ИБ-аудит. Проверка безопасности или иллюзия контроля?

Логотип компании
ИБ-аудит. Проверка безопасности или иллюзия контроля?
изображение создано нейросетью
Компания проводит аудит информационной безопасности, исправно заполняет чек-листы, получает сертификаты, а потом… становится героем громкой утечки. Значит ли это, что аудит – формальность? И если это так, то как он спасает от атак и помогает защитить бизнес?

В этой статье разберем, как оценка безопасности работает на практике, какие ошибки сводят ее к нулю и как провести действительно эффективный аудит.

Да, аудит информационной безопасности (ИБ) – формальная процедура, но она помогает защитить бизнес, и об этом говорит весь мой более чем 20-летний опыт в области защиты информации. Руководству могут говорить: мы привели ИТ/ИБ-инфраструктуру в соответствие требованиям регуляторов по защите информации ограниченного доступа (ЦБ РФ, ФСТЭК России, ФСБ России, Роскомнадзора). Но только внешний независимый аудит покажет реальную картину того, что сделано. Он позволит понять истинное положение дел с ИБ, определить основные области риска и своевременно защитить компанию от угроз.

Вот лишь несколько примеров из практики. В компанию закупили средство защиты, имеющее сертификат ФСТЭК России, к примеру, антивирус Касперского, а потом аудиторская проверка показывает, что на рабочих местах антивирус… даже не установлен. В процессе аудита может быть выявлено, что неправильно настроены те или иные средства защиты информации. Кроме того, сотрудники, ответственные за учет и обработку информации ограниченного доступа, не всегда могут определить все информационные системы с такими данными или недостаточно хорошо разбираться в вопросах приведения процессов обработки и защиты информации в соответствие требованиям. Наконец, от руководства могут скрывать проблемы, а когда станет известно о приближающейся проверке, такой «ответственный» сотрудник предпочтет покинуть компанию.

Здесь стоит заметить: те, кто прежде аудиты не проводил в ожидании окончания моратория на проверки Роскомнадзора (а их пока большинство), начали понимать, что, например, от штрафа в 30 тысяч рублей за нарушение законодательства в области защиты персональных данных в мае 2025 года мы переходим к штрафам в размере нескольких миллионов рублей. Полагаю, что мало кто из сотрудников согласится взять на себя такую административную ответственность. А потому спрос на аудиты ИБ и пентесты растет.

ИБ-аудит. Проверка безопасности или иллюзия контроля?. Рис. 1
Таблица. Как часто необходимо проводить аудит

Внешний аудит позволит компании вовремя выявить и исправить недоработки в информационной безопасности. Тем самым минимизировать риски финансовых и репутационных потерь, выявить узкие места в системе защиты и вовремя их устранить, а также получить рекомендации по совершенствованию системы защиты информации. И, реализовав их, пройти проверки регуляторов.

Если говорить о том, с чем в основном обращаются к нам заказчики, то им, как правило, необходим комплексный аудит: начиная от обследования инфраструктуры и заканчивая техпроектом на систему защиты информации. С последующим ее внедрением.

Крупные организации, которые только сейчас решили привести свои системы в соответствие требованиям регулятора, начинают с экспресс-аудита. Они хотят знать, относится ли организация к субъектам КИИ, сколько у них информационных систем персональных данных, в каком контуре обрабатывается информация ограниченного доступа и так далее.

По результатам экспресс-аудита организация понимает, что на нее, например, распространяется действие 187-ФЗ, 152-ФЗ, у нее пять объектов КИИ и 15 информационных систем персональных данных. После этого она заказывает полноценный аудит, который займет три-четыре месяца. Состоять он будет из трех основных этапов.

Первый – это обследование инфраструктуры, определение контуров обработки информации ограниченного доступа, критических процессов для организации.

На втором этапе разрабатываются рекомендации по защите информации, готовится полный комплект внутренних организационно-распределительных документов (ОРД), предписанных регуляторами, формируются модели угроз для каждой из защищаемых информационных систем, а также рекомендации по защите, процессам обработки информации.

