Засіб захисту інформації — будь-який інструмент, механізм чи захід, покликаний уберегти дані від витоку, знищення, спотворення та несанкціонованого доступу. Не лише програма: наказ керівника, замок на дверях серверної й антивірус належать до одного переліку — просто до різних його груп.
Що таке засоби захисту інформації: два значення терміна
Слово має побутове й нормативне значення, і плутанина між ними коштує грошей.
- Побутове (широке). Усе, чим убезпечують дані: від NDA до апаратного ключа.
- Нормативне (вузьке). У регульованій сфері так називають технічний виріб, відповідність якого підтверджено, — саме такі вироби потрапляють до державного переліку дозволених.
Звідси практичний висновок для технічного завдання: слова «захід» і «виріб» — не синоніми. Коли в договорі написано «впровадити засоби захисту», варто одразу уточнити, йдеться про закупівлю обладнання чи про повний комплекс разом із політиками, навчанням і контролем. Різниця — у бюджеті й у переліку виконавців.
Види захисту інформації: за чим розрізняють інструменти
Види захисту інформації розрізняють щонайменше за трьома осями — і кожна відповідає на власне питання:
- за природою заходу — правовий, організаційний, технічний: чим саме діємо;
- за етапом протидії — запобігання, виявлення, реагування: коли спрацьовує;
- за об'єктом — мережа, кінцевий пристрій, застосунок, сховище, люди: що прикриваємо.
Одна й та сама річ живе одразу на трьох осях. Міжмережевий екран: технічний за природою, превентивний за етапом, мережевий за об'єктом. Детальний розбір ознак поділу — у статті Класифікація засобів захисту інформації.
Які бувають засоби захисту інформації: шість груп
Класично виділяють шість груп. Види засобів захисту інформації зручно тримати перед очима однією таблицею:
| Група | Приклади | Проти чого працює | Типова помилка |
|---|---|---|---|
| Правові | закони, договори, NDA, положення про комерційну таємницю | підстави й відповідальність | NDA без переліку конфіденційних відомостей |
| Організаційні | політики, процедури, розмежування доступу, навчання, контроль підрядників | щоденну поведінку людей | правила без власника й слідів виконання |
| Фізичні | замки, турнікети, сигналізація, сейфи, шредери, охорона серверної | доступ до приміщень і носіїв | двері з карткою, підперті стільцем |
| Апаратні | ключі 2FA, шифратори, апаратні міжмережеві екрани, ДБЖ | стійкість і доступність | придбали, увімкнули «як є» |
| Програмні | антивірус, WAF, SIEM, DLP, резервне копіювання | більшість цифрових ризиків | ніхто не читає журнали |
| Криптографічні | шифрування дисків і каналів, підписи, керування ключами | таємність і справжність | ключ лежить поруч зі сховищем |
Фізичну й апаратну частину докладно розібрано у статті про офіс і серверну, програмну — у матеріалі Програмні засоби захисту.
Жоден інструмент не працює поодинці
Типова помилка — придбати «коробку» й вважати питання закритим. Насправді комбінації провалюються передбачувано:
- правові без організаційних — правила є, але ніхто не знає, як їх виконувати;
- технічні без організаційних — інструменти куплено, проте не налаштовано й не переглянуто;
- організаційні без технічних — папір, виконати який фізично неможливо.
Наочний ланцюжок. Політика вимагає відкликати доступи при звільненні (організаційний рівень). Кадрова служба надсилає повідомлення адміністраторові (процедура). Адміністратор вимикає обліковий запис у каталозі (технічний інструмент). Журнал фіксує дію (контроль). Прибрати будь-яку ланку — і звільнений менеджер місяцями бачить угоди, хоча куплено все на світі.
Тому спершу визначають, від чого саме убезпечуємося (див. базове поняття й перелік загроз), і лише потім добирають інструменти під реальні ризики.
Як обирати: від ризику, а не від каталогу
Порядок, який економить бюджет:
- Ризик. Що саме може статися, з якою ймовірністю, з якими наслідками (оцінка ризиків за ISO 27005).
- Вимога до заходу. Сформулюйте властивість, а не марку: «блокувати вивантаження понад N записів», а не «купити продукт Х».
- Варіанти. Зазвичай їх кілька, і частина — безкоштовні: налаштування вже наявних систем закриває ризик не гірше за нову ліцензію.
- Пілот. Два тижні на реальному трафіку показують більше, ніж презентація постачальника.
- Експлуатація. Хто відповідає, хто читає сповіщення, коли переглядають правила.
Головний орієнтир — пропорційність: убезпечення має коштувати менше, ніж те, що воно береже. Обраний набір фіксують у Заяві про застосовність (SoA) — там видно, що впроваджено, а що свідомо відхилено та чому.
Спершу увімкніть те, за що вже заплачено
Перед новою закупівлею варто зазирнути всередину наявних систем. Там зазвичай лежить вимкненим:
- багатофакторна автентифікація на пошті та в хмарному кабінеті;
- шифрування диска, вбудоване в операційну систему;
- журналювання й сповіщення про підозрілі входи;
- фільтрація вкладень і зовнішніх посилань у поштовому сервісі;
- автоматичне оновлення застосунків.
Це вже оплачено ліцензією й потребує лише годин адміністратора. Компанії, готові почати звідси, часто виявляють: половина ризиків з їхнього переліку закривається без жодної нової покупки. Бюджет лишається на те, для чого справді немає готового рішення.
