Минимальный ИБ-контур для среднего бизнеса без штатной команды: с чего начать и что дает результат

У среднего бизнеса почти всегда одна и та же проблема. Почта работает, файловое хранилище есть, удаленный доступ настроен. Снаружи все выглядит нормально. Но как только задаешь базовые вопросы — что для нас критично? кто отвечает за защиту? что мы будем делать, если завтра кто-то скомпрометирует учетную запись? — ясности нет.

Именно здесь компании совершают типичную ошибку: начинают не с выстраивания процессов и понимания реальной картины, а сразу с закупки средств защиты. Логика понятна, но опасна. Ни одно средство защиты не компенсирует отсутствие ответственности, инвентаризации и базовой дисциплины.

SIEM без настроенного логирования — это агрегатор пустоты. DLP без понимания, какие данные критичны и по каким каналам они передаются, — контроль ради контроля. Из опыта работы часто слышим отказ от аудита: «У нас установлен Касперский, у нас всё хорошо». Увы, после читаем новости, что такой подход эту компанию на спас от утечки или уничтожения инфраструктуры.

Если у вас не назначен ответственный, не определены критичные системы, не проверены права доступа и не подтверждено, что резервное копирование работает, — у вас нет ИБ-контура. У вас есть набор сервисов, которые еще не столкнулись с серьезным инцидентом.

Чтобы быстро навести базовый порядок, в первый день достаточно выполнить шесть конкретных действий, ьбез закупок, тендеров и долгих согласований:

Шаг первый — назначить одного ответственного за ИБ. Не обязательно искать отдельного специалиста: на старте эту роль может взять ИТ-руководитель или другой сотрудник, понимающий инфраструктуру. Важно не название должности, а наличие конкретного человека, с которого начинается управление и к которому обращаются при инциденте.

Шаг второй — определить критичные системы. Корпоративная почта, файловое хранилище, учетные системы, CRM, бухгалтерия, ключевые облачные сервисы. Задача не в создании идеального реестра за один день, а в понимании, что для бизнеса критично и что нельзя терять.

Шаг третий — проверить права доступа. У кого есть административные права? Какие учетные записи не использовались последние три месяца? Остались ли доступы у уволенных сотрудников или подрядчиков, с которыми прекратили сотрудничество? Несколько часов проверки нередко дают больше пользы, чем очередная закупка СЗИ.

Шаг четвертый — включить многофакторную аутентификацию. На корпоративной почте, КЭДО и в сервисах. Это встроенная функция большинства современных систем, не требующая дополнительного бюджета. Если пароль утечет — одного его будет недостаточно для входа.

Шаг пятый — убедиться, что резервное копирование работает. Попробуйте восстановить конкретный файл или тестовую копию из резервного хранилища. Статус «резервное копирование успешно завершено» еще не означает возможности восстановления при инциденте.

Шаг шестой — зафиксировать порядок действий при инциденте. Кто принимает решения? Кто проверяет инфраструктуру? Кто ограничивает доступ? Кто подключается со стороны бизнеса и юристов? Кто при необходимости подает уведомления в Роскомнадзор? Когда инцидент уже произошел, времени на организационные споры нет.

Для компании, обрабатывающей персональные данные, базовые организационные меры включают несколько обязательных элементов, установленных Федеральным законом № 152-ФЗ:

• Уведомление Роскомнадзора. Оператор персональных данных обязан направить уведомление в РКН до начала обработки (статья 22 Закона). Отсутствие уведомления — самостоятельное нарушение.
• Локальные нормативные акты. Политика обработки персональных данных, политика обеспечения информационной безопасности, инструкция для сотрудников — минимальный пакет документов. Сотрудники должны быть с ним ознакомлены. Локальные акты по ИБ — это документированное обоснование того, что все требования выполняются.
• Ответственный за организацию обработки персональных данных. Статья 22.1 Закона № 152-ФЗ требует назначения такого лица. В малом и среднем бизнесе эта роль, как правило, совмещается с другими обязанностями.
• Инструктаж по ИБ для сотрудников. Сотрудники, работающие с персональными данными, должны знать базовые правила: как распознать фишинговое письмо, что нельзя передавать через внешние сервисы, куда обращаться при подозрительной активности.

Внешняя команда или аутсорсинговый провайдер могут взять на себя значительную часть работы: проведение аудита, разработку документации, внедрение средств защиты, обучение сотрудников. Это позволяет малому и среднему бизнесу без собственной ИБ-команды выстроить систему защиты и получить официальный документ — акт оценки уровня защищенности.

Однако внешняя команда не равно выполнение абсолютно всех требований по ИБ в долгосрочной перспективе. В штате нужен хотя бы один специалист по ИБ или ответственный сотрудник, который будет поддерживать штатную работу системы защиты, организовывать ее модернизацию при необходимости и быть точкой контакта при инцидентах.

1) С чего начать выстраивать ИБ-контур без штатной команды?

С назначения ответственного, инвентаризации критичных систем и проверки прав доступа. Это занимает один день и не требует бюджета.

2) Обязательно ли покупать DLP, SIEM и другие специализированные средства?

Нет, особенно на начальном этапе. Средства защиты эффективны только там, где выстроен базовый операционный порядок. Без инвентаризации, ответственности и работающих резервных копий специализированные инструменты дают минимальный эффект.

3) Обязана ли компания назначить ответственного за ИБ?

Для операторов персональных данных — да. Статья 22.1 Федерального закона № 152-ФЗ требует назначения ответственного за организацию обработки персональных данных.

4) Можно ли полностью передать ИБ на аутсорсинг?

Аутсорсинг закрывает значительную часть задач, но не все. В штате нужен хотя бы один сотрудник, способный поддерживать систему защиты и быть точкой контакта при работе аутсорсинга и сотрудников компании.

5) Что дает наибольший эффект на начальном этапе?

Многофакторная аутентификация и проверка прав доступа — самые эффективные меры в пересчете на затраченные усилия. MFA снижает риск компрометации учетных записей даже при утечке паролей.