Вышло глобальное обновление системы централизованного управления РЕД АДМ Промышленная редакция 2.0
Цифровые двойники в строительстве. Эффективность, проблемы и перспективы
Модульные ЦОДы. Как быстро масштабировать вычисления?

На третьем – разрабатываются ТЗ, технический проект на систему защиты информации, идет поставка и внедрение средств защиты информации.

Насколько актуальны российские ИБ-методики

Не исключаю, что скептик спросит: разве соответствие стандартам не равно защите? Де-юре в нашей системе так и есть – соблюдение требований нормативных методических документов приравнивается к обеспечению безопасности.

Первые российские руководящие документы по защите информации (не относящиеся к гостайне) опирались на международные подходы к информационной безопасности автоматизированных систем. И далее они совершенствовались с учетом цифровизации общества и лучших мировых практик в области защиты данных.

Регуляторы, понимая, что применительно к каким-то нюансам стандарты могут быть несовершенны, используют такую терминологию, как лучшие практики. Это в полной мере относится к ГОСТам серии 27001, которые содержат требования к системе менеджмента информационной безопасности. Те организации, которые заинтересованы в практической защите информации, заказывают такую оценку соответствия. Внедрение системы менеджмента ИБ – стратегическое решение для компании. Кроме того, если организация планирует работать с иностранными компаниями, то соответствие этому ГОСТу становится для нее уже обязательным.

Как провести качественный аудит

Если вы спросите меня, как понять, что у тебя аудит будет проведен эффективно? Отвечу: смотрите на опыт команды, квалификацию аудиторов, рекомендации и отзывы. Молодой специалист с базовым техническим образованием только после вуза и курсов по подготовке аудиторов без опыта вряд ли самостоятельно проведет действительно качественный аудит.

Читайте также
Олег Кравчук: "В экспорте, как в театре, все роли расписаны"
Российскому ИБ-бизнесу становится тесно на отечественном рынке. Хотя он достаточно велик, но международные просторы имеют несравнимо большую инсталляционную базу. Насколько сложно вендорам развивать экспорт, какие препятствия встают на пути производителей и в чем преимущество отечественных ИБ-продуктов, рассказал IT-World Олег Кравчук, директор по работе с зарубежными и стратегическими проектами «Кода Безопасности».

Здесь хочу предостеречь от заблуждения относительно того, какое число выполненных проектов по аудиту на соответствие тому или иному ФЗ, ГОСТу считать достаточным для того, чтобы рассматривать ту или иную команду в числе претендентов на выполнение проекта. Допустим, требование, что за последние три года компания должна была выполнить 10 проектов, к примеру, по аудиту на соответствие банковскому ГОСТу 57580.1, зачастую предоставит абстрактную информацию о квалификации специалистов. А если у организации было пять аудитов по ГОСТу, но при этом 70 по двум другим обязательным направлениям защиты информации:152-ФЗ и 187-ФЗ? Все направления похожи, меры во многом перекликаются, поэтому при выборе строго ограничивать, по какому из направлений должна быть определенная практика наработана, на мой взгляд, все-таки не стоит.

Фатальные ошибки

1.     Проводить аудит от случая к случаю и пребывать в ложной уверенности своей защищенности

Аудит – процедура, которую необходимо выполнять с определенной периодичностью, в том числе в соответствии с требованиями регуляторов: пентесты – минимум раз в год (требования Банка России), оценка на соответствие требования 152-ФЗ – раз в три года (152-ФЗ) и т.д. (см. таблицу), но точно не раз в 10 лет.

В своей практике мне приходилось сталкиваться с заблуждением компаний относительно актуальности давно проведенных аудитов. Они почему-то не задумываются, что ИТ-инфраструктура за это время изменилась и ссылаются на то, что «мы много лет назад развернули систему защиты, за это время к угрозам в Банке данных угроз ФСТЭК России прибавилось только две угрозы, это все незначительно, наша система защиты по-прежнему актуальна, аттестаты соответствия это подтверждают».

К слову, самое слабое звено в любой системе защиты – это человек. Тот же фишинг довольно успешен, неслучайно с него начинается большинство кибератак: по разным оценкам от 60% до 80%. Поэтому повышение грамотности сотрудников в области защиты информации должно быть одной из первоочередных задач.

