Продукты
Продукты
Menu
02
База знаний
05
Услуги
01
О нас
04
2025
Контакты
phone
e-mail:
Обучение
03
Аудит ИБ для регионального СМИ: от диагностики к плану укрепления защиты
13.01.2023
ООО «Буферная бухта» — компания из отрасли СМИ, г. Ульяновск. Для медиабизнеса информационная безопасность влияет не только на ИТ‑контур, но и на стабильность выпуска контента и доверие аудитории.
В медиакомпаниях персональные данные и критичные сервисы обычно распределены по нескольким контурам: кадровые процессы, взаимодействие с партнерами и подрядчиками, коммуникации с аудиторией и внутренние сервисы. Поэтому аудит ИБ здесь нужен не ради формального отчета, а чтобы зафиксировать текущее состояние защиты и получить понятные приоритеты укрепления.
26/06/25
Б-152
С чего начался проект
Клиент обратился с задачей провести аудит информационной безопасности.
Цель была сформулирована практично: получить картину текущего состояния и рекомендации, которые можно положить в план работ. Критических сроков и специальных условий не было — это позволило провести обследование спокойно и глубоко, без упрощений и «пробежки по верхам».
Цель была сформулирована практично: получить картину текущего состояния и рекомендации, которые можно положить в план работ. Критических сроков и специальных условий не было — это позволило провести обследование спокойно и глубоко, без упрощений и «пробежки по верхам».
Что требовало внимания
Проект не содержал нестандартных обстоятельств или специальных внешних требований. В этом смысле он был методологически «стандартным», но именно такие проекты часто дают наибольшую пользу: они позволяют увидеть реальные угрозы и риски, а затем разложить их по приоритетам.
По итогам обследования были выявлены проблемы и угрозы в системе защиты. Команда зафиксировала их так, чтобы результат был применим в управлении: с привязкой к последствиям для бизнеса и к ожиданиям по защите персональных данных (152‑ФЗ: ст. 18.1 и ст. 19).
Важной частью результата стало не перечисление выявленных проблем, а структурирование: что относится к срочным рискам, что — к среднесрочным улучшениям, а что можно закрывать по мере роста зрелости.
По итогам обследования были выявлены проблемы и угрозы в системе защиты. Команда зафиксировала их так, чтобы результат был применим в управлении: с привязкой к последствиям для бизнеса и к ожиданиям по защите персональных данных (152‑ФЗ: ст. 18.1 и ст. 19).
Важной частью результата стало не перечисление выявленных проблем, а структурирование: что относится к срочным рискам, что — к среднесрочным улучшениям, а что можно закрывать по мере роста зрелости.
Как строили работу
Команда работала стандартными методами для аудита: анкеты и интервью, затем — анализ текущего состояния.
Интервью и сбор фактуры
Через интервью зафиксировали, как устроены процессы и кто в них участвует: какие системы используются, где хранятся данные, какие каналы коммуникации критичны, как выдаются доступы и как происходят типовые операции (обмен документами, выгрузки, доступы подрядчиков).
Аудит ИБ
На основе собранной информации выполнили аудит: сопоставили фактическую практику и уровень защиты с применимыми требованиями и ожиданиями к базовой зрелости. Цель — не «поймать ошибки», а выделить зоны, которые создают наибольшие риски для бизнеса, и сформировать понятный план укрепления защиты.
Фиксация результатов и приоритизация
Результаты аудита оформили в логике приоритетов: что важно закрыть в первую очередь, что можно планировать во вторую очередь, а какие задачи имеет смысл включать в дорожную карту по мере развития процессов.
Что было сделано
Чтобы зафиксировать фактическую картину и перевести ее в управляемый план действий, команда выполнила следующие работы:
— Проведены анкеты и интервью с представителями клиента.
— Выполнен аудит информационной безопасности по итогам обследования.
— Зафиксированы выявленные проблемы и рекомендации по улучшению системы защиты.
— Отдельно рассмотрены применимые требования к защите персональных данных и их отражение в организационных процедурах и текущей практике.
— Проведены анкеты и интервью с представителями клиента.
— Выполнен аудит информационной безопасности по итогам обследования.
— Зафиксированы выявленные проблемы и рекомендации по улучшению системы защиты.
— Отдельно рассмотрены применимые требования к защите персональных данных и их отражение в организационных процедурах и текущей практике.
Результат для клиента
Клиент получил структурированное описание текущего состояния ИБ и набор рекомендаций, которые можно применять в планировании.
Во‑первых, появилась понятная картина по зонам внимания и логике их приоритизации — это снижает риск ситуаций, когда усилия расходуются на второстепенные задачи.
Во‑вторых, сформировалась основа для постановки задач ИТ/ИБ: аудит дал материал, на который можно опираться при внутреннем планировании, согласовании работ и определении последовательности улучшений.
Во‑первых, появилась понятная картина по зонам внимания и логике их приоритизации — это снижает риск ситуаций, когда усилия расходуются на второстепенные задачи.
Во‑вторых, сформировалась основа для постановки задач ИТ/ИБ: аудит дал материал, на который можно опираться при внутреннем планировании, согласовании работ и определении последовательности улучшений.
Вывод для рынка
Кейс актуален для региональных медиакомпаний и в целом для организаций, которые развивали ИТ «по мере необходимости» и давно не проводили независимую оценку зрелости.
Как эксперты, мы рекомендуем:
Рабочий вывод: регулярные аудиты независимой командой дают бизнесу непредвзятую картину и понятные приоритеты. Это помогает удерживать риски под контролем и выстраивать защиту системно, без хаотичных действий.
Как эксперты, мы рекомендуем:
- Не опираться на ощущение, что «в целом все нормально», если инцидентов не было или они не выглядели серьезно. В ИБ это опасная иллюзия: большинство проблем копится незаметно и проявляется в момент атаки или проверки.
- Не ждать «повода» — проверки, требования партнера или инцидента. Практика показывает, что периодический независимый аудит помогает выявлять риски заранее и избегать сценариев, где исправления становятся срочными и дорогими.
Рабочий вывод: регулярные аудиты независимой командой дают бизнесу непредвзятую картину и понятные приоритеты. Это помогает удерживать риски под контролем и выстраивать защиту системно, без хаотичных действий.
«Информационная безопасность и соблюдение законодательства — это вещи, которые мы, как медиа, не можем упускать из внимания, поэтому обратились за внешним аудитом. Коллеги из Б-152 погрузились в работу нашей компании с разных сторон и подробно описали ее состояние с точки зрения ИБ.
В результате мы получили понятные выводы с указанием рисков, конкретных шагов для их устранения и приоритетов. Двигаться по этому плану было гораздо удобнее, чем решать проблемы точечно, тем более что Б-152 нам в этом помогла и подготовила часть недостающей документации. Теперь у нас есть понимание, как все должно быть организовано, и мы чувствуем себя более уверенно.»
Оксана Запевалова, главный редактор в ООО «Буферная бухта»
Ввод оборотных штрафов за утечки откладывается минимум до 1 июля 2023 года
Материалы по теме