Почему соответствие стандартам не гарантирует защиту от киберугроз

© SergeyNivens / Фотобанк Фотодженика

Компании всё чаще оказываются под ударом, даже имея сертифицированные средства безопасности и формально выполняя все требования регуляторов. Парадокс, но дело не в слабости конкретных мер, а в том, что в них слишком поверили. Пока компании отчитываются о выполнении формальных требований, реальные атаки становятся всё изощрённее. Зачастую меры безопасности не проверяются в условиях, приближенных к боевым, — и неизвестно наверняка, сработает ли защита, когда на неё ляжет реальная нагрузка.

Ежегодный рост количества кибератак в России составляет 20-30%[1], а доля атак на объекты критической информационной инфраструктуры (КИИ) превышает 60%[2]. Меняется характер угроз. На смену чисто финансовой мотивации пришли идеологически окрашенные атаки и хактивизм. Поэтому и целями всё чаще становятся объекты КИИ. Злоумышленники учатся действовать системно: долго готовятся, закрепляются внутри инфраструктуры, изучают защитные механизмы и наносят максимальный урон. Ответ на это не может быть точечным — нужна симметричная эшелонированная стратегия.

В кибербезопасности существует риск оказаться в ловушке ложного чувства защищённости. И вот главные тому причины: 

• Отсутствие проверки эффективности. Меры внедрены, но никто не тестировал их в условиях, приближенных к реальной атаке.
• Ошибочная культура «тишины». Если инцидентов нет, считается, что всё хорошо. Хотя сегодня чаще всего это значит, что их просто не заметили.
• Формальное соответствие стандартам. По документам требования выполнены, но реальные настройки систем никто не проверяет. Безопасность остаётся отчётностью.

Именно для преодоления этих проблем мы создали подход, в который включены семь последовательных шагов — от инвентаризации до непрерывной проверки в реальных условиях.

1. Инвентаризация и приоритизация активов.
Защита без точного знания того, что именно вы защищаете — работа вслепую. Первый шаг — не просто составить список, а определить приоритеты: какие активы критичны для бизнеса, какие содержат чувствительные данные, где простой или утечка нанесут максимальный урон.

2. Соответствие требованиям с реальной проверкой настроек.
Когда активы учтены и приоритизированы, следующий шаг — проверка, насколько их защита соответствует требованиям. Нормативные документы — это лишь базовый минимум требований. На практике мало подготовить политики и получить формальный аудит. Нужно регулярно оценивать реальную конфигурацию систем и выявлять расхождения между тем, что записано в документах, и тем, что настроено на серверах.

3. Управление уязвимостями.
После оценки соответствия переходим к поиску уязвимостей — но не всех подряд, а только тех, которые действительно актуальны. Системное выявление, оценка и устранение уязвимостей — до того, как их найдут атакующие. Ключевой момент — приоритизация с учётом специфики вашей инфраструктуры: важно не закрывать все дыры без разбора, а понимать, какие из них действительно опасны именно для вашей среды и бизнес-процессов.

4. Минимизация поверхности атаки.
Когда уязвимости выявлены и расставлены по приоритетам, наступает этап сокращения поверхности атаки. Здесь работают: отключение ненужных сервисов, жёсткая настройка параметров безопасности и принцип «нулевого доверия» (Zero Trust) — «не доверяй никому, проверяй каждого». Ключевые инструменты на этом этапе — оценка безопасности конфигураций (Security Configuration Assessment, SCA) и патчинг. Если организация заявляет о соответствии стандартам, но не проверяет реальные настройки систем и не устраняет уязвимости, то безопасность остаётся декларацией. На этом этапе выстраивается мост между формальными требованиями и реальной защищённостью.

5. Комплексный мониторинг.
Даже при корректной конфигурации систем нельзя исключать риск прорыва защиты. Именно поэтому следующим шагом является комплексный мониторинг. Современная система — это не один инструмент, а комплекс: сбор и корреляция событий безопасности (SIEM), анализ сетевого трафика (NTA/NDR), обнаружение и реагирование на конечных точках (EDR), аналитика поведения пользователей (UEBA), оркестрация и автоматизация (SOAR) и, конечно, активная охота за угрозами (Threat Hunting). 