2.     Выбирать услуги по минимальной стоимости

Да, можно заказать аудит у организации, которая предложит за него самую низкую цену, но тогда надо принимать и возможные риски. Вполне возможна ситуация, когда аудитор не будет спешить с завершением аудита, а на ваш уточняющий вопрос: «Какую информацию в качестве доказательства выполнения той или иной меры необходимо предоставить?», – ответит: «Я сейчас посмотрю в интернете и вам перезвоню».

3.     Забывать, что компания объявила себя субъектом КИИ

До сентября 2024 года на категорирование объектов КИИ субъекту КИИ давался один год, и многие организации вспоминали о необходимости предоставления во ФСТЭК России результатов категорирования за две недели до истечения этого срока.

4.     Не выполнять рекомендаций аудиторов

Аудит покажет текущее состояние дел по защите информации, выявит проблемы, которые еще надо будет исправить, и в помощь вам будут разработаны рекомендации по совершенствованию системы защиты.

Аудит предскажет, когда и где случится взлом?

Отвечу: когда – нет, а где – покажет пентест, он поможет выявить уязвимые места в защите.

Тестирование на проникновение стоит проводить не только в тех случаях, когда вам надо подтвердить соответствие нормативным требованиям. Но и тогда, когда столкнулись с инцидентом, внедряете новые сервисы, вам предстоит развернуть новую инфраструктуру, у вас ожидается максимальная загруженность системы.

Итак, аудит ИБ позволит вам усилить защиту, снизить риски утечек, штрафов, подготовиться к проверкам. Главное — выбрать грамотных исполнителей и следовать их рекомендациям. Если результаты аудита воспринимаются как руководство к действию, если бюджетирование предусматривает проведение необходимых изменений в системе защиты и все это выполняется, тогда шанс стать «героем» новостей из-за утечки будет стремиться к нулю.

Опубликовано 01.04.2025

Об авторах
Олег Нестеровский
Олег Нестеровский
заместитель директора департамента по консалтингу и аудиту ARinteg
Информационная безопасность
Похожие статьи
Как ИТ-компании выживают в эпоху ужесточения штрафов за персональные данные
Как ИТ-компании выживают в эпоху ужесточения штрафов за персональные данные
Новые штрафы до 300 тыс. рублей за неуведомление о статусе оператора персональных данных всколыхнули рынок. По данным участников мероприятия  две трети компаний до сих пор «ходят под статьёй», не вполне осознавая рисков. На фоне ужесточения регуляторики обсуждение превратилось в разговор о границах закона и практических ловушках. За ходом круглого стола внимательно следил IT-World.
08.04.25
Олег Кравчук: "В экспорте, как в театре, все роли расписаны"
Олег Кравчук: "В экспорте, как в театре, все роли расписаны"
Российскому ИБ-бизнесу становится тесно на отечественном рынке. Хотя он достаточно велик, но международные просторы имеют несравнимо большую инсталляционную базу. Насколько сложно вендорам развивать экспорт, какие препятствия встают на пути производителей и в чем преимущество отечественных ИБ-продуктов, рассказал IT-World Олег Кравчук, директор по работе с зарубежными и стратегическими проектами «Кода Безопасности».
Марк Мишин07.04.25
DDoS-атаки бьют рекорды – бизнес продолжает рисковать
DDoS-атаки бьют рекорды – бизнес продолжает рисковать
Почти половина российских компаний игнорируют базовые меры кибербезопасности, а количество DDoS-атак за год выросло на 53%. Эксперты предупреждают: бизнесу срочно нужны многоуровневые системы защиты, чтобы избежать миллионных убытков.
07.04.25
ВПК России работает на Windows и другие открытия
ВПК России работает на Windows и другие открытия
Оказывается, что существуют вирусы для Astra Linux и РЕД ОС, но толку от них никакого, так как даже ВПК использует Microsoft Windows. Об этом и многом другом мне довелось узнать на прошедшей Dr.Web VirLabConf 2.0.
Андрей ВиноградовДоктор Веб04.04.25
Загрузить ещё1 2 3 4 5 »» Следующая →