Система кібербезпеки: стандарти, установи і хто за що відповідає

Захист — не лише технології, а ціла екосистема: стандарти, які задають правила, установи, які реагують і контролюють, та ролі, які хтось має виконувати. Розберемо, як усе це влаштовано й хто за що відповідає.

Стандарти кібербезпеки: правила, за якими грають

Стандарти — спільна мова, якою організації описують свою захищеність. Основні групи:

• Міжнародні системи управління. ISO/IEC 27001 — головний документ для управління інформаційною безпекою; саме за ним сертифікуються.
• Фреймворки зрілості. NIST CSF — гнучкий каркас для оцінювання стану; сертифікації немає, зате зручно розмовляти з керівництвом.
• Технічні орієнтири. OWASP — для застосунків і вебу.
• Галузеві вимоги. Наприклад, правила захисту платіжних даних у фінансовій сфері.
• Національні норми. В Україні — документи ТЗІ та законодавство про кіберзахист.

Головне: вони не конкурують між собою, а закривають різні поверхи. Компанія цілком може мати ISO 27001 (бо цього хочуть партнери) і водночас виконувати національні вимоги (бо цього хоче закон).

Чого стандарт не дає. Він не робить компанію захищеною — він лише фіксує, що процеси описані й хтось за них відповідає. Компанія із сертифікатом і компанія із захистом — множини, які перетинаються, але не збігаються. Різницю показує перша ж перевірка на проникнення.

Регламенти кібербезпеки: п'ять документів, з яких усе починається

Стандарт описує, що мусить бути. Внутрішні документи описують, як саме це працює у вас. Мінімальний набір, посильний навіть невеликій компанії:

1. Політика — рамковий документ на дві сторінки: що захищаємо, хто відповідає, які правила обов'язкові.
2. Порядок доступу — хто, до чого, на яких підставах; як видають права і, головне, як їх відкликають.
3. Порядок резервного копіювання — що копіюємо, куди, як часто, хто перевіряє відновлення.
4. Порядок реагування — що робити під час інциденту, кому телефонувати вночі.
5. Правила для працівників — одна сторінка людською мовою, без юридичних формул.

Пастка стандартна: документ пишуть, підписують і забувають. Папір, який ніхто не відкривав рік, дорівнює його відсутності. Ознака мертвого тексту проста — у ньому згадані посади, яких уже немає, та системи, які давно вимкнули.

Щоб він жив, потрібні три речі: власник документа (прізвище, а не підрозділ), дата наступного перегляду просто в шапці й формат, який реально читають. Двадцять сторінок канцелярської мови не прочитає ніхто — а півтори сторінки із прикладами прочитають.

Центр кібербезпеки, CERT і решта установ

Команди реагування (CERT/CSIRT). Ключові вузли екосистеми. Національна команда — CERT-UA у складі Держспецзв'язку — координує реагування, попереджає про кампанії й публікує індикатори компрометації. Є також галузеві та корпоративні команди (див. CSIRT).

SOC, або центр моніторингу. Так називають структуру, яка безперервно спостерігає за захищеністю й реагує на події. У компанії це SOC — власний або орендований; на рівні країни — національні центри моніторингу та координації.

Різницю варто запам'ятати: перший спостерігає постійно, друга приходить, коли вже сталося. Камери й охоронець проти пожежної бригади.

Свій чи орендований? Три чесні критерії: чи є у вас люди на три зміни; чи готові ви платити за них щомісяця; чи достатньо подій, аби їх узагалі було кому розбирати. Дві відповіді «ні» — беріть послугу.

І ще одне: орендоване спостереження працює лише тоді, коли всередині є кому ухвалювати рішення. Зовнішня команда побачить підозрілий вхід і зателефонує — а далі хтось із ваших має відповісти й натиснути «відключити».

Регулятори. Визначають обов'язкові вимоги, перевіряють, проводять експертизу.

Державна кібербезпека: коротко про рівень країни

Тримається вона на розподілі ролей: координація, реагування на національному рівні, протидія злочинам, оборонний напрям, окремі правила для фінансового сектору. Деталі з нормативною базою — у статтях про державну інформаційну безпеку і захист країни в кіберпросторі.

Бізнесу з цього поверху важать три речі: попередження від національної команди, обов'язок повідомляти про інциденти й додаткові вимоги, якщо ви — об'єкт критичної інфраструктури.

Інститут кібербезпеки: звідки беруться люди

Словом «інститут» позначають дві різні речі — і обидві важливі.

Освіта. Профільні кафедри й навчальні заклади готують кадри, без яких уся конструкція мертва. Ринок праці тут стабільно голодний: попит випереджає випуск.

