Суть. Безопасность как программа, а не набор купленных продуктов. Пять функций описывают полный цикл: понять, что защищаем, поставить защиту, научиться замечать, уметь реагировать и уметь восстанавливаться. Большинство компаний вкладывается во вторую функцию и пропускает третью и пятую.
Пять функций
| Функция | Содержание | Признак, что не закрыта |
|---|---|---|
| Определить | Инвентаризация активов, данных, поставщиков, оценка рисков | Нет ответа, сколько у нас систем и где критичные данные |
| Защитить | Доступы, обновления, шифрование, обучение людей | Пароли и права не пересматривались год |
| Обнаружить | Сбор событий, правила, мониторинг | О сбое узнают от пользователей |
| Отреагировать | План действий, роли, связь с клиентами и регулятором | При инциденте начинают решать, кто главный |
| Восстановить | Резервные копии и проверенная процедура возврата | Копии делаются, восстановление не проверялось |
Порядок при ограниченном бюджете
Первым идёт учёт: без него любая закупка защищает не то. Дальше базовая гигиена — многофакторная проверка, обновления, минимальные права, проверенное восстановление из копий. Она закрывает большую часть массовых атак и стоит несопоставимо дешевле продвинутых систем обнаружения.
Мониторинг и автоматизация реагирования имеют смысл, когда есть кому реагировать: система, генерирующая тревоги без адресата, ухудшает ситуацию.
Из чего состоит программа
| Элемент | Вопрос | Минимальный ответ |
|---|---|---|
| Активы | Что защищаем | Перечень систем и данных с владельцами |
| Риски | Что может случиться | Сценарии с оценкой ущерба |
| Правила | Как положено | Несколько коротких политик, а не том |
| Контроли | Что реально внедрено | Доступы, копии, обновления, журналирование |
| Реагирование | Что делаем при инциденте | Порядок, контакты, роли |
| Проверка | Работает ли всё это | Учения и регулярный пересмотр |
Порядок внедрения
- Перечень активов первым. Без него защищать нечего, кроме абстракции.
- Управление доступом и резервные копии с проверенным восстановлением — эти два контроля закрывают наибольшую долю реального ущерба.
- Порядок реагирования на одной странице: кому звонить, что отключать, кого уведомлять.
- Обучение сотрудников с реальными примерами, а не с презентацией раз в год.
- Регулярная проверка того, что контроли действительно работают.
Где ломается
Покупают до инвентаризации. Система защищает периметр, а данные лежат в чужом облаке.
Резервные копии без проверки восстановления. Самая частая и самая дорогая иллюзия.
План реагирования есть только на бумаге. Учения не проводились, при первом инциденте план читают вслух.
Начинают с политик. Появляется толстый документ и ни одного изменённого доступа.
Копии есть, восстановление не проверялось. Обнаруживается в худший возможный момент.
Безопасность отделена от бизнеса. Требования выглядят как препятствие, их обходят, и обходные пути становятся нормой.
Практическая проверка зрелости: за сколько минут вы отключите доступ уволенного сотрудника ко всем системам. Ответ показывает состояние программы точнее, чем любой документ.
С чего начинается программа
- Инвентаризация. Что у вас есть: системы, данные, доступы, подрядчики. Без этого защищать нечего — неизвестно что.
- Классификация данных. Хотя бы на три уровня. Защищать всё одинаково дорого и бессмысленно.
- Базовая гигиена. Обновления, пересмотр прав, резервные копии с проверкой восстановления, многофакторный вход.
- Журналы и обнаружение. Собираются ли события и смотрит ли на них кто-нибудь.
- План реагирования. Кто принимает решения при инциденте, кого уведомляем, в какой срок.
Почему порядок именно такой
Потому что каждый следующий шаг бессмысленен без предыдущего. Покупка средства обнаружения при отсутствии инвентаризации даёт защиту части периметра, о размере которой вы не знаете. План реагирования без журналов невыполним: реагировать не на что.
Самая частая ошибка — начинать с покупки продукта, потому что это легче обосновать бюджетом, чем месяцы наведения порядка. Через год оказывается, что продукт работает, а половина систем в него не заведена.
Как измерять зрелость
| Что мерить | Как |
|---|---|
| Полнота инвентаризации | Доля систем с известным владельцем |
| Скорость обновлений | Медианное время от выхода исправления до установки |
| Права | Доля учётных записей, пересмотренных за квартал |
| Восстановление | Когда последний раз проверяли восстановление из копии |
| Обнаружение | Время от события до его замечания на учениях |
Признак, что работает
Вы можете назвать пять цифр выше по памяти, и они улучшаются от квартала к кварталу. Программа, о состоянии которой можно говорить только словами, не управляется.
Частые вопросы
Связанное
Программа безопасности начинается с перечня того, что защищаем, и заканчивается проверкой, что защита работает. Документы посередине — вспомогательные.
Материал обновлён 3 сентября 2026
Разобрано на практике
Как эта рамка выглядит в разговоре с клиентом — в серии «Технологии для продавца».
- Кибербезопасность: как продавать слои, а не коробкиПочему «у нас уже есть антивирус» — это диагноз, а не возражение. Шесть слоёв защиты на человеческом языке,…