Оценка эффективности использования организацией средств защиты информации

Даже правильно выбранное средство защиты со временем может перестать соответствовать реальной инфраструктуре. Появляются новые сервисы и пользователи, меняется архитектура сети, внедряются облачные решения, накапливаются правила и исключения, а первоначальные настройки перестают соответствовать текущим бизнес-процессам.

Оценка эффективности СЗИ позволяет:

• определить, насколько существующие средства защиты действительно выполняют свои задачи;
• обнаружить ошибки конфигурации и неактуальные политики;
• выявить критичные активы и процессы, которые защищены недостаточно;
• найти функции СЗИ, которые приобретены, но фактически не используются;
• обнаружить дублирующие или избыточные средства защиты;
• проверить взаимодействие различных компонентов системы ИБ;
• оценить готовность средств защиты к реальным сценариям атак;
• определить приоритеты дальнейшего развития системы безопасности;
• проверить выполнение применимых требований законодательства и регуляторов;
• оптимизировать затраты на информационную безопасность.

В результате компания понимает не только какие СЗИ у нее установлены, но и насколько эффективно они работают в реальных условиях.

Область оценки определяется до начала технических работ. Проверка может охватывать всю инфраструктуру организации либо отдельный контур, информационную систему, подразделение или бизнес-процесс.

Например, предметом оценки может стать система обработки персональных данных, инфраструктура удаленного доступа, корпоративная сеть, платежный контур или другой критичный сегмент.

В зависимости от задачи анализируем:

• рабочие станции;
• серверную инфраструктуру;
• сетевое оборудование;
• виртуальные и облачные среды;
• средства удаленного доступа;
• системы хранения и резервного копирования;
• средства защиты информации;
• системы централизованного управления и мониторинга;
• административные и пользовательские учетные записи;
• политики, регламенты и процессы информационной безопасности.

Такой подход позволяет оценивать СЗИ не сами по себе, а в контексте тех активов и бизнес-процессов, которые они должны защищать.

1. Определяем область оценки
Совместно с заказчиком определяем, какие информационные системы, подразделения, бизнес-процессы и компоненты инфраструктуры должны войти в проект.
Изучаем структуру компании, ИТ-ландшафт, архитектуру информационной безопасности, критичные активы и требования к их защите.
Это позволяет определить границы работ и сосредоточить оценку на тех компонентах, от которых действительно зависит безопасность бизнеса.

2. Собираем исходную информацию
Анализируем:

• перечень используемых СЗИ;
• схемы сети и сегментацию;
• состав серверов и рабочих станций;
• политики безопасности;
• инструкции и регламенты;
• модель угроз при ее наличии;
• роли и зоны ответственности;
• информацию о произошедших инцидентах;
• существующие интеграции между средствами защиты.

Также проводим интервью с ответственными сотрудниками, чтобы понять, как СЗИ используются в реальной работе и с какими проблемами сталкиваются ИТ- и ИБ-специалисты.

3. Проводим инвентаризацию СЗИ
Определяем:

• какие средства защиты внедрены;
• где они используются;
• какие функции выполняют;
• какие активы должны защищать;
• какие версии программного обеспечения используются;
• установлены ли актуальные обновления;
• поддерживаются ли продукты производителем;
• как СЗИ интегрированы между собой;
• какие функции и лицензии используются фактически.

При необходимости также проверяем наличие и актуальность сертификатов соответствия используемых средств защиты, если такие требования применимы к информационной системе.

4. Проверяем настройки и политики безопасности
На этом этапе специалисты переходят от инвентаризации к технической проверке.
Анализируем конфигурации СЗИ и определяем, соответствуют ли они архитектуре инфраструктуры, модели угроз и реальным бизнес-процессам.
Выявляем:

• ошибочные настройки;
• избыточные права;
• неактуальные правила;
• конфликтующие политики;
• небезопасные исключения;
• неиспользуемый функционал;
• устаревшие параметры;
• недостаточное журналирование;
• возможности обхода существующих механизмов защиты.

