Согласуем область и глубину
Определяем, что входит в оценку: вся организация, отдельные площадки или конкретные направления. Фиксируем перечень направлений оценки и состав участников интервью.
Консалтинг
Экспресс-оценка зрелости ИБ: карта состояния и план развития
Быстрый срез состояния информационной безопасности: по каким направлениям процессы выстроены, по каким держатся на конкретных людях, а по каким отсутствуют. На выходе — карта зрелости, перечень ключевых разрывов и дорожная карта развития.
На выходе за несколько недель: карта зрелости по направлениям, 5–10 ключевых разрывов, список быстрых улучшений без бюджета, дорожная карта на 12 месяцев и презентация для руководства.
Срок и стоимость фиксируются до начала проекта, после короткого разговора о структуре организации. Услуга задумана как точка входа: недорогой способ понять, куда двигаться, прежде чем вкладываться в большие проекты.
Когда обращаются
Когда эта услуга нужна
- Вы недавно возглавили ИБ или ИТ и нужно быстро понять, что досталось в наследство
- Руководство просит объяснить, в каком состоянии находится информационная безопасность, простым языком
- Планируется бюджет на следующий год, и нужны основания для его формирования
- Понятно, что «что-то надо делать», но неясно, с чего начинать
- Компания растёт или прошла слияние, и картина по подразделениям разная
- Нужно сравнить состояние нескольких филиалов, дочерних компаний или площадок между собой
- Головная организация или заказчик запросил информацию о состоянии ИБ
- Хочется проверить, насколько обоснованы предложения текущего подрядчика
- Нужен независимый взгляд перед крупным проектом или сменой команды
Частая путаница
Чем это отличается от аудита и оценки рисков
Три услуги часто путают, хотя они отвечают на разные вопросы и стоят по-разному.
Экспресс-оценка зрелости
Аудит ИБ
Оценка рисков
Вопрос
Где мы находимся и куда двигаться
Что фактически настроено и где дыры
Что из этого опасно и что делать первым
Предмет
Процессы и организация ИБ
Конфигурации, системы, инфраструктура
Сценарии, ущерб, вероятность
Глубина
Обзорная, по всем направлениям
Детальная, с проверкой настроек
Средняя, но с оценкой последствий
Результат
Карта зрелости и дорожная карта
Перечень несоответствий и рекомендации
Реестр рисков и план обработки
Кому адресован
Руководству и новому CISO
ИТ- и ИБ-команде
Руководству, финансам, совету директоров
Срок
Недели
От нескольких недель
От нескольких недель
Экспресс-оценка
→
Аудит по проблемным направлениям
→
Оценка рисков
→
Программа развития
Границы услуги
Чего экспресс-оценка не даёт
Сразу обозначаем границы, чтобы результат совпал с ожиданиями.
Это не тестирование на проникновение: мы не проверяем, можно ли взломать конкретную систему.
Это не инструментальный аудит: мы не сканируем инфраструктуру целиком и не анализируем конфигурации построчно.
Это не аттестация и не оценка соответствия: результат не является заключением о выполнении требований регулятора и не заменяет предусмотренные законом процедуры.
Это не полноценная оценка рисков: мы не считаем ущерб и вероятность по каждому сценарию.
Подготовка
Что нужно для старта работ
Чем больше материалов есть на входе, тем содержательнее результат. Отсутствие части документов само по себе является диагностическим признаком и работу не блокирует.
Краткое описание организации: структура, площадки, численность, ключевые процессы
Перечень информационных систем и сервисов
Схема сети и описание инфраструктуры, если есть
Действующие политики, регламенты и организационно-распорядительные документы по ИБ
Сведения о применяемых средствах защиты
Результаты предыдущих аудитов, проверок, тестирований, если проводились
Сведения об инцидентах за последний период
Информация о штате: кто отвечает за ИБ, есть ли выделенные специалисты, что отдано на аутсорсинг
Требования регуляторов, головной организации и ключевых заказчиков
Возможность провести короткие интервью с ответственными сотрудниками
Этапы проекта
Что входит в работу
Собираем документы и данные
Изучаем предоставленные материалы, при необходимости направляем структурированный опросник для самостоятельного заполнения.
