Консалтинг з кібербезпеки: що входить у послугу, етапи та результат

Слово «консалтинг» звучить розмито — і саме тому багато керівників бояться його замовляти: незрозуміло, за що платиш і чим усе закінчиться. Розберемо предметно: із чого складається послуга, як вона влаштована в часі, які артефакти лишаються у вас на руках і як обрати виконавця.

Консалтинг з кібербезпеки: що це насправді

Це залучення зовнішніх фахівців, аби вибудувати захист — від оцінювання поточного стану до впровадження заходів і контролю результату.

Ключова відмінність від разових робіт — масштаб погляду:

• пентест відповідає на питання «чи можна нас зламати і як саме»;
• аудит — «чи відповідаємо ми вимогам»;
• консультант працює із системою в цілому: «як побудувати так, аби не зламали, і як цим керувати далі».

Тобто пентест дає зріз, а консалтинг — конструкцію. Плутанина між ними коштує грошей: замовник купує тест на проникнення там, де бракує елементарного переліку активів. Результат передбачуваний: звіт про десяток вразливостей — і жодного розуміння, звідки вони взялися.

Консалтингові послуги з кібербезпеки: що входить у пакет

Склад комбінують під завдання, але базових складників сім:

1. Діагностика поточного стану. Обстеження інфраструктури й процесів, інвентаризація активів, gap-аналіз: розрив між тим, що є, і тим, що має бути.
2. Оцінювання ризиків. Які загрози реальні саме для вас, у чому вимірюється збиток (див. ISO 27005).
3. Дорожня карта. Послідовність кроків із пріоритетами й прив'язкою до бюджету.
4. Розробка документів. Політики, регламенти доступу, план реагування на інциденти.
5. Супровід упровадження. Допомога в налаштуванні заходів і навчання персоналу.
6. Підготовка до сертифікації чи перевірки — ISO 27001, вимоги партнерів, нормативні вимоги.
7. Контроль. Повторне оцінювання: чи справді все працює так, як задумано.

Консалтингова послуга з кібербезпеки буває разовою (проєкт із чітким фіналом) або тривалою — коли зовнішній фахівець супроводжує вас місяцями. Про абонементні моделі — окремо в матеріалі про безпеку як послугу.

Етапи: як це виглядає в часі

Етап 1. Занурення. Фахівець вивчає бізнес: чим ви заробляєте, які дані обробляєте, які вимоги висувають партнери й регулятори. Без цього рекомендації вийдуть універсальними, тобто нічиїми.

Етап 2. Обстеження. Технічне й організаційне: інфраструктура, доступи, процеси, документи, люди.

Етап 3. Аналіз і ризики. Не «у вас 500 вразливостей», а «ось п'ять сценаріїв, які реально зупинять ваш бізнес, і ось їхня ціна».

Етап 4. Звіт і дорожня карта. Головний проміжний результат: що негаразд, чому це важливо для бізнесу, що робити першим.

Як це звучить на практиці. Слабке формулювання: «виявлено відкритий доступ до бази на тестовому сервері». Робоче формулювання: «тестовий сервер доступний із інтернету, там лежить торішня копія бази клієнтів; ризик — публікація персональних відомостей та претензії від замовників; усунення — два дні роботи адміністратора». Друге формулювання керівник читає й ухвалює рішення за хвилину; перше пересилають технічним фахівцям та про нього забувають. Саме ця здатність перекладати технічні знахідки мовою грошей відрізняє корисний звіт від безкорисного.

Етап 5. Упровадження. Або виконавець супроводжує вашу команду, або бере частину робіт на себе.

Етап 6. Перевірка й підтримка. Контроль результату, за потреби — регулярний супровід.

Строки залежать від масштабу: діагностика невеликої фірми — питання тижнів, обстеження групи підприємств із кількома майданчиками — місяців. Обіцянка «зробимо все за три дні» означає, що вам продадуть шаблон.

