Блог

План ИБ-аудита — документ, который превращает абстрактное намерение проверить безопасность в работу с границами, сроками и проверяемым результатом. Состав плана задан в пункте 6.3.2.2 ГОСТ Р ИСО 19011-2021, и там довольно короткий перечень из восьми обязательных элементов плюс необязательные, часть которых для ИБ-аудита обязательна на практике.

Можно ли самостоятельно провести ИБ-аудит? Короткий ответ: да, значительную часть аудита информационной безопасности компания может провести сама, и для персональных данных закон это прямо разрешает. Более того, самостоятельная проверка закрывает как раз самый массовый класс проблем. По результатам проверок защищённости, которые Positive Technologies опубликовала в октябре 2026 года, ошибки конфигурации встречались более чем в два раза чаще уязвимостей, подходящие логины и пароли открывали доступ к важным системам в 56% успешных сценариев, а пароли в открытом виде нашлись в 77% проверок. Это не экзотика, которую видно только специализированным инструментом, а то, что администратор способен найти своими руками.

Разбираем пять российских DLP-систем, которые внедряем сами: Solar Dozor, КИБ СёрчИнформ, InfoWatch Traffic Monitor, Стахановец и Kickidler.

Под словами «аудит информационной безопасности» скрывается как минимум три разных вида работ. Они отличаются не глубиной и не ценой, а вопросом, на который отвечают. Технический аудит выясняет, что сейчас уязвимо в инфраструктуре. Процессный — работают ли в компании правила, которые написаны в регламентах. Аудит на соответствие — выполняются ли требования конкретного закона или стандарта.

Компании, которые заказывают аудит информационной безопасности впервые, обычно представляют его как приезд специалистов с ноутбуками: пришли, что-то просканировали, отдали документ. Отсюда и ожидание, что всё займёт несколько дней.

Компания заказывает аудит информационной безопасности, платит за него, получает документ на двести страниц — и не понимает, что с ним делать. В отчёте перечислены уязвимости, но неясно, какие из них угрожают бизнесу, а какие можно отложить на год. Нет шагов воспроизведения, поэтому администратор не может проверить находку у себя. Не описаны границы работ, и через полгода при инциденте выясняется, что взломанный сервис в периметр не входил.

Разберём, что такое PAM-система, как она устроена изнутри и какие задачи решает: виды привилегированных учётных записей, сценарии применения, требования регуляторов и ограничения технологии.

Подготовка к проверке 152-ФЗ обычно начинается с документов: компания собирает согласия, приказы, политики, формы уведомлений. Но папки локальных актов мало. Проверяющих интересует не то, что написано в регламенте, а то, совпадает ли оно с реальностью — как персональные данные на самом деле собираются, хранятся, передаются, защищаются и уничтожаются.