Также можем предоставлять подобный сервис «по подписке», чтобы контролировать изменения в конфигурациях, когда они происходят.

5. Проверяем работу СЗИ на практике
Если это входит в согласованный объем работ, проверяем реакцию средств защиты на контролируемые сценарии угроз.
Это могут быть:

• попытки несанкционированного доступа;
• действия с повышением привилегий;
• попытки передачи информации через контролируемые каналы;
• сценарии обхода установленных политик;
• подозрительная сетевая активность;
• атаки на внешние сервисы;
• другие сценарии, актуальные для инфраструктуры заказчика.

Оцениваем, обнаруживает ли СЗИ событие, корректно ли его классифицирует, выполняет ли необходимые действия и передает ли информацию в связанные системы мониторинга.
6. Оцениваем эффективность системы защиты
Сопоставляем результаты технической проверки с задачами бизнеса, актуальными угрозами и применимыми нормативными требованиями.
Определяем:

• какие меры работают эффективно;
• где существуют пробелы в защите;
• какие СЗИ используются только формально;
• где функциональность разных решений избыточно дублируется;
• какие приобретенные возможности не используются;
• какие компоненты требуют модернизации;
• какие проблемы необходимо устранить в первую очередь.

При необходимости состояние системы также может сопоставляться с применимыми практиками и подходами как ФСТЭК или ЦБ РФ, так и международными — CIS, NIST, MITRE.

7. Формируем отчет и дорожную карту
По результатам работ готовим отчет, содержащий:

• текущее состояние средств защиты;
• выявленные ошибки и недостатки;
• архитектурные риски;
• проблемные конфигурации;
• организационные недостатки;
• оценку эффективности используемых СЗИ;
• рекомендации по устранению выявленных проблем;
• приоритеты дальнейших работ;
• дорожную карту развития системы защиты.

Рекомендации ранжируются по критичности, чтобы заказчик понимал, какие проблемы требуют немедленного устранения, а какие изменения можно реализовать в рамках планового развития инфраструктуры.

8. Презентуем результаты
Проводим встречу с представителями руководства, ИТ- и ИБ-подразделений.
Объясняем выявленные проблемы, показываем связанные с ними риски и обсуждаем возможные варианты устранения.

В результате у технических специалистов появляется конкретный план работ, а у руководства — понимание состояния системы безопасности, основных рисков и необходимых инвестиций.

Оцениваем отдельные СЗИ и их совместную работу в общей архитектуре информационной безопасности.

NGFW и межсетевые экраны
Проверяем правила фильтрации, сетевые взаимодействия, сегментацию, неактуальные и избыточные правила, используемые функции безопасности и журналирование событий.

Антивирусы, EDR и XDR
Оцениваем охват серверов и рабочих станций, политики защиты, актуальность компонентов, исключения, механизмы обнаружения и реагирования.

DLP
Проверяем контролируемые каналы передачи информации, правила контентного анализа, политики работы с файлами и съемными носителями, исключения и соответствие настроек реальным бизнес-процессам.

IAM и PAM
Анализируем роли, права доступа, привилегированные учетные записи, процессы предоставления и отзыва прав, а также контроль действий администраторов.

Active Directory и средства управления доступом
Проверяем групповые политики, структуру прав, привилегированные группы и процессы управления логическим доступом.

SIEM
Оцениваем источники событий, полноту сбора данных, правила корреляции, сценарии обнаружения и качество журналирования.

IDS/IPS
Проверяем политики обнаружения и предотвращения вторжений, актуальность правил, контролируемые сегменты и реакцию на подозрительную сетевую активность.

VPN и средства защиты каналов связи
Анализируем настройки удаленного доступа, аутентификацию, используемые политики и разграничение доступа к корпоративным ресурсам.

WAF
Проверяем политики защиты веб-приложений, исключения, режимы обнаружения и блокировки атак, журналирование и интеграцию с другими средствами мониторинга.