Проводим интервью
Короткие сессии с ответственными за ИТ, ИБ, эксплуатацию и владельцами ключевых процессов. Основная информация о реальном положении дел появляется именно здесь, а не в документах.
Выборочно проверяем факты
Ключевые утверждения подтверждаем выборочно: смотрим настройки отдельных систем, журналы, документы. Не сплошная проверка, но достаточная, чтобы оценка не строилась только на словах.
Оцениваем зрелость по направлениям
Присваиваем каждому направлению уровень зрелости по согласованной шкале и фиксируем обоснование оценки.
Выявляем ключевые разрывы
Определяем направления с наибольшим отставанием и наибольшим влиянием на защищённость. Разрывы, а не все замечания подряд, — основное содержание отчёта.
Формируем дорожную карту
Раскладываем меры на ближайшие шаги, среднесрочные и годовые, с оценкой требуемых ресурсов и ожидаемого эффекта.
Проводим установочную встречу по результатам
Отдельно представляем результаты руководству — коротко, без методологической части, с выводами и приоритетами.
Направления оценки
Что мы оцениваем
Набор направлений адаптируется под организацию, базовый состав такой:
01Управление и организация ИБ
роли, ответственность, документы, планирование, бюджет
02Управление активами
знает ли организация, что у неё есть и кто за это отвечает
03Управление доступом
учётные записи, права, привилегированный доступ, увольнения
04Защита инфраструктуры
периметр, сегментация, средства защиты, удалённый доступ
05Защита рабочих мест и серверов
антивирусная защита, контроль устройств, обновления
06Управление уязвимостями и обновлениями
регулярность, охват, порядок устранения
07Мониторинг и реагирование
сбор событий, обнаружение, порядок действий при инциденте
08Резервное копирование и непрерывность
наличие копий и, главное, проверка восстановления
09Работа с подрядчиками
доступы, договорные требования, контроль
10Персонал и осведомлённость
обучение, реакция на фишинг, культура
11Защита данных
где хранятся, кто имеет доступ, как контролируются выгрузки
12Соответствие требованиям
какие требования применимы и в каком состоянии их выполнение
Методика оценки
Шкала зрелости
Оценка по каждому направлению даётся по уровням. Формулировки согласуются с заказчиком до начала работ.
0
Процесс отсутствует. Деятельность не ведётся.
1
Ситуативный. Что-то делается, но нерегулярно и по инициативе отдельных сотрудников.
2
Повторяемый. Выполняется регулярно, но не описан. Держится на людях: уйдёт сотрудник — уйдёт процесс.
3
Описанный. Закреплён документально, выполняется в соответствии с регламентом, результат воспроизводим.
4
Измеряемый. Есть метрики и контроль исполнения, отклонения фиксируются.
5
Управляемый. Процесс регулярно пересматривается и улучшается на основе данных.
Практическое замечание. Уровень 5 нужен не всем и
не по всем направлениям. Целевой уровень фиксируется не «по
максимуму», а по требованиям бизнеса, регуляторов и стоимости
поддержания процесса — разумная цель для большинства направлений —
устойчивый третий уровень.
