Аудит ИБ своими силами: что реально сделать самим и где начинаются границы

Можно ли самостоятельно провести ИБ-аудит? Короткий ответ: да, значительную часть аудита информационной безопасности компания может провести сама, и для персональных данных закон это прямо разрешает. Более того, самостоятельная проверка закрывает как раз самый массовый класс проблем. По результатам проверок защищённости, которые Positive Technologies опубликовала в октябре 2026 года, ошибки конфигурации встречались более чем в два раза чаще уязвимостей, подходящие логины и пароли открывали доступ к важным системам в 56% успешных сценариев, а пароли в открытом виде нашлись в 77% проверок. Это не экзотика, которую видно только специализированным инструментом, а то, что администратор способен найти своими руками.

Границы тем не менее есть, и они довольно жёсткие. Разберём, где закон разрешает самостоятельный путь и где требует лицензиата, что реально проверить силами своей команды и какими инструментами, где начинается зона, в которую самостоятельно лучше не заходить, и как оформить результат, чтобы им потом можно было пользоваться.

Где закон разрешает своими силами, а где нет

Первое, что определяет ответ, — нормативный режим, в котором живёт компания. Для одних требований самостоятельная оценка разрешена прямо, для других закрыта.

Опорный случай — персональные данные. Пункт 6 приказа ФСТЭК России № 21 устанавливает, что оценка эффективности реализованных мер по обеспечению безопасности персональных данных проводится оператором самостоятельно или с привлечением на договорной основе организаций, имеющих лицензию на деятельность по технической защите конфиденциальной информации, и не реже одного раза в три года. То есть для самого распространённого режима выбор остаётся за оператором.

Два пояснения к таблице. Для финансовых организаций порядок задают положения Банка России, и там он самый строгий: для банков с 29 марта 2025 года действует Положение № 851-П, заменившее 683-П, для некредитных организаций — Положение № 757-П. Состав допустимых исполнителей оценки и её периодичность нужно смотреть в актуальной редакции своего положения, потому что требования к внешнему исполнителю здесь жёстче, чем в остальных режимах.

По критической инфраструктуре принцип обратный и часто неожидаемый: категорирование объектов субъект КИИ проводит сам, силами собственной комиссии. Правила категорирования менялись, поэтому действующую редакцию постановления № 127 стоит сверить перед началом работ.

Что реально сделать самим

Дальше начинается практика. Ниже направления, которые внутренняя команда закрывает полностью и без лицензий, с указанием того, что именно проверять.

Инвентаризация активов и внешнего периметра

Любой аудит начинается с перечня: серверы, рабочие места, сетевое оборудование, сервисы, доменные имена, внешние адреса, облачные аккаунты. Без этого списка остальные проверки бессмысленны, потому что проверять будет нечего.

Отдельно собирается внешний периметр: какие порты и сервисы видны из интернета, какие сертификаты где истекают, какие поддомены ведут на живые системы. Это делается силами своей команды за один-два дня, и находки здесь обычно самые неприятные: забытый тестовый стенд, панель администрирования на публичном адресе, старый сервис, про который все забыли.

Ревизия прав доступа и учётных записей

Самая результативная проверка из всех и самая скучная. Что смотреть: учётные записи уволенных сотрудников, сервисные учётные записи с паролями без срока действия, членство в административных группах, права, выданные когда-то «на время», совпадение фактических прав с должностями.

Отдельно — привилегированные записи: сколько их, кто ими пользуется, попадают ли их действия в журнал. Разрыв между списком из отдела кадров и списком из каталога почти всегда есть, и он измеряется десятками записей.

Пароли и парольные политики

Смотреть нужно на фактическое применение политики: длина и сложность, срок действия, блокировка после неудачных попыток, отсутствие паролей в открытом виде в скриптах, конфигурационных файлах, общих папках и системах заявок.

Именно здесь результаты самостоятельной проверки совпадают с тем, что находят профессиональные проверяющие. В исследовании Positive Technologies учётные данные обнаруживались в 96% компаний, а в 77% проверок находились пароли в открытом виде. Поиск по общим папкам и репозиториям на характерные строки — работа на несколько часов, а эффект сопоставим с серьёзным проектом.

Обновления и конфигурации

Инвентаризация версий операционных систем и прикладного ПО с датами последних обновлений, перечень систем, которые уже не поддерживаются вендором, и проверка настроек по эталонным конфигурациям.

