Киберзрелость. Как эффективные процессы повышают кибербезопасность
Практические рекомендации, которые улучшат работу технических средств безопасности и усилят
защиту на всех уровнях бизнеса
О чем этот материал
Постройка собственного дома требует много времени и ресурсов. Немало сил нужно приложить и для того, чтобы он служил долгие годы. Здесь не обойтись еженедельной уборкой: нужно регулярно проверять инженерные системы и электричество, правильно обслуживать оборудование и вовремя вызывать специалистов, если что-то сломалось.
Схожий принцип работает и в киберзащите. Чтобы противостоять нынешним угрозам, недостаточно внедрить технические средства безопасности. Нужно анализировать эффективность их работы, адекватно оценивать общий уровень защищенности и постоянно работать над его улучшением. Чем более осознанно организация подходит к своей безопасности, тем выше ее киберзрелость и тем больше вероятность сохранить работоспособность в критической ситуации, выполнить обязательства перед клиентами и минимизировать возможный ущерб.
В нашем материале мы расскажем, как компании определить уровень киберзрелости и эффективно его повысить. Вы получите практические советы, основанные на наших проектах, а в конце сможете пройти небольшой тест и оценить зрелость ваших процессов по управлению корпоративными активами. По опыту, именно это направление требует внимания в большинстве компаний.
Что такое киберзрелость и почему важно ее развивать
Киберзрелость компании отражает, насколько тщательно организация прорабатывает вопросы кибербезопасности (КБ) по внутренним процессам, например:
- заботится ли о надежной защите чувствительной информации и активов,
- выстраивает ли системный подход к внедрению мер защиты,
- следит ли за киберграмотностью сотрудников и проводит ли обучение,
- работает ли над сокращением рисков, связанных с цепочками поставок при взаимодействии с контрагентами,
- назначила ли ответственных сотрудников по процессам КБ,
- достаточно ли внимания уделяет требованиям законодательства в сфере киберзащиты.
Все это напрямую влияет на устойчивость бизнеса перед кибератаками. Например, одна компания может справиться с DDoS-атакой без ущерба корпоративным процессам, а другой придется бросить все ресурсы на восстановление работоспособности.
В начале 2024 года в результате кибератаки крупный производитель аккумуляторов был вынужден остановить работу
По заявлению представителей компании, злоумышленники определили участок инфраструктуры, который обеспечивал работу всех пяти производственных площадок. Организация с более высоким уровнем киберзрелости могла бы найти уязвимость до того, как она спровоцировала инцидент.
По заявлению представителей компании, злоумышленники определили участок инфраструктуры, который обеспечивал работу всех пяти производственных площадок. Организация с более высоким уровнем киберзрелости могла бы найти уязвимость до того, как она спровоцировала инцидент.
Как оценить уровень киберзрелости
В основе мировой практики по оценке киберзрелости лежат несколько международных стандартов:
- ISO/IEC 27001:2022 определяет требования к эффективной системе управления КБ, помогает организациям укрепить защиту от кибератак и предотвратить нежелательный доступ к конфиденциальной информации.
- ISO/IEC 27002:2022 сосредоточен на описании средств управления КБ — как работает каждый элемент, какой цели служит и как его внедрять.
- NIST Cybersecurity Framework содержит рекомендации по КБ, а в обновленной версии описывает комплексный взгляд на жизненный цикл управления рисками КБ и подход к принятию обоснованных стратегических решений по защите компании.
- CIS Controls включает список действий, которые бизнес должен сделать для КБ, в том числе защиты от угроз, появившихся в пандемию в связи с работой из дома и миграцией в облака.
За годы работы мы создали на базе этих стандартов собственную практическую методологию, которая позволяет эффективно оценивать киберзрелость компании по двенадцати внутренним процессам, или доменам.
