1. Вводная часть

Актуальность. В последние годы количество кибератак в России выросло на 35% по сравнению с предыдущим годом, а 77% компаний за последние два года хотя бы раз сталкивались с киберинцидентом. При этом средняя стоимость одного инцидента оценивается примерно в 27 миллионов рублей. Парадокс в том, что большинство атакованных организаций имели внедрённые средства защиты: антивирусы, межсетевые экраны, DLP-системы. Почему же они не сработали?

Суть проблемы. Наличие средств защиты информации (СЗИ) часто воспринимается как синоним защищённости. Однако на практике это не так. Средства защиты — лишь инструмент, и их эффективность напрямую зависит от того, как они настроены, используются и сопровождаются. Без встроенных процессов управления, регулярного пересмотра угроз и обучения персонала даже сертифицированные решения превращаются в «бумажных тигров».

На кого распространяется. Проблема актуальна для всех категорий организаций:

  • Субъекты КИИ — обязаны защищать объекты в соответствии с требованиями ФСТЭК и приказами.
  • Операторы персональных данных — должны соблюдать 152-ФЗ и приказы ФСТЭК №21.
  • Госорганы и финансовый сектор — требования регуляторов (Банк России, ФСТЭК) к защите информации носят обязательный характер.
  • Малый и средний бизнес — хотя требования для них менее строгие, угрозы не менее актуальны, а ошибки в использовании СЗИ обходятся критично.

Для специалистов ИБ, DPO, ИТ-администраторов и руководителей понимание этого разрыва между «внедрено» и «защищено» — ключевой навык.

2. Почему покупка средств защиты не гарантирует безопасность

2.1. Иллюзия безопасности

Когда руководство видит в бюджете строки на антивирус и межсетевой экран, возникает ложное чувство защищённости. Внимание к обновлениям, анализу логов и пересмотру политик снижается. Между тем угрозы эволюционируют, а средства защиты без регулярной поддержки устаревают. Как показывает практика, многие инциденты происходят именно из-за того, что СЗИ были установлены, но не обновлялись или были отключены.

2.2. Формальный подход без учёта контекста

Средства защиты часто внедряются «для галочки» — для прохождения аудита или соответствия регуляторным требованиям. При этом не учитываются реальные бизнес-процессы, архитектура системы и актуальные угрозы. Например, мощная система контроля доступа не будет эффективной, если права пользователей изначально назначены некорректно.

Это напрямую связано с качеством технического задания (ТЗ). Согласно требованиям Банка России и ГОСТ 34.602-89, требования к защите информации должны формулироваться в ТЗ ещё на этапе проектирования системы. Однако если ТЗ составляется формально, без анализа актуальных угроз и специфики бизнес-процессов, то и система защиты будет работать фрагментарно.

2.3. Человеческий фактор

Даже самые современные технические решения не способны полностью компенсировать ошибки людей. Социальная инженерия, фишинг, использование слабых паролей и обход установленных правил — одна из главных причин инцидентов. Средства защиты могут быть внедрены, но не использоваться или использоваться неправильно.

2.4. Отсутствие процессов и управления

Защищённость — это непрерывный процесс, а не набор инструментов. Без налаженных процедур управления уязвимостями, реагирования на инциденты и обучения персонала средства защиты работают изолированно. Они не образуют целостной системы.

2.5. Несоответствие актуальным угрозам

Часто средства защиты ориентированы на известные и прошлые угрозы, тогда как современные атаки используют сложные, комбинированные методы. Если не проводится регулярная оценка рисков и моделирование угроз, внедрённые решения могут просто «не видеть» реальные атаки.

3. Как было → Как стало: эволюция угроз и средств защиты

Для наглядного понимания проблемы рассмотрим, как менялись подходы к защите информации и как сегодняшние угрозы превосходят «классические» средства защиты.

