Выбор средств контроля безопасности и анализ разрывов

Предупреждающие меры блокируют угрозы до того, как они приведут к успеху (межсетевые экраны, управление доступом, шифрование). Выявляющие меры обнаруживают уже произошедшие угрозы (IDS, журналирование, аудиты). Корректирующие меры уменьшают последствия после инцидента (резервные копии, планы IR, исправления). Эшелонированная защита требует всех трёх типов.

Меры безопасности охватывают несколько направлений: физические (замки, камеры), технические (межсетевые экраны, MFA), административные (политики, обучение). Для конкретного риска выбирайте взаимодополняющие меры из разных категорий: техническая мера, подкреплённая административной политикой и физической защитой, создаёт настоящую эшелонированную защиту.

Выбирайте меры, соразмерные риску. Рассчитывайте остаточный риск: исходный риск минус эффективность мер безопасности. Риски с высокой вероятностью и тяжёлыми последствиями оправдывают дорогостоящие меры. Риски с низкой вероятностью и незначительными последствиями можно принять без дополнительных мер. Документируйте обоснование выбранного способа обработки риска.

NIST 800-53, редакция 5, содержит более 1 000 мер безопасности, организованных в 20 семейств (AC, AU, CA, CM и т. д.). Федеральные ведомства и подрядчики должны внедрять определённые базовые уровни (низкий, средний или высокий). Этот каталог — наиболее полный доступный справочник технических мер безопасности.

Анализ пробелов сопоставляет текущее состояние безопасности с целевым базовым уровнем рамки. Этапы: (1) задокументировать внедрённые меры, (2) сопоставить их с мерами рамки, (3) выявить невнедрённые или частично внедрённые меры, (4) расставить приоритеты для пробелов по уровню риска, (5) создать дорожную карту устранения.

Если идеальную меру невозможно внедрить из-за стоимости, эксплуатационных ограничений или устаревших систем, применяйте компенсирующие меры, обеспечивающие эквивалентное снижение риска альтернативными способами. Документируйте обоснование компенсирующей меры для аудиторов и принятия риска.

Меры необходимо проверять, а не считать работоспособными по умолчанию. Проверяйте предупреждающие меры, пытаясь выполнить заблокированное действие. Проверяйте выявляющие меры, имитируя событие и подтверждая его обнаружение. Проверяйте корректирующие меры с помощью настольных учений и тренировок восстановления.

Критически важные меры безопасности CIS (18 мер) — это приоритетные практические средства защиты. Группы внедрения (IG1/IG2/IG3) охватывают диапазон от базовой гигиены для небольших организаций до сложных мер для крупных предприятий. IG1 обеспечивает базовую защиту с наибольшим эффектом при минимально необходимом уровне безопасности.

Результаты анализа пробелов превращаются в дорожную карту зрелости: расставляйте приоритеты по снижению риска на единицу затрат, объединяйте меры в квартальные циклы работы, отслеживайте прогресс по этапам зрелости и сообщайте о нём руководству языком бизнес-рисков, а не техническим жаргоном.

Управление рисками третьих сторон требует оценки мер безопасности в цепочке поставок. Анкеты по безопасности, отчёты SOC 2, сертификаты ISO 27001 и краткие отчёты о проверках на проникновение подтверждают эффективность мер поставщиков. Для поставщиков с высоким риском могут потребоваться проверки на их территории.

Со временем меры безопасности теряют эффективность: уровень установки исправлений снижается, конфигурации отклоняются от заданных, права доступа накапливаются. Непрерывный мониторинг мер с помощью автоматизированных инструментов соответствия («Конфигурация AWS», «Политика Azure», SCC) поддерживает состояние мер в реальном времени, а не формирует снимок на конкретный момент, как при ежегодных аудитах.

В чём разница между превентивными и обнаруживающими мерами контроля безопасности?

Выбор мер контроля связывает выявленные риски с соответствующими превентивными, обнаруживающими и корректирующими мерами в физических, технических и административных категориях. Анализ пробелов выявляет отсутствующие меры относительно базовых требований соответствующих стандартов, а дорожная карта с приоритетами по риску обеспечивает систематическое улучшение в направлении измеримой зрелости безопасности.