Результат
Что вы получаете
01
Карту зрелости по всем направлениям оценки с обоснованием каждой оценки
02
Уровень достоверности по каждому направлению: подтверждено документами, выборочной проверкой или основано на интервью
03
Перечень подтверждений: какие документы, настройки, журналы и интервью использовались для оценки
04
Наглядную диаграмму текущего и целевого состояния
05
Перечень ключевых разрывов с указанием, чем именно они опасны
06
Быстрые улучшения — меры, которые можно выполнить силами своей команды и без бюджета
07
Дорожную карту на ближайшие месяцы, полугодие и год с ориентировочными ресурсами
08
Рекомендации по последовательности работ и по тому, что делать своими силами, а что передавать подрядчику
09
Презентацию для руководства с выводами и приоритетами
10
При оценке нескольких площадок или дочерних компаний — сравнение между ними в единой шкале
Стандарты
Методология
Опираемся на общепринятые подходы к оценке зрелости процессов, адаптируя их под масштаб организации и применимые к ней требования.
Уровневые модели зрелости процессовкак основа шкалы оценки
ГОСТ Р 57580.2для финансовых организаций, где оценка организации процессов по уровням — установленное требование
Требования и методические документы ФСТЭК Россиив части направлений, связанных с выполнением обязательных требований
Внутренние и корпоративные требования заказчикаесли оценка должна быть сопоставима с методикой холдинга
Сроки
Сроки и стоимость
Услуга задумана как продукт с предсказуемыми параметрами: срок и стоимость определяются до начала работ и не меняются по ходу. На объём влияет:
Количество площадок и юридических лиц в границах оценки
Число направлений: базовый набор или расширенный
Количество интервью и доступность сотрудников
Наличие технологического контура и АСУ — их оценка требует отдельной компетенции
Нужна ли отдельная презентация результатов руководству и сравнение между площадками
Почему мы
Почему IST
- 15 лет на рынке информационной безопасности
- 2 000+ реализованных проектов
- Офисы в Самаре, Оренбурге, Нижнем Новгороде и Москве
- Лицензии ФСТЭК и ФСБ
- Оцениваем не по опроснику, а с выборочной проверкой фактов: оценка, основанная только на словах, бесполезна
- Работаем с организациями разного профиля — от государственных учреждений и производств до финансовых организаций и медицины, поэтому видим типовые разрывы отрасли
- После оценки можем закрыть найденные разрывы сами: проектирование, внедрение, сопровождение, аутсорсинг ИБ — но выбор подрядчика остаётся за вами, отчёт написан так, чтобы с ним можно было выйти на рынок
Вопросы
Частые вопросы
Насколько объективна оценка, если она строится на интервью?
Интервью — основной, но не единственный источник. Ключевые утверждения мы проверяем выборочно: смотрим настройки, журналы, документы. Полной проверки экспресс-формат не предполагает, и там, где оценка опирается только на слова сотрудников, мы это в отчёте отмечаем.
Что если результат окажется низким по всем направлениям?
Это распространённый и совершенно рабочий результат, особенно если ИБ до этого никто не занимался системно. Ценность оценки в этом случае даже выше: становится ясно, за что браться первым, чтобы получить наибольший эффект на минимальных вложениях.
Можно ли оценить только часть направлений?
Да. Если интересуют, например, только управление доступом, резервное копирование и реагирование на инциденты — сузим область, срок и стоимость уменьшатся соответственно.
Подходит ли услуга для сравнения филиалов между собой?
Да, и это один из самых полезных сценариев. Оценка в единой шкале показывает, где ситуация хуже, и позволяет распределять бюджет осознанно, а не поровну.
Заменяет ли экспресс-оценка обязательные процедуры — аттестацию, оценку соответствия, категорирование?
Нет. Это внутренний управленческий инструмент. Обязательные процедуры проводятся отдельно и в установленном порядке, но экспресс-оценка помогает понять, к каким из них организация готова, а к каким нет.
Что делать сразу после получения отчёта?
Начать с блока быстрых улучшений — там собраны меры, которые выполняются своими силами и без бюджета. Это даёт результат до того, как будут согласованы крупные работы.
Начать проект
Узнать, в каком состоянии ваша информационная безопасность
Расскажите о структуре организации — сколько площадок, есть ли выделенные специалисты по ИБ, какие требования применимы. Назовём срок и стоимость и предложим состав направлений оценки.