Домены корпоративной кибербезопасности
Управление КБ
Стратегия и политики КБ
Наличие ответственных за КБ
Вовлеченность руководства
Внешний и внутренний аудит
Кибербезопасность при управлении проектами
Контакты с профессиональными сообществами и полномочными органами
Операционная безопасность
Контроль используемого программного обеспечения (ПО)
Мониторинг событий в корпоративной IT‑инфраструктуре
Управление уязвимостями
Сетевая безопасность
Документированные рабочие процедуры
Управление конфигурациями и обновлениями
Антивирусная защита
КБ при использовании облачных ресурсов
Предотвращение утечки данных
Управление непрерывностью бизнеса
Разработка, внедрение и обновление инструментов непрерывности
Требования к доступности информационных систем
Планирование непрерывности
Управление киберрисками
Резервное копирование
Восстановление данных
Соответствие требованиям законодательства
Актуальные требования для компании и каждой информационной системы
Проверка соответствия законам и стандартам
Управление активами
Инвентаризация и защита серверов, компьютеров, ПО, баз данных
Маркировка информации (конфиденциальная, общедоступная)
Классификация информационных активов
Надлежащее использование активов, включая их возврат
Политика в отношении мобильных устройств
Управление съемными носителями
Безопасная разработка систем
Правила и процедуры разработки
Анализ кода на наличие уязвимостей
Тестирование защищенности
Разделение сред разработки, тестирования и эксплуатации
Управление изменениями в системах при разработке и эксплуатации
Контроль доступа к информационным системам
Управление доступом пользователей к ресурсам, в том числе при удаленном подключении
Управление паролями
Регулярный пересмотр прав доступа
Управление учетными записями и привилегированными правами
Контроль доступа к исходному коду IT‑продуктов
Безопасные процедуры входа в системы
Взаимоотношения с поставщиками услуг
Политики КБ в отношении поставщиков
Условия обеспечения безопасности в договорах
Анализ, оценка и управление изменениями в практике КБ поставщиков и защиты их услуг
Безопасность кадров
Повышение киберграмотности и осведомленности о киберугрозах
Проведение тренингов и регулярных учебных атак
Проверка кандидатов перед трудоустройством
Ответственность за соблюдение КБ в трудовом соглашении
Освобождение от обязанностей или их изменение
Управление инцидентами
Процедуры реагирования
Оповещение, оценка и решение о событиях КБ
Минимизация негативных последствий
Извлечение уроков на будущее
Криптографическая защита
Политики использования криптографии
Защита данных при их передаче по общедоступным сетям и во внутренних системах
Физическая безопасность
Безопасность физического периметра
Контроль доступа к помещениям
Защита помещений и оборудования
Политика чистого стола и экрана
Обслуживание оборудования
Безопасная утилизация или повторное использование устаревшего оборудования
Работа в охраняемых зонах
Безопасность кабельной сети
Оценка киберзрелости отдельных доменов
Анализируя каждый домен, мы изучаем базовые контрольные пункты по процессу КБ:
- Есть ли документы по данному процессу?
- Выполняется ли процесс на деле и как именно (например, какие средства защиты используются)?
- С какой регулярностью выполняются мероприятия, предусмотренные по процессу?
- Соответствует ли то, как реализуется процесс, его описанию в документах?
- Назначены ли ответственные сотрудники по процессу?
- Обеспечивает ли компания непрерывное улучшение процесса и как она контролирует его исполнение?
- Разработаны ли метрики для определения эффективности процесса?
По итогам анализа мы проставляем по каждому домену оценку по пятибалльной шкале.
|
0
|
Процесс КБ полностью отсутствует, работы по развитию направления не ведутся |
|
1
|
Процесс есть, но работает бессистемно и постоянно меняется |
|
2
|
Процесс выполняется регулярно, но еще не формализован: нет регламентирующих документов, не определены границы, владелец и исполнители |
|
3
|
Процесс формализован, но не измерим: невозможно проанализировать его, чтобы оценить эффективность и улучшить |
|
4
|
Процесс измерим, но не регламентирован на уровне руководства компании, не пересматривается на регулярной основе |
|
5
|
Процесс регулярно выполняется, он измерим, регламентирован и постоянно улучшается |
Каждый уровень оценки включает в себя критерии предыдущего. Например, нельзя получить 4 балла по процессу, пока не будут выполнены все требования предыдущих уровней
Рассмотрим, как этот подход работает на примере домена «Управление активами» — по нашему опыту, у большинства компаний он находится на невысоком уровне зрелости, что угрожает чувствительной информации. В данном случае под активами мы подразумеваем все объекты, которые обрабатывают важную для бизнеса информацию, и сами данные. Сюда входят серверы, ноутбуки, компьютеры, смартфоны, съемные носители, общесистемное и прикладное ПО, базы данных, документы и т. д.
