГУ является подземная парковка, т.е. подразумевается, что при потере внешнего питания (в любое время суток) специально обученные люди выкатят его и подключат к сети. В час Х это может или не сработать, или привести к существенной задержке старта.
3. Несоблюдение требований к смене топлива. Производители ДГУ рекомендуют менять топливо не реже 1 раза в год, а для особо ответственных объектов — каждые полгода с лабораторным контролем качества. Потому что баки находятся не в идеальной среде, и топливо мутнеет, расслаивается, появляется осадок и т.п.
4. Недостаточная мощность ДГУ. Нередко уже после установки ДГУ потребляемая мощность увеличивается, и, как следствие, при переходе на резерв может либо возникнуть перегрузка с последующим отключением, либо часть потребителей останется без питания.
5. Проблемы с подвозом топлива. В случае массового отключения электроснабжения в регионе договор о поставке топлива может превратиться в тыкву исполняться недолжным образом. Потому что: а) вас таких много, а топлива мало, плюс в случае дефицита топлива приоритет получат силовики, госструктуры и социальная инфраструктура
б) отсутствие электричества в крупном городе может вызвать транспортный коллапс с отключением светофоров и полным параличом трафика.
Актуальность: была, есть и будет. Прогноз — более масштабные и продолжительные отключения питания.
Стратегия реагирования:
1. Наличие и соблюдение регламентов обслуживания ДГУ.
2. Размещение ДГУ в безопасной и контролируемой зоне.
3. Контроль достаточности мощности ДГУ.
4. Запас топлива хотя бы на 24 часа.

На днях в ведущих СМИ прошла новость о том, что с середины августа в России официально заработала собственная классификация дата-центров по классам надежности A, B, C и D.
В контексте регулярных прилетов по разным объектам — хорошая, актуальная новость.
Теперь важное.
1️⃣ Это не так. См. ⬇️ перепост из Телекоммуналки, там подробно рассказывается про все подковерные игры вокруг этой классификации.
2️⃣ Отечественная модель классификации ЦОДов, про которую идет речь, имеет две важные особенности:
👉 Несмотря на наличие в модели раздела, посвященного физической безопасности, там все про потенциального нарушителя, перемещающегося горизонтально. СКУДы, замки, заборы, видеонаблюдение. Про защиту от прилетов сверху там ничего нет.
👉 Это модель — для оценки проекта. У того же Uptime Institute есть отдельная сертификация на проект (Tier Certification of Design Documents) и на построенный объект (Tier Certification of Constructed Facility). Построенный объект контролируется не только визуально, но и проверкой отключения резервируемых компонент. Здесь не так, в парадигме отечественной модели никаких проверок не предусмотрено. Поэтому когда вам говорят, что у нас ЦОД класса А, это означает только то, что его проект соответствует требованиям модели на класс А. А уж что там построили/построят, это как повезет.

#ПонедельниCheck #5.
Сегодняшний разбор посвящён нашей зависимости от электричества.
Без электричества хорошо мир погружается в тишину и покой. Но очень ненадолго, потому что потом он быстро погружается в ад. Транспортный коллапс, отсутствие воды и канализации, мусор на улицах, крысы, холера и другие радости средневекового мира. Итак, к делу.
Риск: те меры, которые мы принимаем для защиты от сбоев электроснабжения, недостаточны и/или неэффективны.
Последствия: неработоспособность ИТ инфраструктуры, производства, складов... далее по списку.
Примеры:
1️⃣ Коммерческий ЦОД. Формально ДГУ есть, по факту при полном отключении внешнего питания они способны обеспечить только часть потребителей. Иногда вы даже не знаете, в какой вы категории.
2️⃣ In-house серверная комната внутри офисного комплекса. Вроде бы все сделано правильно, но система охлаждения запитана от "грязного" питания. Длительное отключение питания приводит к перегреву помещения и оборудования. Короткий, на доли секунды, скачок может привести к тому, что кондиционеры не включатся.
3️⃣ Торговый центр. У охраны есть инструкция в случае отключения электроснабжения провести полную эвакуацию. В то же время продавцы не могут закрыть свои помещения, потому что рольставни не работают без электричества. Налицо противоречие, которое должно было проявиться на учениях, но боевых учений не проводили.
Актуальность: высокая. Блэкаут на юго-западе Москвы напомнил нам о вероятности такого рода событий даже без боевых действий.
Стратегия реагирования:
1. Четкое определение необходимых уровней защиты по питанию для всей инфраструктуры организации.
2. Технические проверки защитной инфраструктуры (проверки АВР, регламентное обслуживание и тестовые запуски ДГУ и т.п.).
3. Учения, учения и ещё раз учения.

