Выбираем СЗИ при ограниченном бюджете: от обследования до защиты ПДн

Недостаток финансирования не отменяет необходимости защищать информационные системы. Боты и автоматические сканеры ищут уязвимые узлы в интернете, не учитывая масштаб бизнеса. Если базовая защита отсутствует, организация рискует столкнуться с остановкой сервисов, раскрытием конфиденциальных сведений и претензиями контролирующих органов.

Рассмотрим, как расставить приоритеты при выборе защитных инструментов, учесть законодательные требования и не потратить деньги на избыточные возможности.

Почему небольшой бюджет не позволяет отказаться от защиты

Последствия инцидентов информационной безопасности можно разделить на три основные категории.

1. Финансовые издержки. Восстановление систем после заражения, оплата расследования и замена вышедших из строя носителей могут потребовать больше средств, чем приобретение и настройка базовых защитных инструментов.

2. Нарушение рабочих процессов. Недоступность 1С, складского ПО или электронной почты мешает принимать заказы, организовывать поставки и выполнять повседневные задачи.

3. Юридические риски. Раскрытие персональных данных клиентов может стать основанием для проверок и привлечения организации к административной ответственности.

Продуманный выбор защитных решений помогает уменьшить вероятность таких последствий даже при скромном финансировании.

Аудит информационной безопасности – отправная точка

Приобретение ПО без обследования инфраструктуры часто оборачивается неоправданными расходами. Аудит информационной безопасности помогает обнаружить слабые места и понять, какие задачи необходимо решать в первую очередь.

Обследование включает четыре основных направления.

• Учет ИТ-активов. Подготовьте перечень серверов, пользовательских компьютеров, сетевых устройств и установленных программ.

• Определение мест хранения информации. Установите, где размещаются клиентские базы, финансовая отчетность и документы ограниченного доступа.

• Оценка полномочий пользователей. Найдите учетные записи с лишними правами и отключите доступ сотрудников, которые больше не работают в компании.

• Изучение настроек. Оцените актуальность обновлений операционных систем, требования к паролям и параметры сетевого взаимодействия.

По итогам аудита становится понятно, какие участки инфраструктуры наиболее уязвимы. Это помогает вложить средства в устранение существенных рисков, а не оплачивать функции, которые останутся невостребованными.

Защита ПДн в организации: требования 152-ФЗ и приказа ФСТЭК № 21

Организации, обрабатывающие персональные данные, должны обеспечивать их безопасность. Среди основных документов, определяющих обязанности операторов и подходы к защите, выделяют:

1. Федеральный закон № 152-ФЗ «О персональных данных». Закрепляет правила обработки информации, обязанности операторов и права граждан, которым принадлежат персональные данные.

2. Приказ ФСТЭК России № 21. Описывает организационные и технические меры обеспечения безопасности ПДн при обработке в информационных системах – ИСПДн.

При организации защиты персональных данных необходимо предусмотреть:

• установление требуемого уровня защищенности с учетом условий обработки ПДн и актуальных угроз по правилам постановления Правительства РФ № 1119;

• выбор средств защиты информации, прошедших оценку соответствия, когда их применение необходимо для нейтрализации актуальных угроз;

• разграничение доступа, учет событий безопасности и проверку целостности защищаемой информации.

Требования к сертификации зависят от условий применения СЗИ: любое несертифицированное ПО в ИСПДн нельзя автоматически считать нарушением. Ответственность определяется характером нарушения и применимыми нормами законодательства.

Основные классы СЗИ

Безопасность инфраструктуры обеспечивают разные средства защиты информации. Рассмотрим распространенные категории продуктов и задачи, для которых они предназначены.

Межсетевые экраны (МЭ / Firewall / NGFW)

Такие решения разрешают или запрещают прохождение сетевого трафика в соответствии с установленными правилами.

• Stateless – без учета состояния соединения: рассматривают пакеты по отдельности, проверяя адреса и порты отправителя и получателя.

• Stateful – с контролем состояния: отслеживают активные соединения и учитывают принадлежность пакетов к конкретным сессиям.

• NGFW – межсетевые экраны нового поколения: распознают приложения и протоколы, управляют доступом к сервисам и могут включать фильтрацию веб-ресурсов.

Системы обнаружения и предотвращения вторжений (IDS / IPS)

• IPS – в режиме In-line: размещается на пути прохождения трафика. Выявляет признаки атак с помощью доступных методов анализа и может блокировать опасную активность.

• IDS – в пассивном режиме: получает копию трафика, например через SPAN-порт коммутатора. Обнаруживает подозрительные события и уведомляет администратора, не прерывая соединения.

DLP-системы (Data Leak Prevention)

Используются для выявления и предотвращения неразрешенной передачи конфиденциальной информации за границы организации.