Що лишається у вас на руках

Найважливіше питання, яке замовники ставлять найрідше: які артефакти я отримаю? Хороший результат — робоча система, а не презентація. Перелік того, що має лишитися:

• перелік активів — де що лежить, хто власник, хто має доступ;
• реєстр ризиків із пріоритетами, а не абстрактний «список загроз»;
• звіт про поточний стан без прикрас, зрозумілий керівнику;
• дорожня карта з етапами, відповідальними й орієнтовною вартістю;
• документи, які виконують, а не зберігають «для перевірки»;
• упроваджені заходи — технічні й організаційні;
• навчена команда й розподілені ролі на випадок інциденту.

Тривожний сигнал: якщо на виході — лише перелік вразливостей і порада «купіть рішення X», це вже радше продаж, аніж консультація.

Хто надає: консалтингові компанії з кібербезпеки й не тільки

Ринок неоднорідний, і від типу виконавця залежить майже все.

Консалтингова компанія з кібербезпеки — це не обов'язково великий бренд: часто найкорисніший результат дає команда з п'яти людей, які роками працюють у вашій галузі. І навпаки: компанії-консультанти з кібербезпеки, які приходять із готовим шаблоном «для всіх», лишають по собі папку, котру ніхто вже не відкриє.

Обираючи, дивіться не на логотипи клієнтів, а на те, чи бачили виконавці ваш сектор і хто конкретно працюватиме на проєкті.

Консалтинг з IT-безпеки — це те саме?

Терміни вживають як синоніми, хоча вони різні за обсягом. Консалтинг з IT-безпеки — це радше про інфраструктуру: сервери, мережі, доступи, налаштування. Ширший погляд додає до цього процеси, людей, документи, постачальників і відповідність вимогам (докладно про різницю — у матеріалі ІТ-безпека).

Практичний висновок: перевіряйте не назву послуги в комерційній пропозиції, а перелік робіт. Дві однаково названі пропозиції можуть відрізнятися вдвічі за обсягом.

Із чого складається ціна

Питання «скільки це коштує» без вхідних даних коректної відповіді не має. Ціна залежить від:

• масштабу — кількість систем, майданчиків, працівників, підрядників;
• глибини — експрес-огляд чи повне обстеження з технічними перевірками;
• стану документів — коли політик немає взагалі, роботи більше;
• строків — стислий дедлайн завжди дорожчий;
• формату — разовий проєкт, погодинна ставка чи абонемент.

Тверезий орієнтир: діагностика зазвичай коштує помітно менше, ніж упровадження, а найдорожчим виявляється те, чого не зробили вчасно.

І ще одна стаття витрат, яку ніхто не рахує, — час ваших людей. Інтерв'ю, збір документів, узгодження, приймання: адміністратор та керівник відділу випадають із рутини на кілька днів. Це нормально й неминуче, але цей час варто закласти в план заздалегідь, аби проєкт не завис через відпустку єдиної обізнаної людини.

Шість питань перед підписанням договору

• Хто саме працюватиме? Просіть резюме команди, а не бренд агенції.
• Чи є конфлікт інтересів? Виконавець, який заробляє на ліцензіях, рідко радить безкоштовне рішення.
• Які артефакти будуть у результаті? Перелічіть їх у договорі поіменно.
• Хто з нашого боку потрібен і скільки часу? Проєкт без залучення вашої команди приречений на провал.
• Як передаватимуться знання? Аби після завершення робіт компанія лишилася самостійною.
• Що з конфіденційністю? NDA, правила доступу, доля зібраних відомостей після проєкту.

Що приготувати до старту

Половина затримок на проєктах виникає через те, що виконавець тижнями чекає на вхідні дані. Мінімальний набір, який варто зібрати заздалегідь:

• перелік систем і сервісів — навіть чернетковий, зокрема хмарні підписки, про які знає лише маркетинг;
• схема мережі — хай навіть намальована від руки, це краще за нічого;
• перелік підрядників, які мають доступ до ваших систем;
• наявні документи — політики, накази, інструкції, попередні звіти;
• вимоги ззовні — анкети партнерів, пункти договорів, вимоги тендерів;
• час ваших людей — адміністратора, бухгалтера, керівника відділу: без інтерв'ю обстеження перетворюється на здогади.

