Проверяем факт, а не бумагу
Оцениваем, как обстоят дела на самом деле, а не как описано в документах. Ключевые находки подтверждаем, а не отмечаем по косвенным признакам.
Аудит ИБ
Аудит информационной безопасности
Показываем реальное состояние защиты: где вы уязвимы, что из этого действительно опасно и что делать в первую очередь. Не формальная проверка на бумаге, а картина того, как обстоят дела на самом деле.
Аудит — это не один вид работ, а несколько разных проверок под разные задачи: от быстрого среза состояния до имитации реальной атаки. Ниже — из чего выбрать и как понять, что нужно именно вам.
Зачем это нужно
Зачем нужен аудит
Организация вкладывается в защиту — покупает средства, нанимает специалистов, выполняет требования. Но вложения и защищённость — не одно и то же. Средства бывают настроены так, что не защищают. Требования — выполнены на бумаге, а не по факту. Уязвимости — накоплены и не закрыты. Аудит отвечает на вопрос, который иначе выясняется только при атаке или проверке: насколько вы на самом деле защищены.
Аудит нужен, когда:
- Нужно понять реальное состояние, а не то, что написано в документах
- Готовитесь к проверке регулятора или к требованию заказчика
- Произошёл инцидент, и нужно понять, как это стало возможно и что ещё уязвимо
- Сменилось руководство ИТ или ИБ и нужно оценить, что досталось
- Планируете бюджет и нужны основания для приоритетов
- Приняли инфраструктуру от подрядчика и хотите независимую проверку
- Давно не проверялись, а инфраструктура успела измениться
Каталог услуг
Виды аудита — что выбрать под вашу задачу
Под словом «аудит» скрываются разные по цели и глубине работы. Выбор зависит от того, на какой вопрос вы хотите получить ответ.
01
Экспресс-оценка зрелости ИБ
Вопрос: где мы в целом находимся и с чего начинать.
Быстрый обзорный срез состояния процессов ИБ по всем направлениям. Карта зрелости и дорожная карта. Точка входа, когда непонятно, за что браться.
Подробнее об экспресс-оценке зрелости →
02
Аудит уязвимостей
Вопрос: какие известные дыры у нас есть и что закрывать первым.
Инвентаризация, сканирование, отсев ложных срабатываний, приоритизация по реальному риску. Разово или как регулярный процесс.
Подробнее об аудите уязвимостей →
03
Аудит конфигураций
Вопрос: правильно ли настроено то, что уже есть.
Проверка настроек Active Directory, сетевого оборудования, почты и облака. Находит ошибки конфигурации, из-за которых защита не работает, хотя средства стоят.
Подробнее об аудите конфигураций →
04
Аудит защищённости веб-приложений
Вопрос: можно ли взломать наш сайт, портал или API.
Углублённая проверка конкретного приложения, включая уязвимости бизнес-логики, которых нет в базах уязвимостей.
Подробнее об аудите веб-приложений →
05
Тестирование на проникновение (пентест)
Вопрос: можно ли реально пробить защиту и как далеко продвинуться.
Контролируемая имитация действий атакующего. Проверяет защиту в связке, а не по отдельным недочётам.
Подробнее о пентесте →
06
Аудит контейнеров и CI/CD
Вопрос: безопасна ли наша среда разработки и сборки.
Проверка контейнерной инфраструктуры, оркестратора и конвейера сборки.
Подробнее об аудите контейнеров и CI/CD
07
Red Team / Purple Team
Вопрос: заметит ли наша команда защиты реальную атаку.
Скрытная имитация противника и совместная работа с вашими защитниками. Для организаций с уже выстроенной защитой и мониторингом.
Подробнее о Red Team / Purple TeamПринципы работы
Что общего у всех наших аудитов
Виды разные, но принципы работы одни.
Отсеиваем шум
В отчёт попадает то, что действительно требует внимания. Ложные срабатывания и неприменимое к вашей инфраструктуре — отсеиваем.
Приоритизируем по реальному риску
Не по формальному баллу, а с учётом того, что за уязвимостью стоит, доступна ли она атакующему и какие меры уже действуют. Отделяем критичное от косметического.