• Контролируют доступные для конкретного продукта каналы: электронную почту, веб-сервисы, мессенджеры, съемные носители, печать и буфер обмена.

• Определяют чувствительные сведения по регулярным выражениям, цифровым отпечаткам документов, словарям, лингвистическим признакам и меткам.

• По способу развертывания бывают агентскими, работающими на конечных устройствах, и сетевыми, анализирующими проходящий трафик.

SIEM-системы (Security Information and Event Management)

Получают события безопасности от серверов, сетевых устройств, антивирусных продуктов, DLP и других источников, приводя записи к общему формату.

• Связывают сведения из разных журналов на основе корреляционных правил.

• Помогают обнаруживать многоэтапные атаки и разбирать инциденты в единой рабочей среде.

Песочницы (Sandbox)

Представляют собой изолированные среды, в которых исследуют поведение потенциально опасных файлов.

• Выполняют подозрительные вложения и загруженные объекты в контролируемой операционной системе.

• Отслеживают запуск процессов, обращения к сети и изменения системных компонентов.

• Помогают обнаруживать неизвестные вредоносные объекты, в том числе использующие ранее не выявленные уязвимости.

На что ориентироваться при выборе СЗИ с небольшим бюджетом

Сократить расходы на приобретение и дальнейшее использование защитных решений помогают следующие критерии.

1. Соответствие требованиям к сертификации. Если для вашей системы необходимы сертифицированные СЗИ, проверьте документы ФСТЭК или ФСБ России и область их действия.

2. Объединение нескольких механизмов защиты. Рассматривайте продукты, которые решают несколько задач с помощью общего агента или централизованной системы управления.

3. Работа в существующей ИТ-среде. Уточните, совместимо ли решение с имеющимися серверами, операционными системами и прикладными программами без масштабной модернизации.

4. Приемлемая совокупная стоимость владения (TCO). Помимо лицензий, рассчитайте затраты на внедрение, подготовку сотрудников, сопровождение и продление технической поддержки.

Secret Net Studio – пример объединения защитных функций

Для рабочих станций и серверов можно рассмотреть комплексные продукты класса Endpoint Security. Один из вариантов такого подхода – Secret Net Studio.

В составе решения предусмотрены различные механизмы обеспечения безопасности:

• Противодействие несанкционированному доступу: настройка полномочий пользователей, контроль целостности файлов и элементов реестра.

• Персональный межсетевой экран и средства обнаружения и предотвращения вторжений.

• Управление подключаемыми устройствами, включая ограничение использования съемных USB-носителей и другой периферии.

• Антивирусная защита и централизованная работа с событиями безопасности.

Комплексный продукт может обеспечить реализацию части мер, предусмотренных приказом ФСТЭК № 21, и сократить число отдельных инструментов. При этом состав модулей, условия лицензирования и применимость выбранной версии необходимо уточнять до покупки.

Последовательность действий при подборе СЗИ

1. Установите необходимый уровень защищенности ИСПДн по постановлению Правительства РФ № 1119 с учетом особенностей обработки данных и актуальных угроз

2. Подготовьте набор требуемых мер защиты, опираясь на приказ ФСТЭК № 21 и характеристики вашей информационной системы.

3. Организуйте пилотное внедрение в отдельном сегменте, чтобы оценить совместимость СЗИ с 1С, системами управления базами данных и офисными приложениями.

4. Уточните статус и область действия сертификатов, если они необходимы: проверьте версию, исполнение продукта и предусмотренные условия эксплуатации.

5. Развертывайте защиту последовательно: определяйте очередность по критичности узлов, начиная с проверенной на пилоте конфигурации и предусмотрев возможность отката.

Распространенные ошибки при покупке СЗИ

• Невнимание к требованиям сертификации. Если выбранный продукт не соответствует обязательным условиям применения, могут потребоваться дополнительные расходы на его замену и повторное внедрение.

• Отказ от организационной подготовки. Без правил доступа, внутренних инструкций и понятного распределения ответственности даже современные технические инструменты работают менее эффективно.

• Внедрение без предварительной проверки. Установка защитного ПО сразу во всей инфраструктуре повышает риск конфликтов с приложениями и перебоев в работе важных сервисов.

• Отсутствие надежных резервных копий. Защитные продукты не исключают все атаки и технические отказы. Изолированные копии и регулярная проверка восстановления помогают ограничить последствия инцидента.

Рациональные расходы на информационную безопасность начинаются с аудита, определения обязательных мер и выбора подходящих комплексных решений. Поэтапное внедрение с проверкой совместимости помогает повысить защищенность инфраструктуры без покупки избыточного набора инструментов.