| Оценка | Критерий |
|---|---|
|
0
|
|
|
1
|
|
|
2
|
|
|
3
|
|
|
4
|
|
|
5
|
|
Информация в таблице приводится для примера, однако описание максимально соответствует критериям, которые мы используем на своих проектах
Рассмотрим, как этот подход работает на примере домена «Управление активами» — по нашему опыту, у большинства компаний он находится на невысоком уровне зрелости, что угрожает чувствительной информации. В данном случае под активами мы подразумеваем все объекты, которые обрабатывают важную для бизнеса информацию, и сами данные. Сюда входят серверы, ноутбуки, компьютеры, смартфоны, съемные носители, общесистемное и прикладное ПО, базы данных, документы и т. д.
Информация в таблице приводится для примера, однако описание максимально соответствует критериям, которые мы используем на своих проектах
Оценка общего уровня киберзрелости
Когда компания проанализировала базовые контрольные пункты по всем 12 доменам, она может определить общий уровень киберзрелости. Все домены в равной степени важны, поэтому не различаются по весу, а финальный показатель — это среднее арифметическое их оценок. Для удобства его можно перевести в проценты: 5 баллов — 100%.
Градация оценки киберзрелости
| 80–100% | Высокий уровень |
| 50–79% | Средний уровень |
| 30–49% | Недостаточный уровень |
| 0–29% | Низкий уровень |
К нам обратилась телекоммуникационная компания, у которой произошел киберинцидент. В ходе расследования мы обнаружили, что причиной стали нарушения при управлении внутренними процессами.
Нам предстояло определить устройство корпоративных процессов, оценить уровень киберзрелости доменов, найти недостатки и выдать рекомендации для исправления
Что мы сделали:
1. Провели аудит и выяснили, какие домены в компании имели минимальный уровень киберзрелости.
| Суть нарушений | Последствия нарушений | |
|---|---|---|
| Управление активами |
|
Невозможно было грамотно управлять жизненным циклом активов
|
| Контроль доступа к информационным системам |
|
Трудности с отслеживанием доступов создавали высокий риск предоставления избыточных прав
|
| Безопасность кадров |
|
Сотрудники не знали, как действовать при обнаружении подозрительных событий и кому о них сообщать. Ответственные за киберзащиту не понимали уровень знаний работников
|
2. Подготовили отчет:
- Описали, как на деле выполняются процессы в каждом из доменов.
- Проанализировали, соответствуют ли процессы внутренним нормативным документам компании.
- Составили таблицу со всеми обнаруженными недостатками.
- Сформировали рекомендации для устранения проблем.
3. Составили дорожную карту для повышения киберзрелости в оптимальные сроки:
- Рассказали, что компании нужно сделать в первую очередь, чтобы устранить недостатки, которые непосредственно влияли на непрерывность бизнеса.
- Предложили временную шкалу со сроками и последовательностью работы с недочетами.
4. Подготовили план первоочередных действий:
- Провести инвентаризацию информационных систем и назначить ответственных.
- Классифицировать системы с точки зрения критичности.
- Определить статус каждой системы — работает она или нет.
- Разработать единый подход к управлению жизненным циклом информационных систем.
- Внедрить процесс контроля прав с момента выдачи и до блокировки доступа.
- Разработать и провести для сотрудников курсы по КБ разного уровня сложности с обязательным тестированием после обучения.
