Security & Usability: что будет, если безопасность заменит удобство

[BOOX]

После каждого крупного инцидента ИБ в компаниях, который затронул пользователей, весь негатив получают далеко не киберпреступники, а именно компания – она несет репутационный ущерб независимо от того, сложно ли было злоумышленникам ее взломать.


В комментариях к постам люди задаются вопросом: «ну неужели нельзя было сделать безопасно?!». В этой статье мы выбрали несколько отраслей с большим количеством пользователей, и попросили экспертов описать «максимально секьюрную» реализацию сервисов.

Задачи безопасности и удобства приложений​

Исторически сложилось так, что чаще всего безопасность обеспечивалась за счет юзабилити и наоборот. Многие продолжают придерживаться мнения, что не существует способа достичь эффективной безопасности и комфорта использования одновременно. Это просто не работает, ведь у безопасности и удобства разные подходы и стратегии. В таблице ниже представили важные цели Security и Usability.

Безопасность	Удобство
Многоуровневая безопасность. Внедряются многоуровневые меры безопасности для защиты данных пользователей, включая шифрование, двухфакторную аутентификацию и регулярные обновления безопасности.	Упрощенный пользовательский интерфейс. Приложения разрабатываются с интуитивно понятным и простым в использовании интерфейсом, который требует минимальных усилий для навигации и выполнения задач.
Соблюдение отраслевых стандартов. Приложения разрабатываются в соответствии с признанными отраслевыми стандартами безопасности, такими как PCI DSS и ISO 27001, что гарантирует соответствие лучшим практикам.	Персонализированный опыт. Приложения персонализируются на основе предпочтений и поведения пользователей, что делает взаимодействие более релевантным и приятным.
Управление идентификацией и доступом. Реализуется строгая система управления идентификацией и доступом (IAM) для контроля доступа к данным и функциям приложения.	Быстрая загрузка и производительность. Приложения оптимизируются для быстрой загрузки и плавной работы на разных устройствах и сетевых условиях.
Регулярный мониторинг и тестирование. Приложения постоянно контролируются и тестируются на наличие уязвимостей, а обновления безопасности оперативно выпускаются для устранения любых обнаруженных проблем.	Доступность. Приложения разрабатываются с учетом различных потребностей пользователей, включая пользователей с ограниченными возможностями и тех, кто не является носителем языка.

Но нужно ли ставить в приоритет только безопасность? Есть вероятность, что по-настоящему безопасный процесс всегда будет неудобен, а, значит, неинтересен пользователям.

Как выглядит безопасность без комфорта использования​

Представить привычные нам приложения, разработанные по всем правилам безопасности, без глубоких технических знаний достаточно сложно. Поэтому мы обратились к экспертам и попросили их пофантазировать.

Финансы: баланс можно узнать только по запросу​

Такие приложения предназначены для управления личными финансами, отслеживания расходов, составления бюджета и осуществления инвестиций. Они предоставляют пользователям различные инструменты и функции для принятия обоснованных финансовых решений и достижения своих финансовых целей. Но как могли бы выглядеть приложения категории «Финансы», если сделать их максимально секьюрно?

Максимально секьюрное приложение категории «Финансы», на мой взгляд, выглядело бы так:

1. Вход в приложение возможен только через Госуслуги.
2. Доступ к адресной книге в телефоне всегда запрещен, поэтому, чтобы перевести кому-то деньги по СБП, нужно вбивать номер телефона вручную.
3. Баланс личного счета не виден в мобильном приложении, так как кто угодно может смотреть в этот момент в ваш экран, а это уже разглашение банковской тайны. Но свой баланс всегда можно легко узнать, просто позвонив в банк.
4. Чтобы первый раз войти в мобильное приложение на новом устройстве, нужно обратиться в офис банка (даже если это банк без офисов). Обязательно предоставить клерку свой паспорт, свидетельство о рождении и договор с банком для получения уникального 18-значного одноразового кода, состоящего из букв разных алфавитов и регистров, цифр и спецсимволов. Код необходимо ввести в мобильное приложение вручную в течение 15 минут после получения.
5. Доступ к буферу обмена в мобильном приложении также запрещен, поэтому все номера карт, одноразовые коды и другие идентификаторы необходимо вводить вручную.

Достаточно сложно и раздражающе, не так ли? Финансовые и банковские приложения — неотъемлемая часть жизни современного человека. И хорошо, что разработчики сочетают в них безопасность и удобство. Когда банковское или финансовое приложение безопасно и удобно в использовании, пользователи доверяют ему свои финансовые данные и деньги. Это доверие имеет решающее значение для удержания клиентов и роста бизнеса.

Соцсети: в друзья только при наличии трех поручителей​

Платформы, которые позволяют пользователям общаться, делиться контентом и строить отношения с другими людьми, разделяющими схожие интересы, мы привычно называем соцсетями. Они создали сетевой эффект, соединяющий людей по всему миру и изменяющий способ нашего общения и взаимодействия друг с другом. Но так ли легко общаться было бы в них, если включить безопасность приложений на полную силу?

Добавление в «друзья» происходит только по согласованию с ГИС ЗАГС (они уже выкатили это обновление 2 июня), либо при подтверждении не менее 5 физических лиц о том, что знакомство действительно состоялось.

В случае сомнений администрация Соцсети может назначить тест на знание взаимных особенностей и привычек, а на прохождение дается ограниченное время и не более двух попыток.