Окремо: призначте одну людину, яка ухвалює рішення й відкриває двері. Проєкт без такої ролі буксує на першому ж узгодженні.

Формат договору: на що дивитися

Тут ховається різниця між корисним проєктом і освоєним бюджетом.

• Фіксована ціна зручна для чітко окресленого обстеження: обсяг відомий, результат описаний.
• Погодинна ставка підходить для супроводу впровадження, де обсяг наперед невідомий.
• Абонемент виправданий, коли потрібна регулярна присутність фахівця — огляди, узгодження змін, розбір інцидентів.

Що варто зафіксувати письмово, хоч би який формат ви обрали: межі робіт (які системи входять, а які — ні), перелік артефактів, строки, критерії приймання, правила доступу до ваших систем і доля зібраних відомостей після завершення. Формулювання «проведення робіт із підвищення рівня захищеності» в договорі — це не обсяг, а туман.

Як приймати результат

Приймання — окрема робота замовника, і робити її варто до підписання акта. П'ять перевірок:

1. Артефакти на місці — рівно ті, що перелічені в договорі, а не «звіт замість усього».
2. Ризики прив'язані до бізнесу. Формулювання «застаріле ПЗ на сервері» нічого не варте; «зупинка складу на два дні через шифрувальник» — уже привід виділити бюджет.
3. У кожного пункту дорожньої карти є власник і строк. Інакше карта — просто побажання.
4. Виконати можна без автора. Прочитайте інструкцію очима свого адміністратора: чи вистачає там деталей.
5. Керівник розуміє звіт. Якщо документ читає лише айтішник, рішень про бюджет за ним ніхто не ухвалить.

Три міфи, через які відкладають рішення

Міф 1: «Це для великих». Насправді великій корпорації простіше пережити помилку — у неї є запас. Малому бізнесу дешевше один раз розібратися, ніж потім переробляти інфраструктуру після інциденту.

Міф 2: «Результат — товстий звіт». Обсяг документа ніяк не пов'язаний із користю. Двадцять сторінок, де названо п'ять пріоритетів та відповідальних, працюють краще за двісті сторінок опису «як воно є».

Міф 3: «Після проєкту питання закрите». Стан змінюється щодня: звільнився адміністратор, з'явився новий підрядник, вийшла свіжа вразливість. Дорожня карта — це графік на рік, а не фініш.

Чого консалтинг не робить

Чесний перелік обмежень, аби очікування збігалися з реальністю:

• Робота лишається за вашою командою. Зовнішній фахівець напише правило, але щодня виконуватимуть його ваші люди.
• Гарантії «нас ніколи не зламають» тут немає. Керують ризиком, а абсолют у цій царині відсутній у принципі.
• Диво без бюджету неможливе. Якщо рекомендації нікому фінансувати, дорожня карта лишиться гарним файлом.
• Пріоритети однаково ухвалює власник бізнесу. Зовнішній погляд лише робить цей вибір усвідомленим, спираючись на цифри, а не на інтуїцію.

Коли консалтинг доречний — і коли зарано

Доречний:

• безпекою ніхто системно не займався, і незрозуміло, за що братися;
• партнер або регулятор вимагає відповідності, треба зрозуміти обсяг робіт;
• стався інцидент, і потрібно унеможливити повторення;
• бізнес виріс, а захист лишився «як для стартапу»;
• власного фахівця немає й найближчим часом не буде.

Зарано або зайве:

• задача вузька («закрити два порти») — вистачить підрядника;
• у вас уже є зріла служба ІБ — тоді потрібен вузький експерт, а не загальний огляд;
• рішення про бюджет ухвалювати нікому: без підтримки керівництва звіт ляже в шухляду.

Потрібен зовнішній погляд на ваш захист? Фахівці проведуть діагностику й запропонують дорожню карту під ваші ризики й бюджет — отримати консультацію.