Блог

Разбираем пять российских DLP-систем, которые внедряем сами: Solar Dozor, КИБ СёрчИнформ, InfoWatch Traffic Monitor, Стахановец и Kickidler.

Под словами «аудит информационной безопасности» скрывается как минимум три разных вида работ. Они отличаются не глубиной и не ценой, а вопросом, на который отвечают. Технический аудит выясняет, что сейчас уязвимо в инфраструктуре. Процессный — работают ли в компании правила, которые написаны в регламентах. Аудит на соответствие — выполняются ли требования конкретного закона или стандарта.

Компании, которые заказывают аудит информационной безопасности впервые, обычно представляют его как приезд специалистов с ноутбуками: пришли, что-то просканировали, отдали документ. Отсюда и ожидание, что всё займёт несколько дней.

Компания заказывает аудит информационной безопасности, платит за него, получает документ на двести страниц — и не понимает, что с ним делать. В отчёте перечислены уязвимости, но неясно, какие из них угрожают бизнесу, а какие можно отложить на год. Нет шагов воспроизведения, поэтому администратор не может проверить находку у себя. Не описаны границы работ, и через полгода при инциденте выясняется, что взломанный сервис в периметр не входил.

Разберём, что такое PAM-система, как она устроена изнутри и какие задачи решает: виды привилегированных учётных записей, сценарии применения, требования регуляторов и ограничения технологии.

Подготовка к проверке 152-ФЗ обычно начинается с документов: компания собирает согласия, приказы, политики, формы уведомлений. Но папки локальных актов мало. Проверяющих интересует не то, что написано в регламенте, а то, совпадает ли оно с реальностью — как персональные данные на самом деле собираются, хранятся, передаются, защищаются и уничтожаются.

Аудит информационной безопасности заказывают не для галочки, а чтобы понять, где бизнес реально уязвим и что чинить в первую очередь. Но результат почти целиком зависит от того, кто проверяет. Одна компания отдаст список замечаний из сканера, другая свяжет технические находки с бизнес-процессами и оставит понятный план действий. Разница видна не в момент аудита, а через полгода — когда план либо работает, либо пылится в почте.

Обычная история: у компании есть личный кабинет или внутренний портал. Его когда-то сделал подрядчик или собственная команда разработки. Подрядчика давно нет, команда разошлась, документации не осталось. Сервис работает, заявки уходят, никто его не трогает. И никто в компании не может ответить на простой вопрос — что там внутри и насколько это безопасно.