Найпоширеніша управлінська помилка звучить так: «ми купили систему, тепер захист є». Сама собою куплена система гарантує мало. Захищеність тримається на трьох опорах — люди, процеси, технології, — і слабкість будь-якої з них обвалює конструкцію цілком.
Спершу про саме формулювання
Фразу «інформаційна безпека забезпечує захист компанії» вживають часто, хоча точніше сказати навпаки. Безпека — це стан (докладніше про межі понять — у матеріалі про ІБ та кібербезпеку), а забезпечують його три опори. Питання, отже, ставиться не «що нам купити», а «хто, за якими правилами й якими інструментами працює».
Опора перша: люди
Більшість інцидентів починається з людини: хтось відкрив фішинговий лист, поставив простий пароль, виніс базу на флешці. Жодна технологія цього повністю не компенсує.
Що працює:
- регулярне навчання й тренування замість одноразового інструктажу під підпис;
- зрозумілі правила: що дозволено, що заборонено, куди повідомляти про підозріле;
- культура без покарання за повідомлення — щоб працівник одразу сказав «я клікнув»;
- перевірка кандидатів при наймі та чіткий порядок відкликання доступів при звільненні.
Про третій пункт варто окремо. Уявіть: менеджер відкрив вкладення, зрозумів свою помилку — і промовчав, бо боїться штрафу. Зловмисник спокійно працює в мережі три доби. Саме ці три доби й перетворюють дрібний інцидент на катастрофу. Компанія, яка карає за зізнання, купує собі мовчання.
Але людина — водночас і найсильніша ланка. Підозрілий дзвінок «з банку» пройде повз будь-яку систему моніторингу — а бухгалтер його помітить. Працівник, який повідомив про дивний лист через дві хвилини, дає службі захисту фору, недосяжну за жодні гроші: раннє повідомлення варте більше, ніж ідеально написаний регламент.
І ще одне: навчання без вимірювання — просто галочка. Виміряти можна: частку тих, хто перейшов за посиланням у навчальній розсилці, та середній час до повідомлення про підозрілий лист. Якщо обидва показники покращуються, навчання працює.
Опора друга: процеси
Технології без порядку — набір розрізнених інструментів. Процедури відповідають на питання «хто, що й коли робить»:
- політики й регламенти (див. політику);
- управління ризиками — що захищати першочергово (див. оцінку ризиків);
- управління доступом — надання й вчасне відкликання прав;
- управління змінами та оновленнями;
- управління вразливостями (див. аналіз вразливостей);
- реагування на інциденти (див. план реагування);
- аудити й перевірки — чи справді все працює.
Проста перевірка життєздатності: у робочої процедури завжди є власник, періодичність і сліди виконання. Немає власника — її ніхто не запускає. Немає періодичності — вона згадується раз на рік. Немає слідів (заявок, журналів, протоколів) — довести аудиторові чи слідству нічого.
На практиці найчастіше провалюються два порядки: відкликання доступів при звільненні (обліковий запис живе місяцями) та управління змінами (адміністратор «швиденько» відкрив порт назовні й забув).
Опора третя: технології
Засоби забезпечення інформаційної безпеки — це технічні інструменти, що реалізують установлені правила. До них належать:
- міжмережевий екран і WAF;
- шифрування даних та каналів;
- багатофакторна автентифікація й контроль доступу;
- антивірусний захист, виявлення вторгнень і сучасні системи контролю робочих станцій;
- інструменти проти витоку даних, які стежать за виносом чутливих файлів назовні;
- резервне копіювання з регулярною перевіркою відновлення;
- моніторинг подій;
- фізичні: пропускний режим, сейфи, знищувачі документів.
Головне застереження. Інструмент без налаштування й без людини, яка щодня дивиться в журнали, — декорація. Куплена система моніторингу, у яку ніхто не заходить, дає керівництву відчуття захищеності й нічого більше. Тому обирати варто не за довжиною переліку функцій, а за відповіддю на питання: хто саме її експлуатуватиме, скільки годин на тиждень і що робитиме зі спрацюваннями.
Організація забезпечення інформаційної безпеки
Три опори перетворюються на систему, коли з'являються ролі та цикл робіт.
| Роль | За що відповідає |
|---|---|
| Керівник напряму (власник активу) | Вирішує, що цінне й скільки прийнятно втратити |
| Служба захисту | Ставить вимоги, оцінює ризики, перевіряє виконання |
| ІТ | Впроваджує й експлуатує інструменти |
| Персонал | Дотримується правил і повідомляє про підозріле |
| Керівництво | Виділяє ресурси та приймає залишковий ризик |
Окремо про підпорядкування. Коли служба захисту входить до ІТ-відділу, вона одночасно ставить вимоги й сама ж звітує про їх виконання. Виникає класичний конфлікт інтересів: незручну проблему простіше приховати, ніж винести нагору. Тому в зрілих компаніях цей напрям підпорядковують керівництву, а не тому, кого він перевіряє.
Далі — звичайний цикл: спланували, впровадили, перевірили, виправили — і знову спочатку. Керовану систему з усього цього робить СУІБ: вона й зшиває ролі, процедури та інструменти в одне ціле.
Інформаційна безпека залежить від балансу трьох опор
Бюджет тут вторинний. Перекіс у будь-який бік дає передбачуваний результат:
- навчені люди без процедур — хаос: усі хочуть як краще, ніхто не знає, як діяти системно;
- процедури без інструментів — папір, який ніхто не виконує;
- інструменти без людей і процедур — дорогі декорації без господаря.
Правило просте: найдорожчий інструмент не компенсує відсутність порядку, а найкращий порядок не працює без того, хто його виконує.
З чого почати, якщо грошей немає
Перші кроки коштують часу, а не бюджету:
- Інвентаризація. Перелік того, що цінне, де лежить і хто має доступ.
- Багатофакторна автентифікація для пошти, хмари та адміністраторів — найдешевший захід із найбільшою віддачею.
- Оновлення всього, що дивиться назовні.
- Резервні копії — і обов'язково пробне відновлення: копія, яку жодного разу не розгортали, — це лише припущення.
- Відкликання доступів у день звільнення, без «потім».
- Коротке навчання персоналу з простим правилом: побачив дивне — напиши; за це не карають.
Жоден із цих кроків не потребує закупівель. І саме вони закривають більшу частину типових сценаріїв.