Как разработать стратегию информационной безопасности компании
С кибератаками на свои веб-ресурсы в первом полугодии 2023 года столкнулись 71% российских компаний. Информационная безопасность стала острой потребностью для российского бизнеса. Повышать защиту данных необходимо, не теряя связь с целями и приоритетами компании-заказчика, убежден эксперт в области кибербезопасности Сергей Белячков, руководитель отдела Центра кибербезопасности платформы АО Сбербанк-Технологии. Сергей разработал и реализовывал мероприятия по обеспечению информационной безопасности для крупнейших компаний России: “Столото”, Группы Газпром, а также в проекте ГосТех (Цифровая платформа, которая создается для разработки сервисов по оказанию госуслуг в России).
Система защиты серверов
Сергей помог решить проблему обеспечения информационной безопасности инфраструктуры проекта ГосТех. На крупном и статусном проекте федерального уровня ГосТех Сергей руководил подразделением, которое выстраивало информационную безопасность инфраструктуры, обеспечивающей эксплуатацию и работоспособность всех инсталляций платформы ГосТех во всех облачных регионах, представляющих собой географически распределенные дата-центры того или иного облачного провайдера.
В крайне сжатые сроки Сергею удалось спроектировать систему защиты информации для инфраструктуры в несколько тысяч серверов, провести переговоры со всеми потенциальными поставщиками, развернуть необходимые средства защиты информации, протестировать их работоспособность, организовать мониторинг и реагирование на инциденты информационной безопасности. Была проведена большая работа по моделированию угроз, проектированию технических решений.
Благодаря этим мероприятиям Сергею удалось предотвратить негативное воздействие на инфраструктуру при возникновении инцидентов информационной безопасности в смежных облачных регионах провайдера, и не допустить компрометации информационных активов проекта.
Шаг за шагом
В современных реалиях, особенно в ИТ-компаниях, основным активом является ее ИТ-инфраструктура, которая включает в себя вычислительные мощности и классическое системное и прикладное ПО, а также собственные разработки компании. Физическая удаленность компаний друг от друга больше не играет серьезной роли — на первый план выходит необходимость интеграции их ИТ-инфраструктур в единый рабочий механизм независимо от удаленности его частей.
Примером такой, территориально распределенной компании, является лотерейная компания “Столото”, точки продаж билетов которой присутствуют в большинстве регионов страны и для которой Сергей разработал и реализовал мероприятия по обеспечению ИБ при слиянии и поглощении компаний в рамках холдинга. В ходе проекта решались последовательно несколько задач. Так как часть компаний были до этого частями других холдингов и были очень глубоко интегрированы в ИТ-инфраструктуры тех компаний, сначала необходимо было с минимальными потерями вычленить эти компании из других инфраструктур. А потом интегрировать эти ИТ-ресурсы в новую инфраструктуру, перенести в новые ЦОДы либо в новые облачные регионы, а также создать утраченные инфраструктурные сервисы. При этом необходимо было не просто переносить серверы в другие локации, но и решать задачи по разделению данных в одних и тех же базах, переподключать активы к другим системам мониторинга, заменять средства защиты информации и перевести серверы под другие системы управления. В этом проекте Сергей Белячков руководил всеми процессами, связанными с обеспечением информационной безопасности в ходе этих проектов, а также вопросами обеспечения приватности и безопасности персональных данных клиентов компаний в ходе миграции.
“Были разработаны и реализованы многостадийные планы по миграции ИТ-инфраструктур, включающие вопросы обеспечения информационной безопасности всех мигрируемых и имеющихся информационных активов, — рассказывает эксперт.
За время слияния компаний не было допущено ни одного факта компрометации или нарушения иных свойств безопасности активов компаний. Все мероприятия были реализованы в срок. А главное, удалось исключить перерывы в работе компаний, в том числе связанных с возможными инцидентами ИБ. В результате слияние прошло практически бесшовно и не оказало негативного влияния на финансовые показатели.
