Нет смысла покупать грузовик, чтобы развозить пиццу. С безопасностью то же самое: каждому этапу развития компании соответствуют свои инструменты, и базовый уровень защиты почти не требует покупок.
Инструмент, купленный раньше времени, простаивает: его некому настроить и некому разбирать его сигналы. Когда средство защиты называют «дорогой формальностью», почти всегда за этим стоит неправильное или несвоевременное использование.
Минимум почти ничего не стоит
Для отправной точки есть хороший документ — ГОСТ Р 57580.1-2017. Он писался для финансовых организаций, но как ориентир подходит любой компании: в нём подробно описаны шаги защиты и три уровня — третий минимальный, второй стандартный, первый усиленный.
Большинство требований минимального уровня касаются процессов: правила работы с информационными системами, чёткие роли пользователей и контроль доступа, стандарты построения внутренней сети и выхода в интернет. Применив к своей инфраструктуре требования третьего уровня, компания получает тот самый обязательный минимум. Из затрат, кроме зарплаты сотрудников, остаётся антивирусное ПО. Всё остальное делается настройками существующих систем и решениями с открытым кодом.
Главное слово — «везде»
Антивирус, настроенный и работающий везде, по моей оценке, сразу даёт около 60% защиты. Ключевое слово здесь — «везде». Чтобы уверенно его произнести, нужно знать, сколько в компании серверов и рабочих мест и где они находятся. Без инвентаризации активов говорить о покрытии защитой трудно.
Рядом стоят другие элементарные меры: разграничение внешнего и внутреннего контура сети с сегментацией, сложные пароли, контроль доступа к системам.
Что брать потом
Когда базовый уровень выстроен, приходит время специализированных средств. Межсетевой экран нового поколения (NGFW) защищает периметр. Система анализа внутреннего трафика (NTA) ищет в сети аномалии и следы злоумышленника. Песочница (sandbox) ищет вредоносный код в файлах и вложениях. Ловушки (deception), расставленные внутри инфраструктуры, помогают обнаружить того, кто уже проник.
У среднего бизнеса с этим сложность: доступных коммерческих решений этих классов мало. Аналоги с открытым кодом есть, но для их поддержки и нормальной работы нужен штат. Поэтому вопрос «что купить» всегда идёт в паре с вопросом «кто это будет обслуживать».
Самопроверка
Задайте себе вопрос: «Какие средства защиты уже внедрены в компании?» Возможно, полезно называть в ответе только то, что настроено, покрывает всю инфраструктуру и за чем кто-то следит. Тогда станет видно, на каком этапе компания и что брать следующим. На интенсиве каждый участник получает по своей компании карту рисков, список первоочередных мер и план развития ИБ.