Как подготовиться к внедрению решения инфобезопасности

Внедрение решений ИБ часто сопровождается трудностями: сотрудники саботируют новые правила, инфраструктура не готова к изменениям, а ответственность за результат размыта. Причина провалов не в технологиях, а в недостаточной подготовке. Дмитрий Мельников, руководитель группы внедрения Контур.Эгиды, помог разобраться, как организовать процесс на стороне заказчика, чтобы внедрение прошло гладко и принесло реальную пользу.

Содержание

• Почему внедрение решений ИБ часто проходит сложно
• Что сделать до начала проекта: планирование и постановка целей
• Как оценить готовность инфраструктуры и персонала
• Как сформировать команду со стороны заказчика
• Как провести аудит и подготовить инфраструктуру
• Как работают специалисты-внедренцы
• Чек-лист готовности к внедрению
• Заключение: три принципа успешного внедрения

Почему внедрение решений ИБ часто проходит сложно

Руководитель IT-компании заказал систему защиты от утечек данных (DLP). Через полгода после внедрения система обнаружила только три инцидента, хотя ожидалось гораздо больше. Причина: инженер внедрения не получил доступ к реальным каналам передачи информации, сотрудники саботировали решение, а на должность ответственного за мониторинг никого не назначили.

Вот типичные сценарии провала:

• Ожидания не соответствуют возможностям. Заказчик надеется на «серебряную пулю», которая решит все проблемы сразу.
• Внедрение без цели. Компания покупает решение ИБ только потому, что «все так делают» или «аудиторы рекомендовали».
• Сопротивление сотрудников. Люди видят в системе ИБ угрозу, а не помощника.
• Инфраструктурные проблемы обнаруживаются уже в процессе внедрения, что приводит к простоям и переносам сроков.
• Нет ответственных за результат со стороны заказчика.

Избежать этих проблем можно на этапе подготовки, если честно ответить на вопросы: зачем нам это решение, как измерить успех, кто будет отвечать за результат и готова ли инфраструктура компании к изменениям.

Что сделать до начала проекта: планирование и постановка целей

Как сформулировать реальные бизнес-задачи для решения

Формулировка «нам нужен SIEM» или «хотим внедрить антифрод» — не бизнес-задача. Начните с проблемы, которую нужно решить:

• «Мы теряем около 2 млн рублей в год из-за мошенничеств с платежами»
• «За последний год случилось три утечки клиентских данных, одна из них привела к штрафу в 500 000 рублей»
• «Аудиторы указали на несоответствие требованиям 152-ФЗ, грозит штраф до 300 000 рублей»

Только после формулировки проблемы в цифрах можно говорить о выборе решения. Конкретная бизнес-задача позволяет поставщику предложить оптимальный вариант и адекватно оценить бюджет.

Почему важно заранее определить критерии успеха проекта

Проект считается успешным, когда достигнуты измеримые показатели. Для DLP-системы это может быть «выявление не менее 10 потенциальных утечек в квартал». Для антивируса — «блокировка 99% вредоносных программ без ложных срабатываний». Для системы аутентификации — «сокращение времени входа в систему на 30% при сохранении уровня защиты».

Запишите эти критерии в техническое задание. Они станут основой для приемки работ и помогут объективно оценить, справилось ли решение с поставленной задачей.

Как оценить готовность инфраструктуры и персонала

Предварительная оценка готовности включает:

• инвентаризацию IT-активов, которые нужно защитить
• аудит сетевой инфраструктуры
• оценку квалификации сотрудников, которые будут эксплуатировать систему
• анализ совместимости с существующими IT-системами

Компания из розничной торговли решила внедрить систему защиты веб-приложений. На этапе подготовки выяснилось, что их веб-сервера не справятся с дополнительной нагрузкой. Своевременное обновление оборудования до начала внедрения сэкономило три недели простоя в будущем.

Как сформировать команду со стороны заказчика

Ключевые роли, которые должны быть в команде заказчика:

• Руководитель проекта — координирует процесс, контролирует сроки, решает организационные вопросы.
• Технический спонсор — это руководитель с достаточными полномочиями, чтобы выделять ресурсы и принимать решения. Когда проект застопорится (а это случается всегда), именно он сможет сдвинуть процесс.
• Технический специалист — знает инфраструктуру заказчика и может оперативно предоставить доступы, схемы, провести нужные настройки.
• Бизнес-заказчик — понимает, какую проблему решаем, и может принимать решения о функциональности.
• Администратор безопасности — будет работать с системой после внедрения.

Для небольших проектов один человек может совмещать несколько ролей, но важно, чтобы каждая функция была закреплена документально.

