Вопросы комментируют:
Руслан Шарифуллин, менеджер по развитию бизнеса Solar SafeInspect ГК «Солар»
Руслан Рахметов, генеральный директор Security Vision
Максим Долгинин, руководитель направления развития продуктов кибербезопасности Cloud.ru
Сергей Коловангин, начальник отдела ИТ компании «Газинформсервис»
Вопрос 1. Будут ли результаты работ измеримыми?
Обсудите с поставщиком набор ключевых показателей: что должно измениться после проекта, какие риски должны быть снижены, по каким критериям будет приниматься работа. Важно заранее договориться, что считается результатом: количество устраненных уязвимостей, доля защищенных систем, время обнаружения инцидента и реакции на него и т.д. Чем меньше в ответах формулировок вроде «повысить уровень безопасности» и больше конкретных критериев, тем лучше.
Измерить эффективность кибербезопасности достаточно сложно. В ответ от подрядчика можно получить перечень метрик и показателей, которые позволят объективно оценить качество выстроенной киберзащиты. Среднее время обнаружения взлома, скорость реагирования на инцидент, оперативность устранения уязвимостей — эти метрики помогут оценить уровень зрелости и качества предлагаемой услуги.
Руслан РахметовSecurity Vision
Вопрос 2. Кто персонально будет выполнять работу?
За работой подрядчика по безопасности всегда стоят конкретные люди. Именно они будут анализировать инфраструктуру, искать уязвимости и принимать решения в критический момент. Поэтому полезно заранее понимать, кто именно будет отвечать за вашу безопасность.
Спросите, кто входит в рабочую команду, кто будет руководить работами, кто заменит ключевого эксперта в случае его отсутствия. Отдельно стоит выяснить, какие работы выполняются штатными сотрудниками поставщика, а какие передаются субподрядчикам. Если подрядчик обещает «команду экспертов», но не может назвать людей и зоны их ответственности, это повод насторожиться.
Вы должны получить организацию проекта, роли участников, обработку рисков в части сроков и компетенций. Дополнительно — подтверждение опыта (возможно, с референсами от других заказчиков), сертификаты у специалистов в команде. При этом вполне себе допускается выполнение отдельных задач сотрудниками с низкой квалификацией, однако аналитика должна быть за опытными архитекторами.
Сергей КоловангинГазинформсервис
Вопрос 3. Что будет проверено на практике, а не только в документах?
Только практическая проверка показывает, работает ли защита в реальности. Поэтому стоит заранее выяснить, какие элементы безопасности поставщик будет проверять в деле: настройки систем, доступы, уязвимости, резервное восстановление, способность обнаруживать атаку, действия сотрудников и готовность команды реагировать на инциденты. Хороший вопрос здесь — «Покажите, как вы убедитесь, что эта мера действительно работает».
Пентест, инструментальное сканирование, контроль кода, аудит конфигураций, проверка прав доступа, проведение учений по инцидентам для сотрудников заказчика, тест восстановления — проверяйте, чтобы все это было. При этом вопрос документирования все равно остается очень важным, т. к. любые результаты должны быть оформлены в понятный для Заказчика и его специалистов вид для дальнейшей работы.
Сергей КоловангинГазинформсервис
Вопрос 4. Что входит и что не входит в работы, и от чего зависит результат?
У любой услуги есть границы: какие системы охватываются, какие задачи выполняет подрядчик, что остается на стороне клиента. Это особенно важно обсудить до начала работ. Например, что произойдет, если у компании нет необходимого оборудования или лицензий? Входит ли реагирование на инцидент в договор или оплачивается отдельно? Что происходит с системами, которые не попали в первоначальный перечень? Чем точнее зафиксированы границы ответственности, тем меньше вероятность неприятных сюрпризов в момент атаки.
Подрядчик должен перечислить конкретные работы и результаты, а не просто направления. Например, какие системы будут обследоваться, а какие будут исключены из области проверки / проектирования и почему. Сколько сценариев сканирования будет запущено для задач по пентесту и как будет обеспечена безопасность и непрерывность работы сервисов. Соответственно, должно быть перечислено и то, что не входит в работы — например, закупка средств защиты информации, проектирование системы защиты по результатам аудита или устранение уязвимостей и недостатков в конфигурациях и т. д.
Сергей КоловангинГазинформсервис
Вопрос 5. Как вы узнаете, что нас атакуют?
Предотвратить каждую атаку невозможно. Поэтому важно понимать, как компания узнает о той атаке, которая все-таки прошла защиту. Спросите, какие события отслеживаются, работает ли мониторинг круглосуточно и сколько времени обычно проходит от появления признаков атаки до уведомления клиента. И обязательно уточните, кто получает тревожный сигнал: автоматическая система, дежурный специалист подрядчика или, возможно, кто-то из вашей команды.
Вопрос 6. Как вы действуете при реальном инциденте или срочной уязвимости?
Постоянная плановая работа и чрезвычайная ситуация — совершенно разные режимы и для компании, и для ее киберзащитников. Можно прекрасно проводить аудиты по расписанию, но оказаться совершенно не подготовленными к сообщению об атаке здесь и сейчас.
Попросите поставщика описать конкретный сценарий: что происходит после вашего звонка, кто принимает обращение, как быстро подключаются специалисты. Уточните, есть ли у подрядчика дежурная смена, протоколы эскалации и регламенты времени, за которое должны быть решены разные задачи (SLA). Важны не только обещания «быстрой реакции», но и конкретные сроки, каналы связи и зоны ответственности.