Масштаб проблемы хорошо видно по той же статистике: в 21% проверок использовалась уязвимость, найденная ещё в 2021 году, а в 14% — уязвимость, исправление для которой вышло в 2017-м. Такие находки не требуют пентеста, достаточно сверить версии со списком и посмотреть, где не ставились обновления.

Доступ извне и сегментация

Проверяется, какими путями в инфраструктуру можно войти снаружи и что видно после входа. Конкретно: вынесены ли наружу протоколы удалённого доступа напрямую, включена ли многофакторная аутентификация на VPN и в почте, отделена ли гостевая сеть от корпоративной, в какие сегменты попадает подрядчик со своей учётной записью, доходит ли рабочая станция рядового сотрудника до серверов управления.

Последний пункт — главный. Если с любой рабочей станции сетевым путём достижим контроллер домена или консоль резервного копирования, компрометация одного ноутбука превращается в компрометацию всей инфраструктуры. Проверяется это не документами, а попыткой подключиться с обычного рабочего места, и делается силами своей команды за несколько часов.

Устойчивость к фишингу

Почта остаётся основным входом: по данным BI.Zone, которые приводил «Коммерсантъ» в мае 2026 года, с электронной почты начинаются 68% целевых атак. Самостоятельно здесь проверяется техническая часть и организационная.

Техническая: настроены ли SPF, DKIM и DMARC для своих доменных имён, фильтруются ли вложения опасных типов, доходят ли письма с подменённым адресом отправителя от имени своих же руководителей. Последнее проверяется одним тестовым письмом.

Организационная часть — учебная рассылка. Проводить её своими силами можно, но с двумя условиями: сценарий согласован с руководством и HR, а результаты не используются для наказания конкретных людей. Иначе следующую рассылку сотрудники обсудят в курилке за десять минут, и измерять будет нечего.

Резервные копии и журналирование

По резервным копиям самостоятельно проверяется главное: выполняются ли задания, сколько копий хранится, лежат ли они отдельно от основной инфраструктуры и, самое важное, пробовали ли восстанавливаться. Непроверенная резервная копия — это не копия, а предположение.

По журналам смотрится, с каких систем они собираются, где хранятся, как долго и кто их читает. Отсутствие журналирования критичных систем выясняется обычно в момент разбора инцидента, когда восстанавливать картину уже нечем.

Чем это делать

Инструменты для перечисленного существуют в бесплатных или встроенных версиях: средства инвентаризации и выгрузки из каталога, бесплатные редакции сканеров уязвимостей, утилиты анализа конфигурации Active Directory, эталонные конфигурации и руководства по усилению настроек от вендоров, штатные отчёты систем резервного копирования. Отдельного бюджета на такую проверку не требуется, требуется выделенное время и методика, по которой результат фиксируется.

Кто внутри компании может провести ИБ-аудит

Вопрос, который определяет, состоится проверка или нет. Самостоятельный аудит проваливается чаще всего не из-за нехватки знаний, а из-за того, что его поручают человеку в дополнение к текущей работе и без выделенного времени.

Минимальный состав — два человека. Первый собирает данные: выгрузки из каталога, перечни активов, отчёты систем. Это может быть системный администратор, и работа здесь механическая. Второй сверяет собранное с требованиями и формулирует находки, и его роль сложнее: он должен понимать, чем плоха конкретная настройка. Если в компании нет своего специалиста по ИБ, вторую роль обычно берёт руководитель ИТ-отдела.

Трудозатраты по первому полному проходу для инфраструктуры среднего размера — от двух до четырёх недель календарно при частичной занятости. Больше всего времени забирают инвентаризация и сверка прав доступа с кадровыми данными; технические проверки на их фоне быстрые. Повторные проходы быстрее в разы: перечень активов уже есть, выгрузки делаются по готовым скриптам, сравнивается только разница с прошлым разом.

Важное условие: проверку нужно ставить в план как работу с датой и формой отчёта. Проверка, у которой нет срока и формы результата, не проводится никогда.

«Бывало мы приходим в компании, где самостоятельный аудит начинали два или три раза. Каждый раз всё заканчивалось на инвентаризации, потому что её делали целиком и сразу. Рабочий подход другой: взять один слой, например учётные записи и права, довести его до конца и зафиксировать результат. Один закрытый слой полезнее трёх начатых», — Олег Власенко, руководитель отдела информационной безопасности ОБИТ.

Где начинаются границы

Самостоятельный аудит перестаёт работать в четырёх точках, и их стоит знать заранее, чтобы не считать проверку завершённой там, где она только начата.