Средства резервного копирования
Оцениваем охват критичных данных, настройки резервирования, разграничение доступа к копиям и возможность восстановления.

Средства защиты виртуальной и облачной инфраструктуры
Проверяем защиту виртуальных машин, гипервизоров, облачных ресурсов, систем управления и связанных компонентов.

Также можем оценивать другие используемые заказчиком средства защиты, включая решения для персональных данных и инструменты безопасной разработки.

Главный результат оценки — понимание реальной, а не формальной эффективности информационной безопасности.

Заказчик получает:

• отчет о состоянии и эффективности используемых СЗИ;
• перечень обнаруженных ошибок и недостатков;
• список критичных активов и процессов с недостаточным уровнем защиты;
• рекомендации по перенастройке существующих решений;
• перечень избыточных или дублирующих мер;
• рекомендации по более эффективному использованию уже приобретенного функционала;
• приоритеты устранения выявленных проблем;
• рекомендации по развитию архитектуры ИБ;
• дорожную карту модернизации системы защиты.

Мы разделяем критичные проблемы, требующие первоочередного устранения, и задачи, которые можно реализовать позднее. Это позволяет направлять бюджет в первую очередь туда, где изменения действительно снижают риски.

Оцениваем не наличие СЗИ, а их реальную работу

Сам факт установки NGFW, DLP, EDR или SIEM не означает, что средство эффективно выполняет свою функцию. Проверяем конфигурации, охват инфраструктуры, политики и работу механизмов защиты.

Смотрим на систему комплексно

Учитываем взаимосвязь СЗИ, ИТ-инфраструктуры, бизнес-процессов и организационных мер. Это помогает обнаруживать проблемы, которые невозможно увидеть при проверке одного продукта отдельно.

Не предлагаем замену ради замены

Если проблему можно решить правильной настройкой существующего средства, не предлагаем покупать новый продукт. Если часть функциональности не используется или дублируется, показываем возможности для оптимизации.

Даем конкретный план действий

Результатом становится не только описание текущего состояния, но и приоритизированная дорожная карта дальнейших изменений.

Стоимость зависит от масштаба инфраструктуры, количества используемых средств защиты, выбранной глубины проверки, требований регуляторов и необходимости выезда специалистов.

Базовый аудит СЗИ — от 150 000 ₽
Подходит небольшим компаниям и инфраструктурам до 100 пользователей.
Включает:

• инвентаризацию СЗИ;
• проверку основных настроек;
• анализ журналов событий;
• выявление основных проблем;
• рекомендации по их устранению.

Расширенная оценка эффективности СЗИ — от 350 000 ₽
Подходит средним компаниям и организациям с распределенной инфраструктурой до 500 сотрудников.
Включает:

• технический аудит используемых СЗИ;
• анализ архитектуры ИБ;
• проверку интеграций;
• анализ конфигураций и политик;
• моделирование согласованных сценариев угроз;
• приоритизированные рекомендации;
• дорожную карту улучшений.

Комплексная оценка эффективности информационной безопасности — от 550 000 ₽
Подходит крупным организациям, холдингам и компаниям с высокой критичностью информационных систем.
Включает:

• комплексную проверку средств защиты;
• анализ внешних и внутренних сценариев угроз;
• оценку процессов информационной безопасности;
• анализ организационных мер;
• проверку применимых требований 152-ФЗ и 187-ФЗ;
• оценку зрелости системы ИБ;
• рекомендации по оптимизации затрат;
• стратегию развития системы безопасности.

Точный состав, сроки и стоимость работ определяются после уточнения инфраструктуры и задач заказчика.

Оставьте заявку и расскажите, какие средства защиты используются в вашей компании и какую инфраструктуру необходимо проверить.

Специалисты «Гладиаторов информационной безопасности» помогут определить оптимальный объем оценки, проверят реальную эффективность СЗИ и подготовят конкретный план улучшения системы информационной безопасности.