Аспект Как было (5–10 лет назад) Как стало (сегодня)
Угрозы В основном вирусы, черви, атаки на известные уязвимости. Целенаправленные атаки, APT-группы, комбинированные схемы, социальная инженерия, атаки на цепочки поставок.
Средства защиты Антивирусы, файрволы, DLP как отдельные продукты. Комплексные платформы с элементами AI/ML, SIEM, SOAR, EDR. Однако многие компании продолжают использовать «классические» решения без интеграции.
Подход к внедрению Установка «из коробки» с настройками по умолчанию. Требуется глубокая настройка под архитектуру, бизнес-процессы и актуальную модель угроз.
Человеческий фактор Считался второстепенным. Признан главным вектором атак. Основной упор — на обучение и повышение осведомлённости.
Управление и процессы Системы работали автономно, без единого центра управления. Требуется интеграция с системами мониторинга, процессами реагирования на инциденты и управления уязвимостями.
Критерии эффективности Наличие сертификата ФСТЭК или факт установки. Измерение эффективности через вероятностные показатели: процент заблокированных угроз, время обнаружения и реагирования.

4. Главные ошибки при внедрении и их последствия

На практике специалисты сталкиваются с типичными ошибками, которые сводят на нет усилия по защите:

Ошибка 1. Внедрение без оценки актуальных угроз. Если не разработана или не актуализирована модель угроз, средства защиты могут быть выбраны неверно. Например, защита от внешних атак не поможет против инсайдера, если не настроен контроль доступа и логирование.

Ошибка 2. Установка СЗИ «как есть». Настройки по умолчанию — это самый быстрый путь к инциденту. Злоумышленники хорошо знают стандартные конфигурации. Требуется первичное определение параметров настройки технических защитных мер и их регулярный пересмотр.

Ошибка 3. Экономия на обучении. Сотрудники, не знакомые с угрозами, становятся уязвимым звеном. Даже самая дорогая DLP-система не остановит фишинг, если сотрудник сам введёт логин и пароль на поддельном сайте.

Ошибка 4. Отсутствие интеграции. Средства защиты работают изолированно, а не как единая система. Это приводит к тому, что сложные многоэтапные атаки остаются незамеченными.

Ошибка 5. Игнорирование управления уязвимостями. Даже при наличии всех СЗИ не закрытые вовремя уязвимости в системах и ПО сводят защиту к нулю.

5. Что делать: алгоритм перехода от формальности к защищённости

Чтобы средства защиты действительно работали, а не создавали иллюзию безопасности, необходимо выстроить процессный подход. Вот пошаговый алгоритм:

  1. Провести аудит и пересмотреть модель угроз. Оцените текущие риски с учётом специфики вашего бизнеса и последних тенденций. Уточните, какие угрозы для вас наиболее актуальны. Модель угроз должна быть актуализирована не реже раза в год или при изменениях в архитектуре.
  2. Пересмотреть техническое задание. В ТЗ на СЗИ должны быть заложены не только формальные требования, но и конкретные показатели эффективности. Например, вероятность обнаружения атаки, время реакции на инцидент, процент ложных срабатываний.
  3. Настроить и интегрировать средства защиты. Перенастройте имеющиеся решения под актуальную модель угроз. Внедрите централизованное управление и контроль параметров настройки СЗИ. Интегрируйте их с SIEM-системой для сбора и корреляции событий.
  4. Внедрить процессы управления уязвимостями. Регулярно сканируйте инфраструктуру на наличие уязвимостей и оперативно закрывайте их. Это снижает количество точек входа для злоумышленников.
  5. Обучить персонал. Разработайте программу повышения осведомлённости по ИБ. Регулярно проводите тренировки по распознаванию фишинга и действиям при подозрительных ситуациях.
  6. Измерять эффективность. Введите метрики: количество инцидентов, время обнаружения и устранения, процент обновлённых систем. Это позволит объективно оценивать уровень защищённости.

6. Заключение

Главная мысль статьи: «Внедрённые средства защиты» ≠ «Защищённость». Это два разных состояния. Средства защиты — это лишь инструменты, которые могут быть эффективными только в руках грамотных специалистов, встроенные в чёткие процессы и регулярно пересматриваемые с учётом меняющихся угроз.