Вибір за списком галочок
Тендер із таблицею функцій майже завжди приводить до продукту з двома сотнями можливостей, з них реально працюють п'ять. Постачальник виграє за кількістю позначок, а компанія отримує складну систему без людини, здатної її вести.
Робочий підхід — сценарії замість переліку: «покажіть на нашому трафіку, як ви помічаєте вивантаження бази», «продемонструйте розбір інциденту від сповіщення до висновку». Продукт, який не проходить сценарій, не врятує й найдовша таблиця можливостей.
Навчання людей: найдешевша позиція кошторису
Година тренування коштує дешевше за будь-яку ліцензію, а закриває ризик, проти якого техніка безсила: пароль, добровільно відданий підробленій сторінці. Тому навчання варто рахувати разом із рештою інструментів, а не окремим «м'яким» пунктом.
Дві метрики роблять його вимірюваним: частка працівників, які перейшли за посиланням у тренувальній розсилці, і час до першого повідомлення про підозрілий лист. Перша має падати, друга — скорочуватися. Якщо обидві стоять на місці, навчання перетворилося на щорічну галочку.
Три покоління інструментів
Технічна частина ринку пройшла три етапи, і плутанина між ними породжує хибні очікування:
- сигнатури — розпізнають уже відоме: конкретний файл, конкретну адресу. Дешево, швидко, але безсилі проти новинок;
- поведінковий аналіз — дивляться не на «хто», а на «як»: процес шифрує сотні файлів поспіль — тривога, навіть якщо його ніхто раніше не бачив;
- телеметрія й кореляція — збирають події з пристроїв, мережі та хмари й показують ланцюжок цілком.
Практичний наслідок: продукт, куплений десять років тому й відтоді не оновлений концептуально, ловить лише перший клас загроз. Питання постачальникові варто ставити прямо: розпізнавання відбувається за переліком відомого чи за поведінкою?
Дублювання: коли два продукти роблять те саме
Класична картина після кількох років закупівель — три ліцензії з однаковою функцією: антивірус у складі поштового шлюзу, окремий антивірус на робочих станціях і ще один усередині платформи віртуалізації. Платять за три, працює один.
Перед новою покупкою корисно скласти просту матрицю: рядки — ризики, стовпці — те, чим ви вже володієте. Порожня клітинка означає діру. Клітинка з трьома позначками — привід відмовитися від двох ліцензій і вкласти гроші туди, де порожньо.
Правило простої гігієни: кожен продукт має закривати названий ризик. Продукт, під який ризик не називається, — просто рядок у бюджеті.
Скільки коштує інструмент насправді
Ціна ліцензії — верхівка айсберга. Реальна вартість володіння складається з:
- впровадження та інтеграції з наявною інфраструктурою;
- годин адміністратора щомісяця: правила, винятки, розбір сповіщень;
- навчання персоналу й підтримки користувачів;
- оновлень і продовження підтримки;
- виходу: скільки коштуватиме заміна, чи заберете ви з собою власні правила та журнали.
Звідси парадокс: «безкоштовне» рішення нерідко виявляється найдорожчим — за годинами інженера. І навпаки: увімкнена багатофакторна автентифікація на пошті закриває більше ризиків, ніж дорога система, яку ніхто не супроводжує.
Ознаки мертвого інструмента
Придбаний, встановлений і... непотрібний. Розпізнати легко:
- Немає власника — прізвища людини, відповідальної за налаштування.
- Журнали ніхто не відкривав від дня встановлення.
- Правила не переглядали після останньої зміни інфраструктури.
- Режим «лише спостереження» увімкнули «на час тестування» — два роки тому.
- Сповіщення надходять на скриньку, яку ніхто не читає.
Три «так» із п'яти означають: гроші витрачено, ризик лишився.
Сім питань постачальникові
Перед підписанням варто почути відповіді на прості речі:
- Чи можна вивантажити журнали продукту у власне сховище?
- Як він поводиться під час збою — пропускає трафік чи блокує все?
- Скільки годин на місяць потребує супровід у компанії нашого розміру?
- Хто оновлює правила: постачальник, партнер чи ми самі?
- Як швидко виходять оновлення після появи нової загрози?
- Ліцензія рахується за користувачами, пристроями чи обсягом подій — і як зміниться ціна за рік?
- Чи заберемо ми із собою правила, налаштування й історію подій, якщо підемо?
Відповіді «це залежить» на всі сім — сигнал: вартість володіння порахує за вас хтось інший, і зробить це вже після підписання.
Регульована сфера: коли потрібні сертифіковані вироби
Державні органи, володільці державних ресурсів і об'єкти критичної інфраструктури обмежені у виборі: застосовувати можна лише вироби з підтвердженою відповідністю — сертифікатом, позитивним експертним висновком або міжнародним сертифікатом за ISO/IEC 15408. Такі продукти вносять до державного переліку дозволених.
Важливий нюанс: підтверджена відповідність говорить про властивості виробу, а не про якість вашого впровадження. Продукт із бездоганним висновком, налаштований «за замовчуванням» і залишений без нагляду, убезпечує рівно настільки ж, як і несертифікований у тому самому стані. Документ знімає питання допуску, а не питання результату.
Для звичайного бізнесу такої вимоги немає: обирайте за ризиком і за здатністю супроводжувати. Подробиці — у статті Сертифіковані засоби захисту.