Пишем на языке исполнителя
Рекомендации конкретны: что, где и как изменить. Не «усильте защиту», а конкретная мера. Отдельно — сводка для руководства без технических деталей.
Проверяем устранение
После исправления подтверждаем, что найденное действительно закрыто, а не спрятано.
Можем закрыть найденное сами
Мы не только аудитор, но и интегратор: проектируем, внедряем и настраиваем защиту. Найденное можем устранить — но отчёт пишем так, чтобы с ним можно было выйти и к другому подрядчику.
Результат
Что вы получаете по итогам
Состав зависит от вида аудита, но результат всегда практический, а не «отчёт в стол»:
01
Картину реального состояния защиты по проверенным направлениям
02
Перечень подтверждённых находок с уровнем риска по каждой
03
Приоритизацию: что устранять немедленно, что планово, что можно принять
04
Конкретные рекомендации по устранению
05
Быстрые улучшения, которые можно выполнить своими силами
06
Сводку для руководства: общий уровень защищённости и главные риски
07
План дальнейших действий
08
Повторную проверку устранения найденного
Формат работы
Разовый аудит или регулярная проверка
Разовый аудит показывает состояние на конкретный момент. Но инфраструктура меняется, появляются новые уязвимости, накапливаются ошибки в настройках — и снимок устаревает.
Разовый аудит
Когда нужно оценить состояние здесь и сейчас: перед проверкой, после инцидента, при приёмке, для обоснования бюджета.
Регулярная проверка
Когда аудит встроен в постоянный цикл: инфраструктура проверяется по расписанию, изменения отслеживаются, устранение контролируется. Так список не накапливается заново.
Сроки
Сроки и стоимость
Зависят от вида аудита и размера инфраструктуры. Ориентиры:
Экспресс-оценка зрелости — недели, фиксированный формат
Аудит уязвимостей / конфигураций — от нескольких дней до пары недель
Аудит веб-приложения — от нескольких дней до пары недель в зависимости от размера приложения
Пентест — от нескольких дней (внешний периметр) до нескольких недель (комплексный)
Почему мы
Почему АйЭсТи
- 15 лет на рынке информационной безопасности
- 2 000+ реализованных проектов
- Офисы в Самаре, Оренбурге, Нижнем Новгороде и Москве
- Лицензии ФСТЭК и ФСБ
- Полный спектр аудита в одной команде: оценка зрелости, уязвимости, конфигурации, веб-приложения, пентест — не нужно собирать разных подрядчиков под разные проверки
- Подтверждаем находки на практике: в отчёте нет того, что нельзя воспроизвести
- Одновременно аудитор и интегратор: можем не только найти, но и закрыть найденное
- Проверяем устранение, а не оставляем заказчика гадать, закрыта ли проблема
Вопросы
Частые вопросы
С какого аудита начать, если раньше ничего не проверяли?
С экспресс-оценки зрелости. Она даёт общую картину по всем направлениям и показывает, какие из более глубоких проверок вам действительно нужны, чтобы не платить за лишнее.
Чем аудит отличается от аттестации и оценки соответствия?
Аудит показывает фактическое состояние защиты — как есть на самом деле. Аттестация и оценка соответствия подтверждают выполнение формальных требований. Это разные задачи: можно иметь аттестат и при этом реальные уязвимости, которые аудит и находит.
Нужен ли аудит, если у нас есть средства защиты и мы выполняем требования?
Как раз в этом случае он и нужен. Средства защиты могут быть настроены так, что не работают, а выполнение требований на бумаге не означает защищённости на практике. Аудит проверяет факт.
Вы предложите самый дорогой вид аудита?
Нет. Наоборот, если не знаете, с чего начать, порекомендуем недорогую экспресс-оценку, а по её итогам — только те проверки, которые действительно нужны.
Что делать с отчётом дальше?
По итогам вы получаете приоритизированный план. Устранять можете своими силами, силами вашего подрядчика или с нашей помощью — отчёт написан так, чтобы им мог воспользоваться любой исполнитель.
Начать проект
Узнать реальное состояние вашей защиты
Расскажите о задаче — готовитесь к проверке, разбираетесь после инцидента, обосновываете бюджет или просто давно не проверялись. Поможем выбрать вид аудита и назовём срок и стоимость.