Хороший ответ — круглосуточный мониторинг, конкретное время обнаружения и реагирования, заранее согласованные автоматические действия. Например, изолировать зараженный сервер без ожидания звонка директору. Лучше один недоступный сервис из-за ложного срабатывания, чем атакующий, который за выходные прошел по всей сети. Ответ «мы пришлем вам уведомление» тут точно не нужен.
Максим ДолгининCloud.ru
Вопрос 7. Какие доказательства я получу по итогам работы?
Результат работы должен оставаться у вас в виде понятных материалов, а не исчезать вместе с сотрудником подрядчика, который провел аудит. Отчет, карта рисков, перечень обнаруженных проблем и подтверждение устранения уязвимостей — все это позволяет руководителю понимать, за что компания заплатила и что изменилось. Заранее обсудите формат и содержание таких материалов. Чем лучше доказательная база, тем проще отличить реальную работу от отчета «мероприятия выполнены».
Для работ по аудиту, оценке зрелости, защищенности — отчет с уязвимостями, доказательствами, приоритетами и рекомендациями. Результаты анализа конфигураций, журналов аудита, прав доступа. Для работ по проектированию системы защиты — комплект документации, соответствующий законодательству, в котором подробно будет рассмотрена реализация всех необходимых требований (даже «неудобных» для подрядчика), а также подробные схемы.
Сергей КоловангинГазинформсервис
Вопрос 8. Что произойдет, если злоумышленник обойдет вашу защиту?
Зрелая система безопасности исходит из не самого комфортного, но реалистичного предположения: иногда атакующему удается проникнуть внутрь. Обсудите, как будет обнаруживаться подозрительная активность внутри инфраструктуры, как ограничивается распространение атаки, какие системы защищены наиболее жестко и как изолируются скомпрометированные устройства или учетные записи. Хорошая защита должна иметь второй рубеж: если первый не сработал, атака не должна автоматически превращаться в катастрофу для всего бизнеса.
Если подрядчик говорит исключительно о том, как он не допустит проникновения, но ничего не может сказать о действиях после проникновения, это повод насторожиться.
Руслан Шарифуллин, «Солар»:
«После проникновения в корпоративную сеть злоумышленники редко ограничиваются единичным нарушением из хулиганских побуждений. В текущей мировой обстановке наиболее опасны целевые атаки, в том числе APT. По статистике успешных проникновений за 2025 год, злоумышленники все чаще используют скомпрометированные учетные записи подрядчиков. Особую опасность представляют привилегированные учетные записи, поскольку они изначально дают атакующим расширенные права доступа. Это позволяет быстро развивать атаку: изучать доступные ресурсы, расширять полномочия и постепенно продвигаться к системам, в которых хранятся наиболее ценные данные (lateral movement). При этом такие действия могут фиксироваться разными средствами защиты и по отдельности не выглядеть достаточно опасными либо вообще оставаться незамеченными, поскольку воспринимаются как обычная работа подрядчика.
Здесь проявляются две распространенные проблемы. Первая – компания может иметь антивирус, межсетевой экран и систему мониторинга, но не видеть связи между их сигналами. Вторая – действия привилегированного пользователя могут восприниматься как легитимные, а без специализированной системы управления привилегированным доступом (PAM) выявить злоупотребления значительно сложнее. Поэтому при выборе подрядчика необходимо убедиться, что он способен объединять события из разных источников, восстанавливать последовательность действий атакующего, запускать на этой основе сценарии реагирования и обеспечивать контроль привилегированных пользователей с помощью PAM-системы. Это позволяет снижать вероятность успешной атаки, а если проникновение уже произошло – своевременно обнаруживать и останавливать ее развитие, прежде чем отдельные подозрительные действия перерастут в масштабный инцидент».
Вопрос 9. Сколько времени понадобится, чтобы восстановить бизнес?
Во время серьезной атаки первый вопрос, который вас будет интересовать — когда компания снова сможет нормально работать? Заранее определите с поставщиком критические системы и допустимое время их простоя. Обсудите, что должно заработать в первую очередь, какие данные критичны для продолжения работы и за какое время должны быть восстановлены ключевые сервисы. У вас должен быть реализуемый и проверенный сценарий возвращения бизнеса к работе.
Хороший ответ подрядчика: резервные копии, которые хранятся изолированно и недоступны для удаления из основной инфраструктуры. Восстановление из них регулярно проверяется на практике, срок восстановления известен заранее в часах. Красный флаг: «бэкапы делаются», но когда последний раз из них восстанавливались, никто не помнит.
Максим Долгинин
Cloud.ru
Вопрос 10. Что произойдет, если завтра вы перестанете работать с нами?
Это вопрос зависимости от поставщика. Вы должны понимать, сможете ли забрать результаты работ, настройки и накопленную информацию и передать безопасность другому подрядчику без потери контроля. Обсудите, кому принадлежат данные мониторинга и результаты проверок, в каком формате они передаются, какие учетные записи и настройки остаются у вас. Хороший поставщик не должен превращать безопасность в запертую клетку, из которой вы не можете выйти без потерь.
Заранее предусмотрите обучение вашей команды, постоянную актуализацию настроек, независимую проверку и ответственность подрядчика. Как правило, такие работы либо уже предусмотрены договором, либо выполняются в рамках отдельных договоров или допсоглашений.
Сергей КоловангинГазинформсервис
Эксперты-участники SOC Forum, организованного ГК «Солар» с партнерами — Security Vision, «Газинформсервис» и Технической академией Росатома — советуют сделать информационную безопасность одним из обязательных направлений работы малого и среднего бизнеса, таким же важным, как ведение бухгалтерии и мотивацию персонала. И если вы начинаете задавать вопросы специалистам, значит, вы на правильном пути.