Сегодня в сфере логистики произошло два события, на которые стоит обратить внимание.
1️⃣ Первый прилет по складу Озона с серьезными последствиями. Самарская область. Это был большой, новый объект, площадью порядка 135 тысяч кв.м.
2️⃣ Wildberries запустила сеть партнерских пунктов приема товаров. Требования к складу — от 100 кв.м. Такая вот децентрализация логистики, в т.ч. и для FBW модели. В сложившихся реалиях такой "краудсорсинг" выглядит неплохой попыткой оперативно починить разваливающуюся логистику. Среди прочего — это создаст определенное количество рабочих мест в стране, что можно только приветствовать.
А для всех остальных — повод заблаговременно задуматься об устойчивости своей операционной модели. Если вы можете ее улучшить — начинайте прямо сейчас, не дожидаясь своей очереди в череде печальных событий. Если нужна помощь в системном анализе модели и поиске узких мест — зовите.

Сейчас, когда эмоции уже немного улеглись, давайте спокойно разберем вчерашний (18.08.2026) блэкаут на юго-западе Москвы и ММТС-9 в частности.
Развитие событий.
Disclaimer: ситуация восстановлена по открытым источникам, может содержать неточности, возможны обновления.
1. Происходит авария на ТЭЦ-20. Причина аварии не ясна. На мой взгляд более вероятна технологическая проблема, но версию теракта исключать тоже нельзя.
2. Защитная автоматика отключает несколько подстанций на юго-западе Москвы.
3. На ММТС-9 пропадает какая-то часть лучей питания.
4. Часть оборудования ММТС-9 переходит на питание от ДГУ, часть не переходит. Причин, почему "не переходит", может быть несколько, для нас сейчас важен сам факт. Я знаю, что многие захотят здесь больше технических подробностей, но нет. По ряду причин. Просто запомним, что на этой площадке такого рода проблемы есть, и, с определенной вероятностью, могут повторяться.
5. Дальше все максимально логично. ММТС-9 до сих пор продолжает оставаться единой точкой отказа для большого количество операторов, плюс ряд компаний использует ее как ЦОД. Соответственно все эти сервисы около часа лежат, потом вместе с питанием начинают неспешно подниматься.
👆Это был postmortem-light, без вскрытия тела, по внешним признакам.
А теперь извлекаем уроки.
1️⃣ ⚡️Энергетика
ЦОДы/объекты связи я бы классифицировал по трем уровням надежности:
1. 👎 Мы знаем, что у них есть проблемы с гарантированным электроснабжением (по итогам инцидентов / инсайдов / официальных данных). ММТС-9 однозначно попадает в эту категорию по итогам инцидентов 2 мая и 18 августа 2026 г.
2. 🫳 Мы надеемся, что у них 100% защита по питанию (на основании официальных заявлений/точечных тестов). Сюда попадает большинство ЦОДов.
3. 👍 Мы знаем, что у них 100% защита по питанию (по итогам масштабных инцидентов). Это множество почти пусто.
Эта классификация поможет нам подсветить риски, связанные со сбоями электроснабжения. Кстати, если кому-то, в силу молодости своей, слово "Чагино" ничего не говорит - погуглите.
За последние годы мы привыкли, что Москва - достаточно надежный с точки зрения энергетики город. Давайте пересматривать это допущение. На всякий случай, как принято в нашей профессии. Как для своих объектов, так и для своих контрагентов, и об этом следующий раздел.
Кстати, не забываем, что риски нарушения электроснабжения важны не только для технологических площадок, но и для офисов, производства и т.п.
2️⃣ 📡 Связность/контрагенты
Проанализируйте, что из используемых вами сервисов было недоступно во время инцидента. Либо в силу отсутствия связи, либо в силу неработоспособности самого сервиса. Их всех — в зону риска с разработкой компенсирующих мероприятий. Остальных КА — тоже неплохо проанализировать в ходе плановой (или внеплановой) оценки рисков.
3️⃣ 📃Планы непрерывности бизнеса.
Лучшие учения — те, к которым не готовились. Если прошедший инцидент вас задел, обязательно сделайте разбор полетов. Что пошло по плану, что нужно улучшить. Задача "разработать, наконец-то, план непрерывности бизнеса" тоже попадает в категорию улучшить 😉. Если не задел, то добавьте в сценарий следующих учений.

