От инвентаризации до комплаенса: как CISO управляют кибербезопасностью на практике
Кибербезопасность перестала быть изолированной функцией — сегодня она должна быть тесно интегрирована в бизнес- и IT‑процессы. При этом организации сталкиваются с беспрецедентным уровнем давления: рост атак, усложнение регуляторных требований, нехватка квалифицированных кадров, устаревание данных и конфликты между подразделениями. Как в этих условиях выстраивать зрелые и устойчивые процессы?
Ответ на эти вызовы — автоматизация процессов с помощью специализированных решений, например BI.ZONE GRC. Платформа помогает объединить ключевые процессы кибербезопасности и комплаенса, автоматизируя рутину и высвобождая ресурсы для стратегических задач. В статье расскажем, с чем сталкиваются сегодня российские компании, и на примере конкретных кейсов посмотрим, как наше решение помогает справиться со сложностями и выстроить эффективные процессы управления кибербезопасностью.
Мы выделили ключевые вызовы в сфере кибербезопасности, которые актуальны для большинства российских компаний:
- Необходимость быстрого импортозамещения. Переход на отечественные решения — это не только требование государства, но и объективная необходимость: многие вендоры ушли с российского рынка или прекратили поддержку своих продуктов.
- Нехватка квалифицированных кадров. Отрасль не успевает воспитывать зрелых специалистов в нужном количестве, а потребность бизнеса в них постоянно увеличивается. Поиск специалиста по кибербезопасности в штат занимает 3–4 месяца. При этом не каждый успешно справляется с испытательным сроком. В итоге растет нагрузка на существующих сотрудников.
- Угрозы со стороны киберпреступников. Растет количество результативных целевых атак, злоумышленники активно используют известные уязвимости. Этот фактор напрямую влияет на потребность компаний в дополнительных специалистах по кибербезопасности, а также в надежных инструментах, которые позволят защитить бизнес от атак.
- Неготовность бизнеса к обеспечению непрерывности процессов. Многие компании не учитывали в своих стратегиях риски, связанные с кибербезопасностью и влиянием атак на бизнес, и теперь вынуждены активно работать над исправлением ситуации.
- Ужесточение регуляторных требований. Введены оборотные штрафы за утечки персональных данных (ПДн), более жесткими стали требования к безопасности критической информационной инфраструктуры (КИИ). С одной стороны, регуляторы выступают одним из драйверов развития сферы кибербезопасности в России. С другой — от компаний требуются колоссальные трудозатраты, чтобы обеспечить соответствие этим требованиям.
По результатам опроса наших заказчиков, кроме этих глобальных вызовов, компании сталкиваются с конкретными сложностями при обеспечении кибербезопасности. Среди них проблемы взаимодействия между службами IT и кибербезопасности, в том числе разграничения зон ответственности. Кроме того, специалисты, которые отвечают за киберзащиту, отмечают чрезмерный объем неструктурированных источников данных и сведений для анализа, сложности с объективной приоритизацией рисков безопасности, а также противоречащие друг другу задачи.
Современные подходы к обеспечению кибербезопасности в компании подразумевают множество направлений, по которым нужно работать:
- Управление безопасностью. Сюда относятся стратегия, политики, процессы и регламенты.
- Управление рисками. В это направление входят управление проектами, а также оценка рисков и угроз.
- Операционная безопасность. К ней относятся предотвращение угроз, управление инцидентами, безопасная разработка и обучение людей.
- Управление уязвимостями. Кроме работы непосредственно с уязвимостями, подразумевает контроль обновлений и изменений.
- Нормативное соответствие. Это выполнение требований ЦБ РФ, а также соблюдение законодательства в области безопасности ПДн и КИИ.
- Правовое сопровождение. Включает защиту бренда и контента, расследование нарушений.
- Архитектура безопасности. К этому направлению относятся сегментация сети, защита приложений, выбор средств защиты.
- Управление учетными записями. Подразумевает соответствующий контроль и межсервисное взаимодействие.
- Бюджетирование. Это управление проектами и поставщиками, а также измерение параметра ROSI
. - Обеспечение непрерывности. Сюда относятся планы восстановления и их тестирование на практике, повышение осведомленности.
