Какие изменения обязательно согласует ИБ: рабочий перечень
Карточка изменения отвечает, как оформить работу. Перечень отвечает, какие работы без отметки ИБ вообще не начинать. Если «ИБ смотрит всё», очередь умрёт; если «ИБ смотрит по настроению», порт откроют в пятницу без записи. Зафиксируйте классы: стандартные (запись после факта), обычные (карточка и ИБ до окна) и запрет без отдельного решения руководителя.
Статья опирается на логику направления «Управление изменениями» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. Поля карточки и откат: карточка, проверка ИБ и откат. Каждый релиз кода — отдельно: чек-лист релиза.
Как читать перечень
Строка «ИБ до выполнения» значит: ответственный за ИБ ставит отметку в карточке до окна работ. «Запись» значит: стандартная процедура уже согласована, достаточно журнала. Срочное закрытие дыры не отменяет карточку: решение по телефону, оформление в тот же рабочий день.
Рабочий перечень
| Класс изменения | Пример | ИБ |
|---|---|---|
| Плановое обновление ОС и пакетов по утверждённой процедуре | Только репозиторий безопасности дистрибутива | Запись |
| Выдача типовой роли по заявке | Почта, каталог, оператор CRM | Запись; заявка уже есть |
| Новый входящий поток из интернета или новый VPN | Порт на firewall, туннель подрядчика | До выполнения |
| Новая привилегированная роль или членство в админ-группе | sudo, Domain Admins, админка SaaS | До выполнения |
| Система с персональными данными: место хранения, копия на тест, подрядчик | Выгрузка прод-базы на стенд | До выполнения |
| Отключение или сужение журналов, мониторинга, копий | Снять отправку логов «на время отладки» | До выполнения |
| Новый SaaS или обработка данных вне контура | CRM в облаке, объектное хранилище | До оплаты и до включения |
| Схема сети, VLAN, доверие к партнёру | Новая зона, связка офисов | До выполнения, схема обновляется в той же карточке |
| Релиз прикладного кода в продуктив | Выкладка сервиса | Чек-лист релиза; ИБ в карточке, если меняются доступ, данные или периметр |
Скопируйте таблицу в приложение к порядку изменений. Против каждого класса — ответственный исполнитель (ИТ, разработка) и кто ставит отметку ИБ. Новую систему лучше поймать ещё в ТЗ: требования ИБ в ТЗ.
Что нельзя обойти «маленькой правкой»
- Правило firewall «открыть на час». Час становится месяцем. Это обычное изменение, не стандартное.
- Общий пароль «на время миграции» без заявки и без даты снятия.
- Отладка с персональными данными на ноутбуке разработчика.
- Выключение MFA «пока не настроим токены».
Такие действия либо в карточке с ИБ, либо отказ. Срочные — с решением руководителя ИТ и ответственного за ИБ в тот же день. Доступ людей при этом всё равно идёт заявкой: заявка на доступ.
Как встроить за неделю
- Возьмите журнал работ ИТ за последний месяц и разметьте строки этой таблицей. Всё, что не попало, — кандидат в «стандартное» или дыра.
- Согласуйте перечень с руководителем ИТ одним письмом. Без его подписи ИБ будут обходить.
- В шаблон карточки добавьте поле «класс из перечня ИБ».
- Раз в квартал вычеркните классы, которых не было, и добавьте те, что пришли через чат.
Конфигурацию на диске по-прежнему фиксируйте технически: etckeeper. Перечень не заменяет снимок /etc, а говорит, когда звать ИБ.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| ИБ видит изменение после выкладки | Класса нет в перечне или его обходят. Добавьте класс и разберите последнюю дыру как инцидент процесса |
| На ИБ висит смена лампочки в офисе | Перечень слишком широкий. Верните бытовые работы в запись без ИБ |
| Срочных больше, чем обычных | Плановые работы маскируют под аварию. Разберите причины на ежемесячной встрече |
| Путают с чек-листом релиза | Релиз — каждый деплой кода. Этот перечень — классы инфраструктурных и организационных изменений |
Где это в модели зрелости
Материал относится к направлению «Управление изменениями» (хаб: управление изменениями, карта: карта зрелости). Карточка учит оформлять. Перечень учит, что оформлять обязательно с ИБ. Гигиена — согласованные правила до выполнения, а не комитет изменений и не ITSM как продукт.
Как проверить
- Есть утверждённая таблица классов с колонкой «ИБ».
- В последних десяти карточках проставлен класс из перечня.
- Последнее открытие порта наружу или новый VPN имеют отметку ИБ до окна работ.
- Плановые обновления пакетов не стоят в очереди к ИБ по одному.
- За квартал перечень хотя бы раз пересмотрен: дата на документе свежая.
Источники
- CIS Controls v8.1, контроль 12 (сетевая инфраструктура) и контроль 16 (жизненный цикл прикладного ПО) — как ориентир, какие изменения затрагивают защиту. Это не закон РФ: cisecurity.org.
- NIST Cybersecurity Framework 2.0. Это не закон РФ: nist.gov/cyberframework.
- Методика оценки уровня зрелости кибербезопасности компании, Группа Сбер: sberbank.ru.