#ПонедельниCheck #4.
Тема сегодняшнего разговора — высокая концентрация риска в рамках одного физического объекта.
Риск: зависимость большого количества процессов и ресурсов от одного физического объекта (склад, ЦОД, офис и т.д.).
Последствия: потеря объекта приводит к высокому, возможно даже недопустимому, уровню потерь для организации.
Примеры:
1️⃣ Wildberries, работа логистических центров в формате FBO (Fulfilment by Operator). При пожаре на большинстве объектов погибает не только склад со всем оборудованием, но и большой объем товаров, принадлежащих продавцам (транзит по текущим заказам + складские запасы).
2️⃣ Производственная компания Х. При выполнении крупного, стратегически важного заказа, готовая продукция в течение нескольких месяцев консолидируется на складе для отправки заказчику. За день до даты планируемой отправки товаров на склад прилетает БПЛА, и весь товар сгорает.
3️⃣ Хранение резервных копий (даже на отчуждаемых носителях) в том же ЦОДе, что и сами информационные систем. Два ЦОДа в одном городе делают эту ситуацию немного более устойчивой, но требование "не хранить резервные копии там же, где находятся сами информационные системы" зачастую нарушается (для кредитных организаций — см. п. 8.8.3 положения 716-П).
Актуальность: к сожалению, одна из наиболее острых проблем наших дней. Как следствие — требующая наибольшего внимания. Например, Банк России обращает внимание на недопустимость превышения предельно допустимого уровня концентрации операционного риска в своих указаниях 4-МР.
Стратегия реагирования:
1. Выявление точек высокой концентрации риска.
2. Переход к максимально децентрализованной модели везде, где это возможно (производство, запасы, ИТ, поставщики и т.п.).

С вами #ПонедельниCheck #3, и сегодня поговорим про токсичных соседей.
Риск: присутствие в непосредственной близости от вашего объекта других организаций, деятельность которых может спровоцировать нежелательные последствия.
Последствия: от временной недоступности объекта до его полной потери.
Примеры:
1️⃣ Ленинградская область, промзона "Уткина заводь". При обстреле логистического центра Wildberries один из БПЛА попадает в производственный объект АО «ПраймКартонПак» (ранее Elopak). Компания - один из лидеров в производстве упаковки для молочной и прочей жидкой продукции. В результате производственные помещения ПраймКартонПак разрушены, оборудование восстановлению не подлежит, компания приостановила свою работу.
2️⃣ Бизнес-центр, среди арендаторов которого находится центр "Мои документы". С завидной регулярностью, несколько раз в неделю поступают ложные сообщения о минировании "Моих документов", и проводится обязательная полная эвакуация здания
Актуальность: на фоне роста количества как реальных, так и информационных атак на объекты физической инфраструктуры вероятность реализации риска увеличивается.
Стратегия реагирования:
1️⃣ При первоначальном строительстве/аренде объекта — оценка потенциальной токсичности соседей.
2️⃣ В ходе эксплуатации объекта — регулярная оценка степени соседей и выработка мер по снижению рисков вплоть до переноса объекта в другое место.

Полезное...
Организация защиты объектов критической инфраструктуры от угроз атак беспилотников.
https://ru-bezh.ru/infografika/organizatsiya-zashchity-obektov-kriticheskoy-infrastruktury-ot-u