Помогли торговой сети выстроить систему управления ИБ для связи технологий, людей и бизнес-целей

Крупная торговая сеть с разветвленной ИТ-инфраструктурой, распределенными филиалами, складами и торговыми точками, входящая в состав многопрофильного холдинга.

*Штат ИТ и ИБ — более 100 специалистов.

Поводом послужило приближение плановой проверки и желание руководства закрыть вопрос с документацией. Запрос от заказчика: «Нам нужно срочно подготовить пакет политик и регламентов, чтобы пройти предстоящий аудит головной компании. И заодно опишите процессы эксплуатации для сканера уязвимостей и PAM-системы, которые мы недавно купили».

В ходе обследования эксперты Infosecurity выявили классическую проблему «инструментального» подхода к безопасности. Компания закупила дорогие средства защиты, но не выстроила процессы их эксплуатации.

Сканер уязвимостей: сканирование завершалось с ошибками, траблшутинг не велся, а SLA на устранение уязвимостей отсутствовал. Обновления не ставились, так как процесс патч-менеджмента не был выстроен.

PAM-система: покрывала лишь 30% ресурсов. Не было понимания, кого именно считать привилегированным пользователем, нужно ли пускать через нее подрядчиков и как осуществлять резервный доступ, если PAM «упадет».

Резервное копирование: политика была единой для всех систем без учета бизнес-контекста. Тестирование восстановлений не проводилось, из-за чего в момент ЧП копии могли оказаться неконсистентными.

Стало очевидно, что просто «написать бумажки» под аудит — значит создать фикцию. Бизнесу требовался не набор макулатуры, а работающий «скелет» системы управления ИБ, который свяжет технологии, людей и бизнес-цели.

Заказчику было предложено отойти от слепого копирования шаблонных политик и спроектировать целевую архитектуру процессов, опираясь на гибридную методологию (ISO 27001/27002, NIST CSF, CIS Controls, ISF) и требования российского законодательства (152-ФЗ, ФСТЭК).

Работа была разбита на следующие этапы.

Этап 1. Диагностика и аудит
Был проанализирован имеющийся массив документов, настроек СЗИ и артефактов (заявок, отчетов). Выявлены пробелы, дублирования и устаревшие инструкции. На основе этого сформирована целевая структура процессов ИБ и дорожная карта их внедрения, чтобы не тратить ресурсы на избыточные артефакты.

Этап 2. Проектирование иерархии документации
Была выстроена четкая иерархия документов, разделенная по уровням управления, чтобы каждый сотрудник понимал, где стратегия, а где пошаговая инструкция.

Этап 3. Формализация процессов (BPMN и RACI)

• Ключевые этапы процессов были отрисованы в нотации BPMN.
• Ответственность была зафиксирована в матрицах RACI. Это устранило «серые зоны», когда ИТ и ИБ перекладывали друг на друга задачи по установке обновлений безопасности или разбору ложных срабатываний SIEM.
• Для каждого процесса были спроектированы метрики эффективности (KPI) и требования к автоматизации.

Этап 4. Внедрение и развитие культуры безопасности
Была разработана программа обучения для исполнителей и внутренних заказчиков и проведены тренинги с оценкой уровня знаний.

Также эксперты Infosecurity сопроводили первые циклы выполнения новых процедур (например, первый полноценный пересмотр прав доступа и тестовое восстановление из резервной копии).

1. Заказчик получил фундамент для построения зрелой и управляемой системы кибербезопасности.

2. Сканер уязвимостей интегрирован в процесс управления уязвимостями и обновлениями, внедрены SLA на устранение критических уязвимостей.

3. Покрытие PAM-системой выросло с 30% до 100% критичных ресурсов, включая сегментацию доступа для подрядчиков.

4. Внедрены процедуры регулярного тестирования резервных копий.

5. Роли ИТ и ИБ были четко разграничены матрицей RACI.

6. Снизилось влияние человеческого фактора, сотрудники стали понимать свои обязанности и следовать инструкциям.

В итоге компания успешно прошла аудит. Наличие документальной базы, подкрепленной реальными артефактами (отчетами, логами, заявками), доказало зрелый подход к защите.