ГК Softline о кибербезопасности: почему «купить защиту» уже недостаточно

Кибербезопасность часто начинается с закупки средств защиты, но на этом же месте может и закончиться.

Компания устанавливает межсетевой экран, внедряет системы мониторинга, покупает другие инструменты, однако при этом не определяет единые правила ИБ, не распределяет ответственность и не отрабатывает действия на случай инцидента. В результате технические средства есть, а понятной системы управления безопасностью нет.

По оценке экспертов Softline, только 20% российских компаний внедрили собственные стандарты информационной безопасности с учетом актуальных тенденций кибератак. Рабочие сценарии реагирования на инциденты есть и того меньше — у 15% компаний.

В Softline мы считаем, что эти показатели хорошо показывают разницу между наличием средств защиты и зрелостью ИБ-процессов. Инструмент может обнаружить подозрительную активность, но дальше возникает вопрос: кто должен отреагировать, что именно он должен сделать, какие системы можно отключить, кого уведомить и как оценить последствия для бизнеса.

Именно поэтому собственные стандарты ИБ нужны не ради дополнительных документов. Они переводят безопасность из набора отдельных решений в систему правил, которая учитывает конкретную инфраструктуру, модель угроз и особенности бизнеса.

Почему бизнес откладывает системную работу с ИБ

В Softline мы видим несколько причин, по которым компании не всегда доходят до такой системы.

Первая — ограниченные ресурсы. ИБ приходится конкурировать за бюджет с проектами, результат которых проще показать бизнесу. Новое оборудование или CRM воспринимаются как понятные инвестиции, тогда как расходы на безопасность часто выглядят как страховка от события, которое может не произойти.

Вторая причина — ставка на готовые стандарты. Компании используют ISO 27001, NIST и другие методологии, но не всегда адаптируют их под собственную инфраструктуру и угрозы. Готовая методология может быть основой, но сама по себе не заменяет собственных правил. Требования должны учитывать отрасль, модель угроз, архитектуру компании и ее уровень зрелости.

Третья проблема — ложное ощущение безопасности. Логика «нас пока не атаковали, значит, мы никому не интересны» не работает, отсутствие видимого инцидента еще не означает отсутствия попыток атаки. Если компания не умеет их отслеживать, она просто не видит часть происходящего.

Наконец, компании могут вкладывать значительную часть бюджета в средства защиты, не выстраивая процессы вокруг них. В Softline мы рассматриваем технологии как один из элементов системы — без понятных процедур, ответственности и регулярной проверки даже хороший инструмент не решает задачу целиком.

Что происходит, когда правил нет

Проблема становится особенно заметной в холдингах и группах компаний. Если единых требований нет, разные подразделения начинают по-разному понимать, что именно считается достаточным уровнем защиты. В Softline мы видим, что у структур одной группы может различаться уровень зрелости ИБ, в результате сложно выстроить единый подход к защите, контролю и реагированию.

Отдельная проблема возникает во время инцидента: если заранее не определено, кто принимает решение, кто отвечает за технические действия и кто взаимодействует с регулятором, время уходит на выяснение полномочий. Вместо отработанного сценария начинается ручное управление кризисом.

По опыту Softline, именно здесь отсутствие заранее подготовленных сценариев становится особенно заметным. Инцидент уже происходит, а компания одновременно пытается понять, что случилось, кто должен действовать и какие последствия необходимо учитывать.

Есть и более фундаментальная проблема: без оценки киберрисков бизнесу сложно понять, что именно необходимо защищать в первую очередь и какой ущерб может привести к наиболее серьезным последствиям.

В Softline мы считаем риск-ориентированный подход основой для таких решений. Он помогает связывать расходы на ИБ не с количеством закупленных инструментов, а с конкретными угрозами и возможными потерями для бизнеса.

Почему одного соответствия стандартам недостаточно

Готовые стандарты остаются полезной основой, проблема возникает, когда компания воспринимает соответствие требованиям как конечную точку. В Softline мы предлагаем смотреть на стандарт как на рабочую систему правил: она должна отвечать на практические вопросы — какие активы критичны, какие угрозы для них наиболее существенны, кто отвечает за защиту, что происходит при инциденте и как проверяется готовность компании.

Особенно это важно для организаций с разной структурой и уровнем зрелости. В крупном холдинге бессмысленно предъявлять одинаковые требования ко всем подразделениям независимо от их роли, критичности данных и ресурсов.

По мнению экспертов Softline, требования разумнее дифференцировать, тогда стандарт становится инструментом управления рисками, а не набором одинаковых пунктов для всех.

Что делать компаниям

Переход от формального соответствия к управляемой безопасности не требует начинать с полной перестройки всей системы. В Softline мы рекомендуем двигаться по нескольким направлениям.

1. Оценить текущую зрелость ИБ-процессов

Необходимо проверить, насколько действующие документы и процедуры соответствуют реальной инфраструктуре компании, ее модели угроз и отраслевой специфике.

2. Разделить требования внутри холдинга

Для разных структур можно установить разные уровни требований с учетом их роли, критичности данных и доступных ресурсов.

3. Пересмотреть структуру расходов

Часть ресурсов стоит направлять не только на средства защиты, но и на процессы: определение целей, распределение ответственности, контроль выполнения и регулярное совершенствование процедур. В Softline мы считаем этот баланс одним из важных условий зрелой ИБ.

4. Подготовить и проверить сценарии реагирования

Недостаточно описать действия на бумаге. Их необходимо отрабатывать на практике. Рекомендация Softline — проводить не менее двух практических учений в год с участием ИТ- и бизнес-подразделений.

5. Связать инвестиции с рисками

Решения о финансировании ИБ стоит принимать исходя из вероятности угроз и потенциального ущерба, а не только из текущего набора доступных технологий.

ИБ как управляемый процесс

В Softline мы рассматриваем информационную безопасность как систему, в которой технологии должны быть связаны с правилами и процессами. Собственный стандарт ИБ нужен не ради еще одного документа, он должен помогать компании отвечать на практические вопросы: что именно мы защищаем, от чего защищаем, кто отвечает за разные участки и что происходит при инциденте. То же относится к реагированию — план, который никто не проверял на практике, не дает той же готовности, что регулярно отрабатываемая процедура.

Поэтому зрелость ИБ определяется не количеством установленных средств защиты. По опыту Softline, более показательный критерий — способность компании заранее определить риски, расставить приоритеты и действовать по понятному сценарию, когда защита все-таки дает сбой.