В качестве меры, способствующей ускорению процесса согласования, может быть предоставлена справка от психолога о том, что отношения не являются абьюзивными, не происходит оскорбление личности, а также справка из вечернего клуба о том, что у физических лиц, решивших вступить в дружеские отношения в социальной сети, присутствуют общие интересы.

Очевидно, что подобная однобокость в выборе приоритета стала бы для соцсетей фатальной. А вот приложения, которые сочетают безопасность и удобство использования, привлекают больше пользователей и увеличивают свою пользовательскую базу.

Игры: опрос после каждой «катки»​

Игровые приложения — это цифровые развлекательные платформы, которые предоставляют пользователям интерактивные игровые возможности на их мобильных устройствах или компьютерах. Они охватывают широкий спектр жанров, от казуальных и головоломок до ролевых игр и шутеров от первого лица.

100% секьюрность в игровых приложениях могла бы выглядеть так:

1. Перед входом в игру нужно включать веб-камеру, направленную на лицо.
2. Скачать специальный софт, который 12 часов до игры будет проверять вашу деятельность за ПК, все файлы на наличие читов, трейнеров и иных видов программ, облегчающих игру.
3. Обязательно будет анализ характеристик ПК, включая все железо и периферию.
4. Когда вы, наконец, сможете зайти в лаунчер, придется пройти личное онлайн-собеседование с командой разработчиков. Они будут расспрашивать, почему вы выбрали их игру, какой у вас скил и т. д.
5. Когда вы начнете играть, в фоне будет запущен очень жесткий античит, блокирующий любые процессы, которые могут внедряться в процесс игры, а также оверлей программы, включая Nvidia Overlay. Еще он будет высчитывать ваш АПМ. При аномальном возрастании АПМ, вас сразу же кикнет из матча и вы будете вызваны на проверку 10 модераторов.
6. Все игровые файлы вне игры зашифрованы AES-256, чтобы вы не могли изучать исходники. Античит при включении игры будет расшифровывать файлы, что будет занимать 3-5 минут. А если вы попробуете что-то сделать с файлами игры, то вас автоматически забанят и компьюнет будет зашифрован до выяснения обстоятельств.

Хорошо, что разработчики понимают, что сочетание Security и Usability в игровых приложениях обеспечивает безопасный и приятный игровой опыт для пользователей. Ведь для многих пользователей игра — это способ отвлечься и расслабиться. А чрезмерная секьюрность в данной сфере способна сжечь немало нервных клеток игроков.

Образование: доступ к курсам через полиграф​

Приложения, предназначенные для обучения и саморазвития, охватывают широкий спектр тем — от иностранных языков до науки и искусства. Объединяет их общая цель — предоставление знаний и умений в удобной и доступной форме. Такие приложения используют различные методики: интерактивные уроки, видеолекции, тесты и игры. Они позволяют пользователям изучать новое в любое время и в любом месте, делая образование более гибким и индивидуализированным. Но было бы так, если разработчики ориентировались только на безопасность?

Основная проблема безопасности образовательных платформ — вероятность, что знания окажутся не в тех руках. Соответственно, основным механизмом защиты будет выступать необходимость подтверждения, что вам действительно нужны полученные знания.

Для каких-то базовых курсов подойдет простой набор документов: характеристика с места работы, описание решаемых производственных задач, скан школьного аттестата. А вот для курсов по защите информации или тестирование на проникновение уже потребуется тестирование на полиграфе, а также подписка о невыезде.

Хотя безопасность — важный фактор при разработке любого приложения, чрезмерная сосредоточенность на ней в ущерб другим аспектам, таким как удобство использования и образовательная ценность, может негативно сказаться на продаваемости и популярности продукта.

Доставка: безопаснее забрать самовывозом​

Маркетплейсы и службы доставки — это приложения, которые соединяют покупателей и продавцов, обеспечивая удобную и эффективную платформу для торговли и доставки товаров. Общая черта, объединяющая эти приложения — акцент на удобстве и эффективности. Они устраняют необходимость посещать физические магазины и предоставляют покупателям возможность совершать покупки в любое время и в любом месте. Кроме того, они упрощают доставку заказов, уменьшая хлопоты и экономя время клиентов.

В мире, где безопасность превыше всего — доставки отсутствуют как класс. Потому что транспортные компании — это слабое звено и дополнительная поверхность для атаки. В идеале пользователь бронирует товар по телефону и самостоятельно едет забирать его со склада. При этом потребуется подтверждение личности, анкетирование, а при покупке определенных видов товаров, сдача анализов биологических жидкостей.

Фактически безопасное приложения доставки или маркетплейса — это то, чего не должно существовать в идеальном секьюрном мире. А в реальной жизни упор только на безопасность при создании приложений для доставки или маркетплейсов — плохая идея. Это приведет к разочарованию и оттоку клиентов, затруднению интеграции со сторонними сервисами, а также плохо скажется на репутации бренда и лояльности клиентов.

Подводя итоги​

Бизнесу почти всегда нужны экономически целесообразные сервисы – те, которые приносят деньги. Если приложение трижды безопасно, но неудобно для пользователя – оно станет обузой и с большой вероятностью будет переработано в сторону смягчения политик безопасности.

Достижение баланса между удобством для пользователя и безопасностью требует тщательного планирования, проектирования и внедрения. Разработчики должны постоянно следить за развивающимся ландшафтом угроз и внедрять передовые методы для защиты приложений и данных пользователей.

Вместе с тем, вряд ли когда-то наступит момент, когда после успешной кибератаки пользователи начнут массово посылать в комментариях «лучи добра» и ругать злых киберпреступников.

Для просмотра ссылки необходимо нажать Вход или Регистрация