Внедрение решений ИБ часто сопровождается трудностями: сотрудники саботируют новые правила, инфраструктура не готова к изменениям, а ответственность за результат размыта. Причина провалов не в технологиях, а в недостаточной подготовке. Дмитрий Мельников, руководитель группы внедрения Контур.Эгиды, помог разобраться, как организовать процесс на стороне заказчика, чтобы внедрение прошло гладко и принесло реальную пользу.
Содержание
- Почему внедрение решений ИБ часто проходит сложно
- Что сделать до начала проекта: планирование и постановка целей
- Как оценить готовность инфраструктуры и персонала
- Как сформировать команду со стороны заказчика
- Как провести аудит и подготовить инфраструктуру
- Как работают специалисты-внедренцы
- Чек-лист готовности к внедрению
- Заключение: три принципа успешного внедрения
Почему внедрение решений ИБ часто проходит сложно
Руководитель IT-компании заказал систему защиты от утечек данных (DLP). Через полгода после внедрения система обнаружила только три инцидента, хотя ожидалось гораздо больше. Причина: инженер внедрения не получил доступ к реальным каналам передачи информации, сотрудники саботировали решение, а на должность ответственного за мониторинг никого не назначили.
Вот типичные сценарии провала:
- Ожидания не соответствуют возможностям. Заказчик надеется на «серебряную пулю», которая решит все проблемы сразу.
- Внедрение без цели. Компания покупает решение ИБ только потому, что «все так делают» или «аудиторы рекомендовали».
- Сопротивление сотрудников. Люди видят в системе ИБ угрозу, а не помощника.
- Инфраструктурные проблемы обнаруживаются уже в процессе внедрения, что приводит к простоям и переносам сроков.
- Нет ответственных за результат со стороны заказчика.
Избежать этих проблем можно на этапе подготовки, если честно ответить на вопросы: зачем нам это решение, как измерить успех, кто будет отвечать за результат и готова ли инфраструктура компании к изменениям.
Что сделать до начала проекта: планирование и постановка целей
Как сформулировать реальные бизнес-задачи для решения
Формулировка «нам нужен SIEM» или «хотим внедрить антифрод» — не бизнес-задача. Начните с проблемы, которую нужно решить:
- «Мы теряем около 2 млн рублей в год из-за мошенничеств с платежами»
- «За последний год случилось три утечки клиентских данных, одна из них привела к штрафу в 500 000 рублей»
- «Аудиторы указали на несоответствие требованиям 152-ФЗ, грозит штраф до 300 000 рублей»
Только после формулировки проблемы в цифрах можно говорить о выборе решения. Конкретная бизнес-задача позволяет поставщику предложить оптимальный вариант и адекватно оценить бюджет.
Почему важно заранее определить критерии успеха проекта
Проект считается успешным, когда достигнуты измеримые показатели. Для DLP-системы это может быть «выявление не менее 10 потенциальных утечек в квартал». Для антивируса — «блокировка 99% вредоносных программ без ложных срабатываний». Для системы аутентификации — «сокращение времени входа в систему на 30% при сохранении уровня защиты».
Запишите эти критерии в техническое задание. Они станут основой для приемки работ и помогут объективно оценить, справилось ли решение с поставленной задачей.
Как оценить готовность инфраструктуры и персонала
Предварительная оценка готовности включает:
- инвентаризацию IT-активов, которые нужно защитить
- аудит сетевой инфраструктуры
- оценку квалификации сотрудников, которые будут эксплуатировать систему
- анализ совместимости с существующими IT-системами
Компания из розничной торговли решила внедрить систему защиты веб-приложений. На этапе подготовки выяснилось, что их веб-сервера не справятся с дополнительной нагрузкой. Своевременное обновление оборудования до начала внедрения сэкономило три недели простоя в будущем.
Как сформировать команду со стороны заказчика
Ключевые роли, которые должны быть в команде заказчика:
- Руководитель проекта — координирует процесс, контролирует сроки, решает организационные вопросы.
- Технический спонсор — это руководитель с достаточными полномочиями, чтобы выделять ресурсы и принимать решения. Когда проект застопорится (а это случается всегда), именно он сможет сдвинуть процесс.
- Технический специалист — знает инфраструктуру заказчика и может оперативно предоставить доступы, схемы, провести нужные настройки.
- Бизнес-заказчик — понимает, какую проблему решаем, и может принимать решения о функциональности.
- Администратор безопасности — будет работать с системой после внедрения.
Для небольших проектов один человек может совмещать несколько ролей, но важно, чтобы каждая функция была закреплена документально.
Как провести аудит и подготовить инфраструктуру
Предварительный аудит: что и как проверяют специалисты
Перед внедрением систем информационной безопасности необходим технический аудит, который включает в себя:
- Анализ сетевой инфраструктуры: топология, маршрутизация, пропускная способность.