Важно понимать, что задачи, которые решаются в рамках этих направлений, требуют от специалистов совершенно разных навыков. Стремление найти универсальных солдат не поспособствует эффективному решению задач. Например, методолог, работающий с документами и вопросами комплаенса, и инженер, отвечающий за настройку средств защиты, — это сильно отличающиеся роли, которые подразумевают разное мышление и видение. По мнению наших заказчиков, отдел кибербезопасности в крупной компании должен насчитывать не меньше 10 специалистов. Но в каждом конкретном случае потребности организаций определяются исходя из задач и трудозатрат.
В ходе опроса наших клиентов мы также поинтересовались, какие задачи считают самыми важными руководители подразделений кибербезопасности (CISO). Они выделили мониторинг событий и реагирование на инциденты, поиск и устранение уязвимостей, выполнение требований регуляторов и головной организации, а также инвентаризацию IT‑активов и управление ими. На наш взгляд, последнее выступает основой, без которой невозможно эффективное решение всех остальных задач.
С точки зрения кибербезопасности процесс управления активами можно разбить на пять составляющих:
- Инвентаризация. На этом этапе собираем все, что есть в инфраструктуре: виртуальные машины, аппаратное обеспечение, сетевое оборудование, приложения, библиотеки, мобильные устройства, облачные ресурсы.
- Классификация и приоритизация. Затем нужно сгруппировать активы по функциям, информационным системам, типам, определить связи и критичность активов.
- Мониторинг. Подразумевает управление уязвимостями, конфигурациями и угрозами.
- Выполнение требований и аудит. К этому этапу относятся анализ политик и настроек и выполнение требований законодательства.
- Поддержка и улучшение. Важно обеспечить централизованную настройку политик и заниматься предиктивной аналитикой.
Составляющие управления активами
Один из важных вопросов в управлении активами: кто этим должен заниматься, подразделение кибербезопасности или IT? Чтобы процесс был эффективным, его нельзя переложить на кого‑то одного. Оба подразделения должны участвовать в этом процессе в равной степени, взаимодействуя со стейкхолдерами со стороны бизнеса. В данном случае IT и безопасность — это как двигатель и трансмиссия у автомобиля. Без совместной работы процесс двигаться не будет.
Компании не только в России, но и в других странах сталкиваются со сложностями в управлении активами. По данным западных аналитических агентств, более половины организаций не имеют полного списка активов, включая ПО и устройства, а очень многим компаниям не хватает кадров для управления активами. Значительная часть информации в базе данных управления конфигурациями (configuration management database, CMDB) устаревает в течение недели. Кроме того, сотрудники часто не понимают, какие активы считаются критическими. Также среди частых проблем некорректный учет активов, обрабатывающих ПДн, и теневое IT.
Чтобы справиться с этими сложностями, эксперты по кибербезопасности рекомендуют:
- внедрить автоматизацию на всех этапах управления активами, где она возможна;
- связать данные об активах с системами кибербезопасности (XDR
, управление уязвимостями); - использовать решения для управления состоянием безопасности облака (cloud security posture management, CSPM);
- внедрить обучающие программы по снижению рисков, связанных с теневым IT и человеческими ошибками.
Управление активами с помощью BI.ZONE GRC
Решение позволяет автоматизировать процесс управления активами на четырех этапах из пяти вышеперечисленных. Предназначенный для этого модуль Asset Management:
- проводит инвентаризацию и классификацию активов на основе данных из разных источников (AVZ
, виртуализация, приложения, EDR и др.); - отслеживает жизненный цикл активов;
- обогащает, анализирует и классифицирует активы;
- обрабатывает информацию по правилам;
- помогает подготавливать отчетность и документацию;
- формирует метрики для контроля.
Asset Management работает как самостоятельно, так и вместе с другими модулями. Например, он взаимодействует с модулями Compliance Management и Vulnerability Management. Данные об активах поступают из автоматизированных систем, выгрузок или опросов сотрудников. Эти сведения обогащаются дополнительной информацией, классифицируются и группируются в информационные системы. В результате для каждого актива создается единая карточка, упрощая управление и контроль. Модуль Compliance Management использует эти данные для выполнения требований законодательства, модуль Vulnerability Management — для анализа и устранения уязвимостей.
Процесс управления уязвимостями также можно разделить на отдельные элементы:
- Обнаружение и инвентаризация активов. Эффективное управление уязвимостями невозможно без инвентаризации.
- Сканирование и идентификация уязвимостей. Сканирование должно проводиться еженедельно для критических систем и ежемесячно для остальных. Данные об уязвимостях важно собирать на всех уровнях: приложение, инфраструктура, периметр, облако.