Целесообразное решение
С ростом информатизации в России начали гораздо больше внимания уделять и вопросам обеспечения приватности и безопасности персональных данных, обрабатываемых различными компаниями. Серьезным шагом в этом направлении стал федеральный закон № 152 “О персональных данных”, принятый в 2006 году. В течение нескольких лет после этого вышли необходимые подзаконные акты и приказы регулирующих органов с разъяснениями и дополнениями норм основного закона. Таким образом законодатели подталкивают предприятия всех форм собственности к осознанному подходу к информационной безопасности и защите данных. Так для ПАО «Газпром» это стало толчком к созданию выделенного подразделения, которое должно было начать заниматься регулированием вопросов обработки и защиты персональных данных в рамках всех компаний группы компаний.
В данном подразделении Сергей отвечал за вопросы защиты персональных данных при их обработке в информационных системах компаний Группы Газпром. Так как тематика эта была новой и в подразделениях на местах не было никакой экспертизы и понимания, как подступиться к соответствующим мероприятия, было принято решение о разработке соответствующей методики приведения систем обеспечения безопасности персональных данных при их обработке в информационных системах компаний Группы Газпром в соответствие требованиям ФЗ-152 и его подзаконных актов.
“Имея больше возможностей для консультаций с регулирующими органами и доступ к самым свежим тенденциям и технологиям в данном вопросе создание такой методики было наиболее целесообразным решением”, — вспоминает Сергей.
Благодаря работе Сергея Белячкова во всех компаниях группы в установленные сроки были реализованы все мероприятия, предусмотренные требованиями законодательства и регулирующих органов. Было обеспечено соответствие всем требованиям законодательства при обработке персональных данных и обеспечена защита персональных данных при их обработке в информационных системах. Высокое качество реализованных Сергеем мероприятий было в дальнейшем подтверждено регулирующими органами при проведении плановых и внеплановых проверок в компаниях Группы Газпром.
Как утверждает эксперт, без организации подобной работы на предприятиях группы, самостоятельное освоение сотрудниками всех тонкостей и проблем могло бы затянуться на годы. Реализованные решения отличались бы друг от друга как в подходах, так и в технологиях. Невозможно было бы оценить качество реализованных самими компаниями решений и значительно возрастали бы риски несоответствия этих решений требованиям законодательства и риски предъявления претензий регулирующими органами и самими субъектами персональных данных, которые могли повлечь в том числе и финансовые риски.
В ногу со временем
Каждому специалисту в области информационной безопасности нужно регулярно актуализировать знания и изучать появляющиеся на рынке технологии. Делать это экспертам в сфере защиты данных помогает в том числе ISACA - Ассоциация аудита и контроля информационных систем. Она является одним из самых известных и престижных в мире сообществ специалистов информационной безопасности. Сергей Белячков является членом этой ассоциации, где принимает участие в активностях по разработке новых версий экзаменов по различным сертификациям в сфере информационной безопасности, по улучшению работы самой ассоциации и по созданию учебных материалов для студентов.
С бизнесом на одном языке
Как не ошибиться в этом сложном вопросе? Что делать и с чего начать будущим специалистам по информационной безопасности? Из общения с Сергеем стало понятно, что для начала будущим специалистам необходимо самим осознать, для чего они разрабатывают стратегию ИБ в своей компании. Если они это будут делать просто потому, что так написано в каких-либо стандартах, ГОСТах, или иных документах, то этот путь не приведет их к успеху.
“Вы потеряете кучу времени на разработку макулатуры, которую никто никогда читать и использовать не будет”, — объясняет Сергей. — Стратегия должна быть фундаментом, на котором будет строиться вся ваша работа в области системы менеджмента информационной безопасности в компании и она должна выступать связующим звеном между основной стратегией вашей компании и деятельностью в области информационной безопасности”.
Сергей отличается тем, что он понимает важность согласования стратегии информационной безопасности с общей стратегией компании. Он умеет находить точки соприкосновения между безопасностью и бизнесом, чтобы оба направления работали на достижение общих целей. Сергей не только разрабатывает эффективные меры безопасности, но и предлагает варианты, как они могут положительно влиять на бизнес-процессы. Его коммуникативные навыки и умение находить общий язык с бизнес-подразделениями компании помогают ему успешно внедрять и поддерживать ИБ в организации.
Опубликовано 24.11.2023