Інститут як усталена практика. Наприклад, керівник з кіберзахисту: посада, повноваження, порядок призначення. Практика стає інститутом тоді, коли перестає залежати від доброї волі конкретного директора.

Висновок для роботодавця практичний: молодшого фахівця дешевше виростити, ніж перекупити старшого. Але виростити його може лише той, хто вже має досвід усередині.

Третій вимір — навчання на місці. Компанія, яка щороку відправляє одну людину на профільний курс і дає їй час застосувати знання, за три роки отримує власного спеціаліста. Компанія, яка щороку шукає готового на ринку, за три роки отримує лише зростання зарплатних очікувань.

Ролі: хто за що відповідає

Найпоширеніша проблема звучить так: «захист є, а відповідального немає».

Правило просте: у кожного рядка має бути прізвище. «Відповідають усі» на практиці означає «не відповідає ніхто».

Для компанії на двадцять осіб таблиця стискається до трьох рядків: директор (рішення й гроші), одна призначена людина (правила, доступи, копії), зовнішній підрядник (техніка). Решта ролей поки що збігаються з першими трьома — і це нормально.

Окремо варто записати, хто ухвалює рішення про зупинку сервісу. Це найдорожчий крок під час інциденту, і саме його зазвичай ніхто не наважується зробити — доки право й обов'язок не закріплені за конкретною посадою.

Фізична кібербезпека: там, де світи перетинаються

Термін звучить дивно, проте позначає цілком реальну річ. Вона має два боки.

Захист заліза. Доступ до серверної, контроль носіїв, живлення (див. фізичні засоби). Найкращий фаєрвол безсилий, якщо сервер винесли через вікно, а резервний диск лежав поруч на полиці.

Кіберзахист заліза. Промислові контролери, де атака має матеріальні наслідки: зупинка лінії, аварія, зіпсована партія. Тут цифрова подія перетворюється на фізичну шкоду.

Сюди ж належать дрібниці, які соромно виносити на нараду: незамкнена шафа з комутатором у коридорі, гостьова мережа, підключена до робочої, і пароль на стікері під клавіатурою.

Система кібербезпеки: як усе складається докупи

Отже, система кібербезпеки стоїть на трьох поверхах, і жоден не заміняє інший:

1. Країна — правила, координація, реагування на національному рівні.
2. Організація — власний захист, виконання вимог, навчання людей, реагування.
3. Людина — базова гігієна: паролі, другий фактор, уважність до фішингу.

Верхній поверх безсилий без нижнього: держава може публікувати індикатори компрометації скільки завгодно, але якщо в компанії їх нікому завантажити, а працівник відкриє вкладення — конструкція розсиплеться на найтоншій ланці. А найтонша ланка рухається: сьогодні це людина, завтра — забутий сервер, післязавтра — підрядник.

Як перевірити, чи все це у вас справді є

П'ять питань, відповіді на які видно за годину:

1. Хто відповідальний? Якщо відповідь — «ІТ», відповідального немає.
2. Коли востаннє переглядали доступи? Якщо «не пам'ятаю» — сплячі записи вже там.
3. Коли востаннє відновлювали дані з копії? Якщо ніколи — копії у вас теж немає, є лише файл.
4. Кому телефонувати о другій ночі? Якщо номера нема в жодному документі, план реагування існує тільки на словах.
5. Що ви зробили після останнього попередження національної команди? Якщо нічого — верхній поверх у вас порожній.

Чотири помилки в побудові

«Купимо стандарт». Сертифікат підтверджує наявність процесів, а не їх якість. Порожня папка з політиками проходить формальний аудит рівно один раз.

«Обираємо під тендер». Стандарт, узятий заради галочки в закупівлі, майже не перетинається з вашими реальними ризиками — і виявляється чистими витратами.

«Потрібен свій центр моніторингу». Власний SOC — це люди у три зміни. Малій компанії дешевше орендувати спостереження, ніж утримувати чергових.

«Регламент напише підрядник». Напише. Виконувати доведеться вам — тож у написанні мають брати участь ті, хто потім за ним працюватиме.

Спільна риса всіх чотирьох — спроба замінити роботу артефактом: папером, сертифікатом, підрядником, підпискою. Артефакт починає працювати лише тоді, коли за ним стоїть чиясь щоденна праця.

Для більшості компаній екосистема виглядає простіше, ніж на схемах: один стандарт як орієнтир, п'ять внутрішніх документів, одна призначена людина й один зовнішній номер, за яким відповідають уночі. Усе інше — надбудова, яка з'являється разом із масштабом.