Как провести аудит и подготовить инфраструктуру

Предварительный аудит: что и как проверяют специалисты

Перед внедрением систем информационной безопасности необходим технический аудит, который включает в себя:

1. Анализ сетевой инфраструктуры: топология, маршрутизация, пропускная способность.
2. Инвентаризацию оборудования и ПО: характеристики рабочих станций, версии ПО.
3. Проверку совместимости: взаимодействие с существующими системами безопасности.
4. Оценку производительности: загрузка каналов, серверов и рабочих станций.
5. Лицензионное соответствие: учет требований для нового ПО.

Требования к инфраструктуре зависят от типа внедряемого решения:

• Для защиты рабочих мест (антивирусы, DLP) важны характеристики станций, пропускная способность сети и централизованное управление
• Для сетевых решений (IDS/IPS, межсетевые экраны) критичны настройки маршрутизации и доступность точек мониторинга
• Для облачных сервисов необходимы стабильные каналы связи и совместимость с системами аутентификации

Результаты аудита ложатся в основу плана внедрения и помогают выявить потенциальные проблемы до начала активных работ.

Типичные проблемы инфраструктуры и как их устранить до старта проекта

Устаревшее оборудование. Решение: модернизировать критические элементы до начала внедрения.

Несогласованные настройки сети. Решение: стандартизировать конфигурацию сетевого оборудования.

Отсутствие актуальной документации. Решение: провести инвентаризацию ЛНА и составить новые документы.

Перегруженные каналы связи. Решение: оптимизировать трафик или увеличить пропускную способность.

Разрозненные системы управления доступом. Решение: внедрить единый каталог пользователей или систему SSO.

Устранение этих проблем до начала внедрения может показаться лишней тратой времени, но на практике экономит недели работы и сотни тысяч рублей.

Как работают специалисты-внедренцы

Профессиональное внедрение обычно включает следующие этапы:

1. Предпроектное обследование — анализ требований и инфраструктуры.
2. Проектирование — разработка архитектуры решения.
3. Развертывание — установка и базовая настройка.
4. Настройка — тонкая настройка под задачи заказчика.
5. Тестирование — проверка работоспособности.
6. Опытная эксплуатация — работа системы в тестовом режиме.
7. Обучение персонала — передача знаний команде заказчика.
8. Ввод в эксплуатацию — финальный переход на рабочий режим.

На каждом этапе требуется участие определенных специалистов со стороны заказчика. Планируйте их время заранее.

Опытные внедренцы обычно предлагают:

• Шаблоны документов (технического задания, плана внедрения, матрицы ответственности)
• Опросные листы для сбора информации об инфраструктуре
• Консультации по минимальным требованиям
• Демонстрацию решения на тестовой инфраструктуре
• Расчет необходимых ресурсов и предварительный план-график

Чем активнее заказчик взаимодействует с внедренцами на этапе подготовки, тем легче пройдет сам проект.

Кейс 1: Производственная компания с 500 сотрудниками внедряла систему защиты от утечек данных. На этапе подготовки провели опрос руководителей отделов, выяснили реальные каналы передачи информации и потенциальные риски. Это позволило правильно настроить политики и избежать блокировки легитимных бизнес-процессов. В результате система была принята пользователями, а не саботирована.

Кейс 2: Региональный банк внедрял систему многофакторной аутентификации. До начала основных работ провели пилотный проект с 20 пользователями, который выявил несовместимость с некоторыми бизнес-приложениями. Проблемы устранили до масштабного внедрения.

Чек-лист готовности к внедрению

Что нужно проверить до старта проекта

• Сформулирована бизнес-задача с измеримыми критериями успеха
• Определен бюджет проекта, включая скрытые расходы
• Назначены ответственные по всем ключевым ролям
• Проведен аудит инфраструктуры, выявлены и устранены критические проблемы
• Согласован детальный план внедрения с конкретными датами и ответственными
• Подготовлена тестовая среда для пилотного внедрения
• Разработан план коммуникаций и обучения персонала
• Определена процедура эскалации проблем

Заключение: три принципа успешного внедрения

1. Подготовка важнее технологий. Даже самое продвинутое решение не даст результата без правильно организованного процесса внедрения.
2. Заказчик и исполнитель — союзники. Внедрение — это совместный проект, успех которого зависит от обеих сторон.
3. Внедрение — это не установка, а изменение процессов. Любое решение ИБ меняет привычные рабочие процессы. Готовьте к этому команду заранее.

Тщательная подготовка к внедрению может занять до 30% от общего времени проекта, но именно она определяет, получите ли вы работающее решение с первого раза или будете месяцами исправлять ошибки.

Контур.Эгида — комплекс сервисов информационной безопасности для защиты бизнеса от внутренних угроз. Одно из преимуществ наших решений — безболезненное внедрение в инфраструктуру компании. Эксперты отдела внедрения помогут подготовиться к развертыванию, оптимизировать процесс и решить все возникающие вопросы.

16+. Реклама. АО «ПФ «СКБ Контур», ОГРН 1026605606620. 620144, Екатеринбург, ул. Народной Воли, 19А. ERID:2SDnjcXKKgT