Независимость

Внутренняя команда проверяет собственную работу. Дело не в добросовестности, проблема структурная: администратор не найдёт ошибку в том решении, которое сам считает правильным, и не напишет в отчёте, что архитектура, которую он три года защищал, выбрана неудачно.

В ряде режимов независимость — формальное требование, и тогда вопрос снимается сам. Там, где требования нет, помогает хотя бы разделение внутри компании: проверяет не тот, кто настраивал.

Квалификация в анализе защищённости

Проверка конфигураций и анализ защищённости — разные работы с разной подготовкой. Самостоятельно почти никогда не воспроизводятся сценарии, где отдельные мелкие недостатки складываются в цепочку.

Показательна статистика векторов из того же исследования: перенаправление чужой попытки входа дало результат в 35% успешных сценариев. Такую атаку не найти ревизией прав или сверкой версий, для неё нужен человек, который умеет её выполнять. И общий результат проверок говорит о том же: в 60% компаний удалось захватить компьютер или сервер, получить доступ к важным данным либо взять под контроль Active Directory, причём в половине случаев на это ушло 13 минут.

Юридическая сила результата

Протокол, подписанный внутри компании, годится для внутреннего плана работ, но не везде годится как доказательство. Там, где нужна аттестация, сертификация или оценка по требованиям Банка России, результат самостоятельной проверки не заменяет заключение организации с соответствующей лицензией.

Это стоит понимать до начала работ, чтобы не получить ситуацию, когда проверка проведена честно и полно, а предъявить её нечему.

Инструментальный охват

Бесплатные версии инструментов ограничены по количеству целей, базам уязвимостей и глубине проверок. Для инвентаризации и базовой гигиены этого достаточно, для полноценного анализа защищённости распределённой инфраструктуры — нет.

Как оформить результат, чтобы он работал

Самая частая причина, по которой самостоятельный аудит не даёт эффекта, — отсутствие фиксации. Проверили, обсудили, разошлись, через месяц никто не помнит, что нашли.

Минимальный комплект документов выглядит так. Методика: что проверялось, какими средствами, в какие даты, кто проводил и что в периметр не входило. Свидетельства: выгрузки, скриншоты, отчёты инструментов, сложенные так, чтобы через год было понятно, откуда взялась находка. Реестр находок с описанием, последствиями и приоритетом. План устранения со сроками и ответственными. Для персональных данных результат оформляется актом оценки эффективности мер — это и есть документ, который спросят при проверке.

Приоритизация делается не по формальной критичности из сканера, а по последствиям для бизнеса. Устранять начинают с того, что открывает доступ к данным или останавливает процессы.

«Главное отличие самостоятельного аудита, который работает, от того, который не работает, — наличие свидетельств. Нашли лишние права у уволенного — приложите выгрузку с датой. Через год при проверке или при разборе инцидента вас спросят не о выводах, а о том, на чём они основаны. По нашему опыту внутренние отчёты без приложений не доживают до второго года: их просто нечем подтвердить», — Олег Власенко, руководитель отдела информационной безопасности ОБИТ.

Гибридная схема, которая обычно и работает

На практике выбор между «сами» и «подрядчик» редко бывает полным. Разумное разделение выглядит так: регулярная гигиена своими силами, периодическая независимая проверка снаружи.

Такое распределение имеет и бюджетный смысл. Внешняя проверка стоит денег, и платить за то, чтобы подрядчик нашёл учётные записи уволенных сотрудников, нерационально. Этот слой закрывается внутри, а внешнему исполнителю остаётся то, что внутри закрыть нельзя.

Как подойти к решению

Провести аудит информационной безопасности своими силами можно, и для большинства компаний это правильный первый шаг. Самостоятельно закрываются инвентаризация, ревизия доступов, парольная гигиена, контроль обновлений, резервные копии и журналирование, а по персональным данным оценка эффективности мер прямо разрешена пунктом 6 приказа ФСТЭК № 21. Нельзя сделать самостоятельно три вещи: получить независимое заключение, провести полноценный анализ защищённости и выполнить работы, требующие лицензии, — аттестацию, сертификацию и оценку по требованиям Банка России.

Начинать стоит с определения своего нормативного режима и с инвентаризации. Первое покажет, есть ли у вас вообще выбор, второе даст тот перечень, без которого любая дальнейшая проверка превращается в выборочный осмотр.

Если нужно разобраться, какую часть проверки имеет смысл оставить внутри, а какую вынести наружу, приходите на бесплатную консультацию: разберём ваш режим требований, посмотрим, что уже проверяется своими силами, и покажем, где останутся пробелы.