Аутсорсинг информационной безопасности: что передать подрядчику

Информационная безопасность требует редких знаний и постоянного внимания, а держать штатную команду по ИБ могут позволить себе в основном крупные компании и банки. Остальные либо поручают безопасность системному администратору «по совместительству», либо привлекают внешнего подрядчика. Аутсорсинг ИБ — передача части функций по защите информации специализированной компании.

Что можно передать подрядчику

Аудит и оценка. Подрядчик проверяет текущее состояние: какие системы есть, кто имеет доступ, как настроены сервер и сеть, есть ли уязвимости. Результат — отчёт с рисками и рекомендациями.

Тестирование на проникновение. Специалисты пытаются взломать системы компании так, как это сделал бы злоумышленник, и показывают найденные слабые места.

Мониторинг безопасности. Подрядчик собирает журналы событий с серверов, сетевого оборудования и рабочих мест, анализирует их и реагирует на подозрительную активность. Такую услугу часто называют внешним центром мониторинга (SOC).

Реагирование на инциденты. Помощь при взломе, заражении шифровальщиком, утечке: остановить атаку, восстановить работу, расследовать причины.

Управление уязвимостями. Регулярное сканирование систем и контроль установки обновлений.

Обучение сотрудников. Тренинги и учебные фишинговые рассылки.

Подготовка документов. Политики безопасности, регламенты, документы по защите персональных данных.

Что остаётся внутри компании

Некоторые вещи передать нельзя, как бы хорош ни был подрядчик:

• Ответственность руководства. Решения о допустимых рисках, бюджете и приоритетах принимает компания
• Владение данными и доступами. Главные пароли администраторов, ключи шифрования, доступ к резервным копиям должны быть у компании
• Внутренние процессы. Увольнение сотрудника должно сразу запускать отключение его доступов, и это делает компания
• Внутренний ответственный. Человек, который координирует работу с подрядчиком, принимает решения при инцидентах и знает бизнес-процессы

Без внутреннего ответственного аутсорсинг превращается в отчёты, которые никто не читает.

С чего начать

1. Инвентаризация. Список систем, данных, пользователей и доступов. Невозможно защитить то, о чём не знаешь
2. Аудит. Внешняя оценка текущего состояния
3. Приоритеты. Устранение самых опасных проблем: слабые пароли администраторов, открытые наружу службы, отсутствие резервных копий
4. Регулярные функции. Мониторинг, обновления, обучение
5. План реагирования. Что делать и кому звонить, если произошёл инцидент

Как выбрать подрядчика

• Опыт в вашей отрасли и с похожей инфраструктурой
• Состав команды: кто конкретно будет работать, их квалификация
• Прозрачность: какие отчёты вы будете получать и как часто
• Время реакции на инцидент и порядок связи в нерабочее время
• Подход к доступам: подрядчику безопасности нужны широкие права, поэтому вопросы его собственной защищённости особенно важны
• Соответствие требованиям законодательства Узбекистана, если ваша компания работает с персональными данными или относится к регулируемым отраслям

Что прописать в договоре

• Перечень услуг и систем в зоне ответственности
• Время реакции на инциденты разной критичности
• Конфиденциальность и порядок обращения с данными, к которым получен доступ
• Отчётность
• Порядок передачи всех доступов и документов при расторжении

Типичные ошибки

• Ожидание, что подрядчик «отвечает за безопасность», без участия компании
• Покупка мониторинга без готовности реагировать на его оповещения
• Проведение аудита без последующего устранения найденных проблем
• Передача подрядчику единственного экземпляра административных паролей

Итог

Аутсорсинг ИБ позволяет компании получить экспертизу без найма команды, но не снимает ответственности с руководства. Лучшая модель — внешний подрядчик для специализированных функций и внутренний ответственный, который связывает безопасность с бизнесом. Если хотите оценить состояние защиты своей компании, начните с аудита — поможем его организовать.