---
title: "Эшелонированная защита (Defense in Depth): что это"
url: "https://kzsaleshub.com/framework/defense-in-depth/"
type: "framework"
category: "Качество и безопасность"
language: "ru"
source: "KZSalesHub"
published: "2026-08-11"
last_updated: "2026-10-01"
---

# Эшелонированная защита (Defense in Depth): что это

**Суть.** Ни одна мера защиты не работает всегда. Поэтому рубежи выстраиваются слоями: сеть, устройство, личность, приложение, данные, эксплуатация. Атака должна преодолеть несколько независимых слоёв, а у защищающейся стороны появляется время заметить.

## Слои и их вклад

| Слой | Что делает | Что происходит при его отказе |
| --- | --- | --- |
| Периметр и сегментация | Ограничивает движение внутри сети | Проникший получает доступ ко всему сразу |
| Личность и доступ | Проверяет, кто это и что ему можно | Одна украденная учётная запись открывает всё |
| Устройство | Состояние и управляемость рабочих мест | Заражённый ноутбук становится точкой входа |
| Приложение | Проверка данных, безопасная разработка | Уязвимость даёт доступ к данным напрямую |
| Данные | Шифрование, разграничение, резервные копии | Утечка становится необратимой |
| Обнаружение | Замечает происходящее | О взломе узнают от третьих лиц |

## Как объяснять заказчику

Не через страх, а через простой вопрос: что произойдёт, если один конкретный слой откажет. Если ответ «всё» — слоя не хватает. Этот разговор устроен лучше, чем перечисление угроз, потому что он про архитектуру, а не про запугивание.

## Слои защиты

| Слой | Что делает | Что происходит при обходе |
| --- | --- | --- |
| Периметр | Ограничивает доступ снаружи | Атакующий внутри сети |
| Сегментация | Разделяет сеть на изолированные части | Доступ ограничен одним сегментом |
| Управление доступом | Кто и к чему допущен | Права ограничивают ущерб |
| Защита данных | Шифрование, маскирование | Данные бесполезны без ключей |
| Обнаружение | Замечает необычное поведение | Инцидент виден, реакция запускается |
| Восстановление | Возвращает работу | Ущерб ограничен по времени |

Смысл не в количестве средств, а в том, что каждый слой рассчитан на отказ предыдущего. Защита, где всё держится на периметре, — это один слой с красивым названием.

## Как выстраивать

1. Начните с того, что защищаете: конкретные данные и системы, а не «инфраструктуру».
2. Для каждого слоя ответьте, что произойдёт при его обходе. Ответ «всё» означает, что слой на самом деле единственный.
3. Вкладывайтесь в обнаружение не меньше, чем в предотвращение. Полностью предотвратить нельзя, вовремя заметить — можно.
4. Проверяйте восстановление регулярно, а не после инцидента.

## Где ломается

**Слои не независимы.** Все меры завязаны на одну систему управления доступом; её отказ снимает сразу всё.

**Много слоёв, никто не смотрит.** Средства защиты стоят, тревоги никто не разбирает.

**Забывают про людей.** Самый частый вход — не уязвимость, а письмо, на которое кто-то ответил.

**Слои дублируют друг друга.** Пять средств делают одно и то же, а обнаружения нет вовсе. Это не эшелонирование, а накопление.

**Внутренняя сеть считается доверенной.** Один попавший внутрь получает доступ ко всему — самая частая причина крупного ущерба.

**Средства куплены, настройки по умолчанию.** Инструмент без настройки и без человека, который смотрит на его сигналы, защищает только на бумаге.

Проверьте на конкретном сценарии: украдены учётные данные одного сотрудника. Пройдите по слоям и назовите, где это остановится. Если нигде — глубины нет.

## Частые вопросы

**Сколько слоёв достаточно**

Вопрос не в числе, а в покрытии сценариев. Три работающих слоя лучше семи, из которых пять не настроены.

**Как это объяснить руководству**

Через сценарии и ущерб: что именно останавливает каждый слой и во сколько обходится его отсутствие. Перечень средств такого разговора не заменяет.

**С чего начать при ограниченном бюджете**

С управления доступом и резервных копий с проверенным восстановлением. Эти два слоя закрывают наибольшую долю реального ущерба.

## Связанное

- [Zero Trust](https://kzsaleshub.com/framework/zero-trust/)
- [Минимальные права и модели доступа](https://kzsaleshub.com/framework/least-privilege-fw/)
- [Программа информационной безопасности](https://kzsaleshub.com/framework/security-program/)

Эшелонированная защита строится от вопроса «что будет, когда это обойдут», а не от вопроса «как это не допустить».

---
Источник: https://kzsaleshub.com/framework/defense-in-depth/