Ожидаемый эффект от внедрения правильного подхода — это не просто формальное соответствие требованиям регуляторов, а реальное снижение рисков и минимизация ущерба от инцидентов.

7. Чек-лист для самопроверки

Пройдите по каждому пункту и отмечайте кликом, что уже сделано. Вы можете сохранить отмеченный чек-лист в формате Word или сбросить все отметки.

Выполнено: 0 из 10
  • Разработана и актуализирована модель угроз (последние 12 месяцев)
  • Техническое задание на СЗИ включает показатели эффективности
  • Все СЗИ настроены не по умолчанию, а под конкретную архитектуру
  • Средства защиты интегрированы в единую систему мониторинга (SIEM)
  • Проведено сканирование уязвимостей (последние 3 месяца)
  • Проведено обучение персонала по ИБ (последние 6 месяцев)
  • Разработан и протестирован план реагирования на инциденты
  • Есть метрики эффективности СЗИ и они регулярно анализируются
  • Регулярно обновляется ПО СЗИ и сигнатурные базы (не реже 1 раза в месяц)
  • Проведена внутренняя проверка (аудит) системы защиты

При сохранении в Word отметки (✓) и прогресс будут включены в документ.

8. Как компания МАСО ИТ помогает

Как МАСО ИТ освещает эту тему в программах и курсах

В курсах по информационной безопасности, КИИ и защите персональных данных мы уделяем особое внимание практическим аспектам внедрения и эксплуатации СЗИ. Слушатели разбирают реальные кейсы, когда формальное наличие защиты не спасало от инцидентов, и учатся выстраивать процессы, а не просто устанавливать продукты.

Подход в обучении

Мы используем кейс-метод, тренажёры и разбор реальных ситуаций. Наши программы разработаны с учётом требований ФСТЭК России и актуальных регуляторных документов, что позволяет выпускникам не просто знать теорию, но и применять навыки на практике.

Связанные материалы (статьи в блоге МАСО ИТ)

9. FAQ

Могут ли сертифицированные средства защиты считаться гарантией безопасности?
Нет. Сертификат ФСТЭК подтверждает, что средство соответствует определённым требованиям, но не гарантирует, что оно правильно настроено и используется в вашей организации. Эффективность зависит от контекста.
Что делать, если бюджет на ИБ ограничен, но нужно усилить защиту?
Начните с аудита и приоритизации рисков. Часто самые дешёвые меры (например, обучение сотрудников, смена паролей по умолчанию, регулярное обновление) дают наибольший эффект.
Как измерить, что средства защиты работают эффективно?
Введите метрики: процент заблокированных атак, время обнаружения инцидента (MTTD), время реагирования (MTTR), количество инцидентов за период. Используйте вероятностные показатели эффективности.
Обязательно ли разрабатывать отдельное ТЗ на систему защиты информации?
Да, согласно ГОСТ 34.602-89 и регуляторным требованиям, требования к защите информации должны быть включены в ТЗ на создание автоматизированной системы или разработаны как отдельный документ.
Как часто нужно пересматривать модель угроз?
Не реже одного раза в год, а также при любых существенных изменениях в архитектуре системы, бизнес-процессах или появлении новых угроз.
Может ли обучение персонала заменить покупку дорогих СЗИ?
Нет, но оно является обязательным элементом комплексной защиты. Обучение усиливает эффективность технических средств и снижает человеческий фактор.

10. Об авторе

Халяпин Владислав — эксперт в области информационной безопасности и преподаватель МАСО ИТ. Имеет практический опыт внедрения систем защиты информации на объектах КИИ и в коммерческих организациях. Специализируется на вопросах управления рисками, разработке технических заданий и обучении персонала.

Страница автора: https://maso-it.ru/author

Хотите научиться выстраивать реальную защиту, а не формальную?

Запишитесь на консультацию по курсам →