Меры защиты, аудиты и сертификация

Выбрать структуру — самая простая часть. Сложнее всего внедрить средства контроля, а затем доказать их работоспособность с помощью аудитов и, если требуется, получить сертификацию.

В этом уроке рассматривается практический путь: как на самом деле выглядят средства контроля, какие виды доказательств ожидают аудиторы, как проходит аудит и что означает сертификат, а чего он не означает.

Средства контроля делятся на три классические категории в зависимости от того, как они снижают риски:

• Предупреждающие — предотвращают инцидент (MFA, межсетевые экраны, минимально необходимые привилегии).
• Обнаруживающие — выявляют инцидент во время его развития или после него (ведение журналов, оповещения SIEM, мониторинг целостности файлов).
• Корректирующие — восстанавливают системы и ограничивают ущерб после инцидента (резервные копии, установка исправлений, реагирование на инциденты).

Надёжная программа сочетает все три типа; если полагаться только на предотвращение, Вы не сможете увидеть, что происходит после отказа этого механизма.

Средства контроля также классифицируются по своей природе:

• Административные — политики, процедуры, обучение, проверки доступа.
• Технические — реализованные с помощью технологий: шифрование, контроль доступа, ведение журналов.
• Физические — замки, считыватели пропусков, защищённые помещения.

Аудиторы проверяют наличие всех трёх типов. Идеальное техническое средство контроля, которое подрывается политикой, никто не соблюдает, не является настоящим средством контроля.

Аудиторы оценивают средства контроля по двум направлениям:

• Эффективность проектирования — способно ли средство контроля при работе согласно замыслу устранить соответствующий риск?
• Эффективность эксплуатации — действительно ли оно стабильно работает в течение определённого периода?

Средство контроля может быть хорошо спроектировано на бумаге, но не работать на практике (например, проверка журналов, которую на самом деле никто не выполняет). Доказательства должны подтверждать оба аспекта.

Аудиты проводятся на основе доказательств. Для каждого средства контроля необходимо показать, что оно работает. Типичные документы:

• Записи проверок доступа, подтверждающие ежеквартальную повторную сертификацию.
• Журналы и заявки, доказывающие, что оповещения были расследованы.
• Экспорты конфигураций, показывающие, что шифрование или MFA принудительно включены.
• Записи о прохождении обучения.

Аудиторы используют выборочную проверку. Они выбирают средство контроля, запрашивают подтверждения за определённый период и прослеживают весь процесс от начала до конца.

Существует два уровня аудита:

• Внутренний аудит — Вы или нанятый внутренний аудитор проверяете собственную ISMS, чтобы выявить недостатки до внешнего аудита. ISO 27001 требует проводить такой аудит.
• Внешний аудит / аудит для сертификации — аккредитованный независимый орган оценивает Вас для выдачи сертификата.

Внутренний аудит — это репетиция. Обнаружить собственные несоответствия заранее гораздо дешевле, чем позволить органу по сертификации обнаружить их.

Сертификация по ISO 27001 проходит в два этапа:

• Этап 1 — проверка документации. Аудитор проверяет наличие и согласованность документов ISMS, области действия, политики, оценки рисков и заявления о применимости.
• Этап 2 — аудит внедрения. Аудитор проверяет, действительно ли работают средства контроля, проводя интервью, выборочную проверку доказательств и наблюдение.

После успешного прохождения обоих этапов Вы получаете сертификат, обычно действующий три года при условии регулярных надзорных проверок.

По итогам аудитов формируются результаты, классифицируемые по степени серьёзности:

• Существенное несоответствие — средство контроля отсутствует или полностью не работает; сертификация невозможна до устранения проблемы.
• Незначительное несоответствие — недочёт, не подрывающий работу всей системы; требуется план корректирующих действий.
• Замечание / возможность для улучшения — рекомендация, не являющаяся основанием для отказа.

В ответ Вы предоставляете план корректирующих действий: первопричину, исправление и меры для предотвращения повторения.

Сертификация не является бессрочной. Сертификаты ISO 27001 действуют по следующему циклу:

• Надзорные аудиты — обычно ежегодные, более лёгкие проверки того, что ISMS продолжает работать.
• Аудит повторной сертификации — полная повторная оценка, обычно раз в три года.

Это поддерживает постоянную работу ISMS. Если допустить сбои в работе средств контроля между аудитами, на следующей надзорной проверке Вы рискуете потерять сертификат.

Зрелые команды избегают авральной подготовки к аудиту, обеспечивая непрерывное соответствие требованиям: автоматически собирают доказательства и постоянно поддерживают меры контроля в состоянии готовности к аудиту.

• Автоматизируйте сбор доказательств (проверок доступа, снимков конфигурации) по расписанию.
• Отслеживайте отклонения в мерах контроля, например открытие корзины S3 для общего доступа, в реальном времени.
• Рассматривайте соответствие требованиям как непрерывное состояние, а не как ежегодный проект.

Именно здесь также особенно полезны SOAR и средства автоматизации соответствия: они превращают разовые аудиты в постоянное подтверждение соответствия.

Иногда обязательную меру контроля действительно невозможно реализовать в предусмотренном виде: например, устаревшая система может не поддерживать MFA. Стандарты допускают компенсирующие меры контроля — альтернативный вариант, который достигает той же цели управления риском.

• Задокументируйте, почему исходную меру контроля невозможно реализовать.
• Опишите альтернативу (например, строгую изоляцию сети и усиленное наблюдение за устаревшей системой).
• Покажите, что она снижает риск до эквивалентного уровня.

Аудиторы принимают компенсирующие меры контроля, когда обоснование и эквивалентное снижение риска явно подтверждены, а не просто заявлены.

Рассуждайте об эффективности мер контроля с точки зрения аудитора.

Меры контроля, аудиты и сертификация:

• По функции меры контроля бывают превентивными, выявляющими или корректирующими, а по характеру — административными, техническими или физическими; используйте все уровни в совокупности.
• Аудиторы оценивают эффективность проектирования и эффективность работы мер контроля, причем для оценки работы нужны доказательства за определенный период.
• Внутренние аудиты выявляют пробелы до внешнего сертификационного аудита, который проходит в два этапа: этап 1 (документация) и этап 2 (реализация).
• Выявленные несоответствия варьируются от крупных и мелких до наблюдений; реагируйте на них с помощью планов корректирующих действий.
• Сертификаты требуют надзорных и повторных сертификационных аудитов; стремитесь к непрерывному соответствию требованиям, чтобы всегда быть готовыми к аудиту.