- Оценка и приоритизация уязвимостей. Нужно использовать рискориентированный подход (risk‑based vulnerability management), а не только CVSS. Например, уязвимость на публичном веб‑сервере с оценкой 7,0 по CVSS приоритетнее, чем уязвимость на изолированном устройстве с оценкой 9,0.
- Определение методов и устранение уязвимостей. Важно наладить процесс оперативного устранения угроз. Как показывает практика, среднее время устранения критической уязвимости (mean time to resolution, MTTR) сегодня составляет в мире 102 дня. Это слишком много, за это время могут значительно пострадать бизнес‑процессы.
- Верификация уязвимостей и отчетность. Верификация должна быть частью непрерывного цикла безопасности.
- Интеграция управления уязвимостями с экосистемой безопасности. Нужно использовать MITRE ATT&CK для сопоставления уязвимостей с тактиками злоумышленников.
- Непрерывный мониторинг уязвимостей. Общемировой тренд — переход от периодического сканирования к непрерывному мониторингу уязвимостей. Это позволяет выстроить более эффективную киберзащиту организации.
Элементы управления уязвимостями
Важно, что все эти действия не последовательный цикл, когда сначала идет одно, потом другое. Чтобы управление уязвимостями было эффективным, входящие в него процессы должны протекать параллельно. При этом их нужно постоянно совершенствовать.
Статистика от международных аналитических агентств демонстрирует, что компании испытывают сложности с управлением уязвимостями. В частности, очень многие игнорируют уязвимости из‑за того, что их очень много. Подавляющее большинство сотрудников не знает, как классифицировать уязвимости по рискам. А почти половина организаций не сканируют на уязвимости сторонние библиотеки и API.
В экспертные рекомендации, которые позволят сделать процесс управления уязвимостями более эффективным, входят:
- автоматизация, в частности интеграция VM‑систем с SOAR
, чтобы сократить время устранения уязвимостей; - применение рискориентированного подхода, в том числе использование инструментов для приоритизации на основе бизнес‑контекста;
- использование решений для управления безопасностью облачных ресурсов;
- внедрение сканирования кода и инфраструктуры на этапах CI/CD
; - проведение обучения по управлению уязвимостями.
Управление уязвимостями с помощью BI.ZONE GRC
Как и в случае с управлением активами, основная рекомендация — максимально автоматизировать все процессы, которые возможно. Для этого в составе платформы есть модуль Vulnerability Management. Он поможет на этапах обнаружения и инвентаризации активов, сканирования и идентификации уязвимостей, их оценки и приоритизации, верификации и создания отчетности, а также интеграции управления уязвимостями с экосистемой безопасности.
Vulnerability Management выполняет следующие задачи:
- агрегирует данные со сканеров, SCA
, SAST , DAST ; - автоматизирует оценку уязвимостей и их приоритизацию согласно применимости к IT‑активам;
- обогащает данными киберразведки (threat intelligence);
- упрощает верификацию;
- формирует отчеты и документацию;
- создает метрики для контроля.
Также модуль дополняет данные об активах информацией из БДУ ФСТЭК
- создать единый реестр активов, охватывающий все площадки;
- автоматизировать анализ активов, их классификацию и группировку;
- интегрировать данные об уязвимостях из разных источников: сканеры, отслеживание зависимостей и др.;
- обеспечить обогащение данных информацией об инфраструктуре;
- автоматизировать процесс обработки данных и контроль устранения уязвимостей.
Процесс выполнения требований также можно разбить на ряд этапов:
- Определение применимых требований. Сюда относятся защита ПДн, КИИ, выполнений требований для ГИС, а также требований по защите коммерческой тайны.
- Оценка рисков и GAP‑анализ. Важно понимать последствия невыполнения требований, определить существующие недостатки и разбираться в существующих угрозах.
- Разработка и внедрение политик. На этом этапе нужно оценить применимость внутренних документов к реальным процессам, а также наладить регулярное обновление документов.
- Реализация системы защиты. При ее построении нужно учесть сходство мер по защите ПДн и КИИ более чем на 80%, возможность выполнить требования к системе защиты, используя уже существующие меры, а также возможность усилить меры на основе оценки рисков.
- Обучение сотрудников комплаенс‑процессам. В него входят регулярные рассылки, проведение тестирований.
- Взаимодействие с субъектами и регулятором. Сюда относятся уведомление регулятора, реагирование на запросы, различные операционные активности.
