Слова «кібербезпека» та «кіберзахист» вживають як синоніми, хоча означають вони різне — приблизно як «здоров'я» і «лікування». Розберемо різницю, з чого складається діяльність, чим корисна розвідка загроз та чому кризою керує аж ніяк не ІТ-відділ.
Кібербезпека і кіберзахист: у чому різниця
Кібербезпека — стан захищеності в кіберпросторі. Мета, результат, точка, у якій хочеться опинитися (див. кібербезпека як система).
Кіберзахист — це сукупність заходів: організаційних, правових, інженерно-технічних, спрямованих на запобігання кіберінцидентам, виявлення кібератак і захист від них, а також на ліквідацію наслідків і відновлення роботи систем. Тобто діяльність, якою досягають бажаного стану.
Аналогія проста: перше — «бути в безпеці», друге — «захищатися». Та сама логіка діє поверхом вище: інформаційна безпека — стан, а захист інформації — робота.
Чому різниця важить на практиці? Бо стан купити неможливо, а діяльність — цілком можна доручити. У бюджеті з'являється рядок «кіберзахист», у наказі — прізвище, у календарі — регулярні завдання. Стан з'явиться сам, як наслідок.
Чотири функції: з чого складається робота
Кіберзахист — не «поставити фаєрвол». Він охоплює повний цикл, і кожна функція має власні інструменти.
1. Запобігання. Усе, що робиться до атаки:
- міжмережеві екрани, WAF, протидія DDoS;
- багатофакторна автентифікація та мінімальні права;
- оновлення та керування вразливостями;
- шифрування;
- навчання персоналу.
2. Виявлення. Помітити те, що прорвалося: моніторинг та SIEM, системи виявлення вторгнень, SOC, який дивиться на сигнали цілодобово.
3. Реагування. Дії під час інциденту: локалізувати, зупинити, зберегти докази (див. CSIRT і план дій).
4. Відновлення. Повернути роботу: перевірені резервні копії, порядок відновлення, безперервність бізнесу.
Типова прогалина. Більшість компаній непогано закривають першу функцію й майже не мають другої та третьої. Тому атаку помічають тоді, коли все вже зупинилося, — а помічає її зазвичай не система моніторингу, а розлючений клієнт.
Перевірити себе легко: запитайте, скільки годин минуло б між початком події та моментом, коли ви про неї дізналися. Якщо відповідь «не знаю» — функції виявлення у вас немає.
Як переконатися, що функція справді є. Кожна з чотирьох має власний доказ — не слова, а артефакт:
| Функція | Питання | Доказ |
|---|---|---|
| Запобігання | Що ми закрили? | Перелік оновлених систем, увімкнений другий фактор |
| Виявлення | Хто дивиться? | Журнали, налаштовані сповіщення, прізвище чергового |
| Реагування | Що робимо о другій ночі? | Написаний порядок дій і номер телефону |
| Відновлення | Скільки триватиме простій? | Дата останньої вдалої перевірки копії |
Порожня клітинка в третьому стовпчику означає, що функції немає — хоч би скільки грошей витрачено на другий.
Кіберзахист без SOC: мінімальний цикл у малій компанії
Повний цикл посильний і без цілодобової зміни аналітиків. Мінімальна версія:
- запобігання — оновлення ввімкнено автоматично, другий фактор скрізь, права переглядають раз на квартал;
- виявлення — сповіщення про вхід із нового пристрою, щотижневий погляд на журнал пошти, перевірка правил пересилання;
- реагування — одна сторінка: кого відключити, кому подзвонити, що не чіпати;
- відновлення — копія поза мережею, яку розгортали хоча б раз.
Разом — кілька годин на місяць. Різниця між цим мінімумом і повною відсутністю циклу більша, ніж між цим мінімумом і дорогим центром моніторингу.
Захист від кібератак і захист від кіберзагроз: не одне й те саме
Різниця тонка, проте важлива.
Захист від кібератак — реакція на конкретні дії: хтось стукає у двері, ви їх тримаєте. Інструменти — фільтри, правила, блокування.
Захист від кіберзагроз — робота з потенційними сценаріями, які ще не сталися: вразливість, про яку вже пишуть дослідники; підрядник із широкими правами; звільнений адміністратор. Тут інструмент інший — оцінка ризиків та усунення слабких місць до того, як ними скористаються.
Компанія, яка вміє лише перше, приречена реагувати вічно. Компанія, яка вміє друге, скорочує кількість самих подій.
Приклад на пальцях. Заблокувати адресу, з якої йде перебір паролів, — реакція на дію. Увімкнути другий фактор, щоб перебір узагалі втратив сенс, — робота зі сценарієм. Перше доведеться повторювати щотижня, друге робиться один раз.
Розвідка кіберзагроз: користь без магії
Розвідка кіберзагроз (threat intelligence) — збір і аналіз даних про те, хто, як і чим атакує: індикатори компрометації, тактики зловмисників, свіжі вразливості.
Навіщо вона потрібна:
- проактивність — заблокувати загрозу ще до того, як вона дійшла до вас;
- контекст — не просто «підозріле з'єднання», а «це відома група, ось її звичний сценарій»;
- пріоритети — розуміти, які саме сценарії актуальні саме для вашої галузі.