6. Реагирование на инциденты.
Мониторинг бесполезен без правильной реакции на инциденты. Реагирование должно управляться оценкой бизнес-рисков, а не количеством срабатываний. Важна вовлечённость в расследование, а не механическая передача инцидента «по инструкции». Процесс реагирования должен постоянно развиваться с учётом новых тактик и техник атак.

7. Проверка защиты в действии.
Завершающий шаг цикла — проверка защиты в действии. Если меры ни разу не проверены в условиях, приближенных к боевым, считать их надёжными нельзя. Без этого невозможно получить уверенность, что защита выстоит в реальной схватке. Регулярные проверки позволяют выявить слепые зоны и своевременно скорректировать стратегию.

Николай Нашивочников

Экспертиза является ключевым связующим элементом всех перечисленных шагов. Именно она превращает инструменты каждого шага в прикладные решения, способные закрывать реальные задачи заказчиков. Для этого необходимо системно разрабатывать несколько видов контента:

• контент инвентаризации и классификации активов, чтобы заказчик понимал, что именно он защищает и какие активы критичны;
• контент по уязвимостям и проверкам для, чтобы выявлять слабые места и приоритизировать их устранение;
• hardening- и compliance-контент, чтобы помогать заказчику приводить инфраструктуру к требованиям регуляторов и лучшим практикам безопасной конфигурации;
• контент обнаружения для SIEM, чтобы SOC мог своевременно выявлять атаки;
• контент обнаружения и реагирования для EDR, чтобы фиксировать действия злоумышленника на конечных узлах и быстро останавливать развитие инцидента;
• контент сетевого обнаружения, чтобы видеть горизонтальное перемещение, сетевые аномалии и атаки, которые не видны на уровне хостов;
• сценарии симуляции атак и валидации, чтобы проверять, действительно ли средства защиты и правила обнаружения работают против актуальных техник атак.

Такая экспертиза обеспечивает заказчику не просто внедрение отдельных средств защиты, а понятный и непрерывный цикл повышения зрелости ИБ.

Описанный семиступенчатый цикл лег в основу развития продуктового портфеля и услуг компании «Газинформсервис». Каждый шаг закрывается отдельным модулем программного обеспечения или услугой, что позволяет заказчику не просто следовать рекомендациям, а получать измеримый результат: снижение киберрисков, прозрачность для аудита и оптимизацию затрат на безопасность.

Практическая реализация этого подхода в компании «Газинформсервис» сейчас строится вокруг набора продуктов и услуг, которые закрывают ключевые этапы цикла. В качестве основы используется новый продукт класса Asset Management с модулями compliance и VM: он позволяет сформировать актуальный реестр активов, проверить ИТ-инфраструктуру на соответствие требованиям по различным профилям безопасности, выявить уязвимости и приоритизировать их устранение с учётом критичности инфраструктуры. Для проверки защиты в действии применяется BAS SimuStrike — инструмент симуляции атак, который помогает оценить, насколько существующие средства защиты и процессы реагирования готовы к актуальным сценариям угроз. Услуга IT Boosting позволяет перейти от результатов проверок к практическим изменениям: донастроить средства защиты, устранить выявленные недостатки, улучшить мониторинг и повысить общую зрелость ИБ.

Семь шагов — это не чек-лист для однократного выполнения. Это непрерывный цикл: инвентаризация, оценка соответствия, управление уязвимостями, минимизация поверхности, мониторинг, реагирование, проверка защиты и снова инвентаризация. Появляются новые активы, меняется ландшафт угроз — этот цикл должен работать постоянно. Без этого устойчивость остаётся иллюзией. Для бизнеса такой подход означает обоснованные инвестиции: точное знание, какие меры работают, а какие нет, и возможность своевременно корректировать стратегию защиты. Время реакции на инциденты сокращается, поскольку команда уже отработала ключевые сценарии на симуляциях и боевых проверках. Каждый новый цикл делает защиту на шаг надёжнее. Как результат — устойчивость к реальным атакам.

«Без проверки нет защиты, без цикла нет устойчивости, а без зрелого подхода нет будущего», — так формулирует актуальные принципы кибербезопасности Николай Нашивочников.