- Мониторинг и улучшение. Подразумевает проведение самооценок и аудитов, а также внесение изменений по их результатам.
Этапы выполнения требований законодательства
Среди основных сложностей, с которыми сталкиваются компании в комплаенс‑процессах, — нехватка специалистов по кибербезопасности для работы с КИИ, а также недостаток денег на защиту КИИ и ПДн. Некоторые организации до сих пор не знают о том, что нужно уведомлять Роскомнадзор (РКН) при работе с персональными данными. Кроме того, многие жалуются на неоднозначность требований ФСТЭК России и РКН, а также неверно определяют, какие системы относятся к объектам КИИ.
Законодательство в области кибербезопасности постоянно совершенствуется: появляются новые нормативные акты, государственные регуляторы актуализируют существующие требования. Все это направлено на повышение уровня защищенности и устойчивости организаций, но создает дополнительную нагрузку на сотрудников, отвечающих за кибербезопасность. Но если есть понимание, что и где нужно защитить, какие события являются недопустимыми для организации, как пересекаются и дополняют друг друга требования разных нормативных актов, то комплаенс не будет казаться столь трудновыполнимой задачей.
Мы рекомендуем автоматизировать процесс выполнения требований регуляторов. Внедрение GRC‑системы позволит быстро обновлять все материалы и снизить нагрузку на персонал. Также стоит рассмотреть возможность партнерства с консалтинговыми компаниями для решения экспертных задач. Кроме того, важно, чтобы сотрудники проходили обучение по 152‑ФЗ (ПДн) и 187‑ФЗ (КИИ).
Управление комплаенс‑процессами с помощью BI.ZONE GRC
В составе платформы есть модуль Compliance Management, который:
- помогает выполнять требования законодательства по ПДн;
- автоматизирует защиту КИИ;
- готовит системы защиты ИСПДн, ГИС и объектов КИИ к аттестации.
Compliance Management работает как самостоятельно, так и вместе с другими модулями. В частности, он взаимодействует с модулем Asset Management. Входная информация для комплаенса загружается автоматизированно или вручную. Asset Management обрабатывает и классифицирует массивы сырых данных. В зависимости от результатов классификации и типов информационных активов (ИСПДн, ГИС, КИИ) платформа помогает выполнить все действия по соответствию законодательству РФ.
Еще один модуль BI.ZONE GRC, который также позволяет автоматизировать комплаенс‑процессы, — Audit and Road Maps. Благодаря ему можно управлять аудитами. В частности, он:
- автоматизирует проведение аудита и самооценки;
- генерирует автоматические отчеты;
- формирует дорожную карту развития кибербезопасности в организации;
- контролирует план развития.
- автоматизировать учет ПДн, разработку документации и моделирование угроз;
- создать инструмент для централизованного контроля выполнения требований и минимизировать ручной труд.
Дополнительные сложности возникают, когда все вышеназванные процессы нужно выстроить в группе компаний, в которой много филиалов, дочерних подразделений. В этом случае от головной организации требуется стандартизировать все процессы, но учесть специфику дочерних компаний, а также обеспечить контроль за обеспечением безопасности в филиалах. Важно, что выполнение требований центрального офиса должно быть безусловным и восприниматься остальными компаниями так же серьезно, как и требования государственных регуляторов.
Платформа BI.ZONE GRC обеспечивает централизованное управление процессами и документами в филиалах и дочерних организациях. Группам компаний доступен общий интерфейс по управлению каждой из организаций. Это позволяет координировать процессы и отслеживать текущий статус выполнения задач по каждой компании.
Элементы управления процессами безопасности в холдинге
Сегодняшние реалии требуют от CISO не только глубоких технических знаний, но и умения видеть картину в целом, расставлять приоритеты и подключать команду к стратегическим задачам. Без четкого понимания, что и где нужно защищать, невозможно эффективно управлять безопасностью. А дефицит кадров и требования регуляторов стимулируют автоматизировать как можно больше процессов.
В этом контексте BI.ZONE GRC становится не просто инструментом, а стратегическим помощником CISO. Платформа позволяет:
- перейти от разрозненных задач к централизованному управлению;
- автоматизировать ключевые направления работы;
- повысить прозрачность и зрелость процессов;
- оптимизировать ресурсы без потери качества.
Такой подход к управлению кибербезопасностью поможет CISO выстроить системную работу, а компаниям — сохранить устойчивость и конкурентоспособность в условиях постоянно растущих угроз.