- Внедрить регулярное тестирование навыков КБ, например с помощью имитированных фишинговых атак, чтобы сотрудники практиковали навыки КБ
Результат
Компания детально проработала обнаруженные недостатки, пошагово выполнила наши рекомендации в соответствии с дорожной картой. За это отвечали специалисты заказчика по кибербезопасности и IT.
За год организация повысила уровень киберзрелости с низкого до среднего и смогла лучше защититься от киберугроз.
Как повысить уровень киберзрелости по каждому из 12 доменов
Мы рекомендуем начать работу с аудита. Комплексная оценка уровня киберзрелости позволит подобрать меры, которые подойдут именно вашей компании. Ее можно провести самостоятельно — в этом случае стоит опираться на международные стандарты. Если собственных ресурсов не хватает, поручите задачу внешним экспертам.
Еще до проведения аудита вы можете воспользоваться общими рекомендациями, чтобы поправить ситуацию в отдельных доменах, которые вызывают наибольшие опасения.
1. Управление кибербезопасностью
- Руководствуйтесь риск‑ориентированным подходом: сперва оцените существующие риски, затем подберите адекватный способ их обработки. О том, как эффективно провести такую оценку, мы писали в материале «Как определить главные угрозы для компании».
- Проводите регулярные аудиты КБ. Используйте собственные ресурсы или привлекайте внешних экспертов.
- Руководителям компаний рекомендуется принимать активное участие в решении проблем КБ, демонстрировать личную заинтересованность и приверженность по отношению к системе менеджмента КБ. Часть обязанностей высшего руководства по созданию и развитию системы менеджмента КБ входит в требования указа Президента РФ № 250.
2. Безопасность кадров
- Оцените риски, связанные с кибератаками на сотрудников.
- Регулярно проводите очное или онлайн‑обучение сотрудников по вопросам КБ. О том, как выстроить эффективную систему обучения, мы писали в материале «Как снизить влияние человеческого фактора на кибербезопасность».
- Раз в несколько месяцев проводите учебные атаки на сотрудников, используя реалистичные шаблоны фишинговых писем и актуальные сценарии. Оценивайте действия каждого сотрудника в ходе атаки и планируйте их обучение, исходя из обнаруженных пробелов.
- Удостоверьтесь, что в трудовых соглашениях есть пункт об ответственности сотрудников в области КБ, в том числе после увольнения из компании.
3. Управление активами
- Четко определите, какая информация подпадает под требования регуляторов, какая — должна считаться коммерческой тайной, а какую допустимо обсуждать, например, с внешними заказчиками.
- Проводите регулярную инвентаризацию активов, на которых обрабатывается информация. Поддерживайте в актуальном состоянии список ответственных за эти активы.
- Внедрите автоматизированное решение для управления активами и выполнения требований законодательства, например BI.ZONE Compliance Platform.
- Обучайте сотрудников безопасной работе с активами.
4. Контроль доступа к информационным системам
- Рассмотрите возможность использования механизмов строгой (криптографической) аутентификации, в первую очередь для бизнес‑критичных информационных систем.
- Применяйте системы управления идентификационными данными
. - Разрешайте доступ администраторов и других привилегированных пользователей к чувствительным данным только через системы контроля привилегированных пользователей (privileged access management, PAM
).
5. Операционная безопасность
- Управляйте изменениями в информационной инфраструктуре и выполняйте резервное копирование информации.
- Внедрите мониторинг и своевременное реагирование на события безопасности, соблюдайте процедуры мониторинга событий.
- Контролируйте установку ПО и принимайте адекватные меры по защите от вредоносных программ.
- Регулярно проводите сканирование уязвимостей и тестирование на проникновение.
6. Управление инцидентами
- Организуйте центр мониторинга и реагирования на инциденты КБ (security operations centre, SOC). Он обеспечит полноценный контроль над событиями в инфраструктуре. Создать SOC можно собственными силами или с привлечением внешних специалистов. О подходах к эффективному мониторингу мы писали в материале «Как быстрая реакция на события безопасности помогает отражать кибератаки».
- Если создание SOC не оправдывает себя экономически, организуйте процесс управления киберинцидентами. Мы рекомендуем ориентироваться на стандарты ISO 27‑й серии, NIST и отраслевые требования регуляторов.