Три рівні, які часто плутають:
| Рівень | Що дає | Кому |
|---|---|---|
| Тактичний | Адреси, домени, хеші файлів | Інженерам — завантажити у фільтри |
| Операційний | Типові прийоми й послідовності дій | Аналітикам — шукати сліди |
| Стратегічний | Хто вами цікавиться і чому | Керівництву — планувати бюджет |
Джерела — попередження національної команди реагування, галузеві обміни, платформи на кшталт MISP.
Стратегічний рівень часто ігнорують, а даремно: саме він відповідає на питання, чому вами взагалі цікавляться. Підрядник оборонного заводу, бухгалтерія з доступом до платежів, розробник медичної системи — у кожного своя причина потрапити в чужий список цілей.
З чого почати роботу з індикаторами:
- Підпишіться на попередження національної команди реагування — безкоштовно.
- Виберіть ті, які стосуються вашого програмного забезпечення.
- Завантажте їх у наявні засоби: поштовий фільтр, міжмережевий екран, антивірус.
- Запишіть, хто робить цю роботу щотижня. Без прізвища крок номер три відбудеться рівно один раз.
Головна пастка — потонути в потоці. Тисячі індикаторів щодня перетворюються на шум, якщо їх не фільтрувати. Робоче правило: спершу беріть те, що стосується вашої галузі та вашого програмного забезпечення, і лише потім усе інше. Індикатор, який нікуди не завантажили, лишається рядком у файлі.
Управління кіберкризами: коли ІТ вже не головне
Коли інцидент виходить за межі технічної проблеми й загрожує бізнесу загалом — починається кіберкриза. Управління кіберкризами відрізняється принципово.
- рішення ухвалює керівництво, а не інженер: зупиняти сервіси? повідомляти клієнтів? платити?
- працює кризова комунікація — з працівниками, клієнтами, партнерами, регулятором, медіа;
- залучені юристи: правові наслідки, повідомлення регулятора, докази;
- діє план безперервності — як працювати, поки системи лежать.
Перша година. Найдорожчі помилки роблять саме в ній: вимикають живлення (і втрачають докази), пишуть у спільний чат, який уже читає зловмисник, обіцяють клієнтам те, чого ще не знають. Тому в плані має бути три речі: хто збирає штаб, яким каналом він спілкується (окремим від корпоративного) і хто говорить назовні.
Хто входить до штабу. Мінімум п'ятеро: керівник (рішення), технічний фахівець (факти), юрист (наслідки), відповідальний за спілкування назовні (єдиний голос) і секретар, який фіксує час і зміст кожного рішення. Останній здається зайвим рівно до першого запиту регулятора.
Голос назовні має бути один. Найгірше, що може статися під час кризи, — коли клієнти дізнаються подробиці з трьох різних джерел усередині компанії, причому суперечливі. Тому в плані фіксують: хто говорить, у які строки й що саме дозволено казати, поки картина ще неповна.
Ключове правило: кризовий план пишуть до кризи. Під час атаки ніхто не читає нових інструкцій.
Що можна віддати підряднику, а що ні
Кіберзахист частково передають на обслуговування, і нічого поганого в такому рішенні немає. Але межа існує.
Віддати можна: цілодобове спостереження, налаштування засобів, сканування вразливостей, розбір першої лінії подій.
Лишається у вас: рішення про зупинку сервісу, спілкування з клієнтами та регулятором, пріоритети ризиків, доступи та їх перегляд, відповідальність. Підрядник напише звіт — підпис під наслідками ставите ви.
Практична порада: у договорі варто прописати не «забезпечення безпеки» (формулювання, порожнє за змістом), а конкретні зобов'язання — строк реакції на сповіщення, глибина зберігання журналів, звіт про перевірку копій, порядок передавання справ у разі розриву.
Три ознаки, що все існує лише на папері
Документ є, прізвищ немає. Порядок дій написано в пасивному стані: «здійснюється локалізація», «проводиться аналіз». Ким саме — невідомо, отже, ніким.
Засоби куплено, журнали лишаються нечитаними. Система пише події справно. Останній раз їх відкривали під час налаштування.
Копія робиться, відновлення ніколи не пробували. Найпоширеніша й найдорожча ілюзія: архів існує, а розгорнути його за дві години не вдасться ніколи.
Стійкість замість невразливості
Сучасний підхід зміщує фокус: не «зробити злам неможливим» (недосяжно), а бути стійким — швидко помітити, обмежити шкоду, відновитися. Тому цикл без виявлення та відновлення неповний: він виглядає надійним рівно доти, доки нічого не сталося.
Практичний вимір стійкості — дві цифри, які варто знати напам'ять: скільки часу компанія витримає без ключової системи й скільки даних дозволено втратити. Поки цих цифр немає, будь-яка розмова про захист лишається розмовою про смаки.
І ще один орієнтир — регулярність. Оборона руйнується зовсім не через одну велику помилку, а через тишу: три місяці без перегляду доступів, півроку без оновлень, рік без перевірки копії. Тому найкорисніший артефакт — навіть не документ, а календар із повторюваними завданнями та прізвищем біля кожного.