- Инвентаризацию оборудования и ПО: характеристики рабочих станций, версии ПО.
- Проверку совместимости: взаимодействие с существующими системами безопасности.
- Оценку производительности: загрузка каналов, серверов и рабочих станций.
- Лицензионное соответствие: учет требований для нового ПО.
Требования к инфраструктуре зависят от типа внедряемого решения:
- Для защиты рабочих мест (антивирусы, DLP) важны характеристики станций, пропускная способность сети и централизованное управление
- Для сетевых решений (IDS/IPS, межсетевые экраны) критичны настройки маршрутизации и доступность точек мониторинга
- Для облачных сервисов необходимы стабильные каналы связи и совместимость с системами аутентификации
Результаты аудита ложатся в основу плана внедрения и помогают выявить потенциальные проблемы до начала активных работ.
Типичные проблемы инфраструктуры и как их устранить до старта проекта
Устаревшее оборудование. Решение: модернизировать критические элементы до начала внедрения.
Несогласованные настройки сети. Решение: стандартизировать конфигурацию сетевого оборудования.
Отсутствие актуальной документации. Решение: провести инвентаризацию ЛНА и составить новые документы.
Перегруженные каналы связи. Решение: оптимизировать трафик или увеличить пропускную способность.
Разрозненные системы управления доступом. Решение: внедрить единый каталог пользователей или систему SSO.
Устранение этих проблем до начала внедрения может показаться лишней тратой времени, но на практике экономит недели работы и сотни тысяч рублей.
Как работают специалисты-внедренцы
Профессиональное внедрение обычно включает следующие этапы:
- Предпроектное обследование — анализ требований и инфраструктуры.
- Проектирование — разработка архитектуры решения.
- Развертывание — установка и базовая настройка.
- Настройка — тонкая настройка под задачи заказчика.
- Тестирование — проверка работоспособности.
- Опытная эксплуатация — работа системы в тестовом режиме.
- Обучение персонала — передача знаний команде заказчика.
- Ввод в эксплуатацию — финальный переход на рабочий режим.
На каждом этапе требуется участие определенных специалистов со стороны заказчика. Планируйте их время заранее.
Опытные внедренцы обычно предлагают:
- Шаблоны документов (технического задания, плана внедрения, матрицы ответственности)
- Опросные листы для сбора информации об инфраструктуре
- Консультации по минимальным требованиям
- Демонстрацию решения на тестовой инфраструктуре
- Расчет необходимых ресурсов и предварительный план-график
Чем активнее заказчик взаимодействует с внедренцами на этапе подготовки, тем легче пройдет сам проект.
Кейс 1: Производственная компания с 500 сотрудниками внедряла систему защиты от утечек данных. На этапе подготовки провели опрос руководителей отделов, выяснили реальные каналы передачи информации и потенциальные риски. Это позволило правильно настроить политики и избежать блокировки легитимных бизнес-процессов. В результате система была принята пользователями, а не саботирована.
Кейс 2: Региональный банк внедрял систему многофакторной аутентификации. До начала основных работ провели пилотный проект с 20 пользователями, который выявил несовместимость с некоторыми бизнес-приложениями. Проблемы устранили до масштабного внедрения.
Чек-лист готовности к внедрению
Что нужно проверить до старта проекта
- Сформулирована бизнес-задача с измеримыми критериями успеха
- Определен бюджет проекта, включая скрытые расходы
- Назначены ответственные по всем ключевым ролям
- Проведен аудит инфраструктуры, выявлены и устранены критические проблемы
- Согласован детальный план внедрения с конкретными датами и ответственными
- Подготовлена тестовая среда для пилотного внедрения
- Разработан план коммуникаций и обучения персонала
- Определена процедура эскалации проблем
Заключение: три принципа успешного внедрения
- Подготовка важнее технологий. Даже самое продвинутое решение не даст результата без правильно организованного процесса внедрения.
- Заказчик и исполнитель — союзники. Внедрение — это совместный проект, успех которого зависит от обеих сторон.
- Внедрение — это не установка, а изменение процессов. Любое решение ИБ меняет привычные рабочие процессы. Готовьте к этому команду заранее.
Тщательная подготовка к внедрению может занять до 30% от общего времени проекта, но именно она определяет, получите ли вы работающее решение с первого раза или будете месяцами исправлять ошибки.
Контур.Эгида — комплекс сервисов информационной безопасности для защиты бизнеса от внутренних угроз. Одно из преимуществ наших решений — безболезненное внедрение в инфраструктуру компании. Эксперты отдела внедрения помогут подготовиться к развертыванию, оптимизировать процесс и решить все возникающие вопросы.
16+. Реклама. АО «ПФ «СКБ Контур», ОГРН 1026605606620. 620144, Екатеринбург, ул. Народной Воли, 19А. ERID:2SDnjcXKKgT