- Разработайте и внедрите план реагирования на киберинциденты. Рекомендуем включить туда схему отработки публичных инцидентов — к таким кризисам лучше готовиться заранее. Подробнее об этом читайте в материале «Как компании сохранить репутацию после киберинцидента».
- Если инцидент все‑таки произошел, обратитесь к экспертам по реагированию. Специалисты оперативно отработают инцидент и проведут тщательное расследование, чтобы свести финансовые и репутационные потери к минимуму.
7. Соответствие требованиям законодательства
- Регулярно проверяйте обновления законодательства, применимого к вашей компании.
- Оценивайте соответствие бизнеса требованиям законодательства, принимайте меры по их выполнению. Эту задачу можно отдать на аутсорсинг.
- Рассмотрите возможность подключения решений наподобие BI.ZONE Compliance Platform, чтобы автоматизировать контроль в этой области.
8. Криптографическая защита
- Подготовьте и внедрите политики в области криптографической защиты информации.
- Определите, как будет происходить шифрование информации при ее передаче через мобильные и съемные носители, а также по линиям связи.
- Разработайте подход к управлению ключами шифрования, назначьте ответственного за эту работу.
9. Управление непрерывностью бизнеса
- Внедряйте процессы обеспечения устойчивости деятельности и восстановления после инцидентов. В этом вам поможет наш цикл материалов об управлении непрерывностью бизнеса.
- В первую очередь определите меры для защиты бизнес‑критичных систем.
- Регулярно проводите анализ воздействия на бизнес (business impact analysis, BIA), чтобы определить риски, способные нарушить деятельность компании, и взять под контроль возможные последствия. О том, как именно это сделать, мы написали в материале «Как подготовить компанию к возможным негативным событиям».
- Проводите для руководителей компании настольные киберучения для развития навыков управления в кризисной ситуации.
10. Физическая безопасность
- Уделите особое внимание контролю доступа во внутренние помещения компании.
- По возможности разместите информационные системы в центре обработки данных (ЦОД) с уровнем безопасности не ниже tier 3
. Это даст уверенность в сохранности оборудования, на котором обрабатывается чувствительная информация.
11. Безопасная разработка систем
- Привлекайте внешних специалистов по КБ: они экспертно оценят процессы разработки и помогут выстроить их согласно всем тонкостям нормативной базы.
- Если приглашать сторонних экспертов экономически нецелесообразно, руководствуйтесь требованиями отраслевых регуляторов, а также стандартами и лучшими практиками в области безопасной разработки систем: ISO/IEC 27034, Microsoft SDL, OWASP Secure SDLC, ГОСТ Р 56939‑2016.
- Проверяйте на ошибки и уязвимости не только код собственной разработки, но и сторонние компоненты, используемые при создании IT‑систем: заимствованные библиотеки, модули с открытым кодом и т. д.
12. Взаимоотношения с поставщиками услуг
- Тщательно контролируйте соблюдение политики КБ в отношениях с поставщиками, проверяйте их с точки зрения киберзащиты.
- Обеспечьте управление сетевым доступом и безопасную передачу чувствительной информации между всеми стейкхолдерами на организационном и техническом уровнях.
- Если подрядчикам и прочим сторонним организациям требуется доступ к вашим системам, используйте PAM‑решения.
- Прежде чем открывать такой доступ, оцените риски, определите последствия и включите специальные условия в договор. Например, требуйте от сторонних пользователей пройти обучение навыкам КБ и проконтролируйте результат.
Резюмируем
Высокий уровень киберзрелости — одно из важных условий долгосрочного и стабильного развития бизнеса. Проведя ее оценку, вы получите общую картину с точки зрения кибербезопасности, определите слабые места в защите компании, сможете принять обоснованные решения о необходимых мерах для улучшения ситуации.
Не забывайте, что со временем процессы могут деградировать, что повлияет на оценку — не прекращайте работу над киберзрелостью и укреплением защиты компании.
