Стратегия ИБ для небольшой компании: план на год и бюджет
Стратегия ИБ в небольшой компании — это не толстый документ, а ответ на три вопроса: чего мы хотим добиться, что делаем в этом году и сколько это стоит. Без плана безопасность сводится к реакции на то, что случилось, и расходы теряют связь с рисками. Ниже порядок составления плана на год: цели, приоритеты, дорожная карта по кварталам, бюджет, показатели и согласование с руководителем.
Статья опирается на логику направления «Стратегия кибербезопасности» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. Цифры бюджета в примерах условные.
Что должно получиться
| Уровень | Что это значит на практике |
|---|---|
| 1. Базовый | Есть список целей и задач ИБ на ближайший период |
| 2. Гигиенический | Есть план развития ИБ на год с бюджетом, сроками и ответственными; руководство рассматривает ход выполнения |
Критерии сформулированы нами по мотивам методики, это ориентир, а не оценка соответствия.
Шаг 1. Зафиксируйте исходную точку
План строится от текущего состояния. Соберите данные из материалов, которые у вас уже должны быть:
- результат самоаудита по 16 направлениям: карта зрелости показывает, где не закрыт базовый уровень;
- реестр рисков и его высокие риски;
- итоги последних инцидентов и разборов: реагирование на инцидент;
- просроченные уязвимости и ключевые метрики;
- обязательства: требования законов (ПДн, КИИ), клиентов, партнёров, сроки.
Шаг 2. Сформулируйте две–четыре цели
Цель — результат на конец года, который можно проверить. Плохо: «повысить уровень защищённости». Хорошо:
- закрыть гигиенический уровень (2) по направлениям, где сейчас 0–1;
- довести долю критичных систем с централизованным сбором журналов до 100%;
- сократить просрочку критичных уязвимостей до 10%;
- выполнить базовый минимум оператора ПДн: чек-лист оператора.
Принцип из методики: сначала гигиена по всем направлениям, потом глубина в одном. Не вкладывайтесь в продвинутые средства защиты, пока нет базовых процессов.
Шаг 3. Расставьте приоритеты
Из списка возможных задач выберите те, что дают наибольшее снижение риска при приемлемых затратах. Для каждой задачи оцените три вещи и поставьте её в таблицу:
| Задача | Риск, который снижает | Трудозатраты и стоимость | Срок | Приоритет |
|---|---|---|---|---|
| MFA для удалённого и привилегированного доступа | Компрометация учётных записей | Низкие: настройка и обучение | 1 квартал | 1 |
| Проверка восстановления из копий | Потеря данных | Низкие: время администратора | 1 квартал | 1 |
| Регулярное сканирование и процесс закрытия уязвимостей | Эксплуатация известных уязвимостей | Средние: инструмент и процесс | 2 квартал | 2 |
| Сбор журналов и мониторинг | Поздняя реакция на инцидент | Средние: сервер и настройка | 3 квартал | 2 |
| Учение по реагированию на инцидент | Потеря времени при инциденте | Низкие | 4 квартал | 2 |
| Независимый тест на проникновение | Неизвестные пути атак | Высокие: внешний исполнитель | 4 квартал | 3 |
Правило отбора: сначала дешёвые меры, закрывающие высокие риски. Дорогие проекты ставьте после того, как появятся процессы, которые будут ими пользоваться.
Шаг 4. Составьте дорожную карту
Разложите задачи по кварталам с учётом загрузки команды: не более двух-трёх крупных задач на квартал для небольшой компании. Каждая задача получает ответственного, срок и критерий готовности.
| Квартал | Фокус | Результат |
|---|---|---|
| 1 | Основа: роли, активы, риски, доступ, копии | Приказ о назначении, реестры активов и рисков, MFA, проверенное восстановление |
| 2 | Уязвимости и конфигурации | Процесс управления уязвимостями, hardening серверов по стандарту |
| 3 | Мониторинг и обучение | Сбор журналов, оповещения, программа осведомлённости, первая учебная рассылка |
| 4 | Проверка и подготовка следующего года | Учение, тест на проникновение, пересмотр реестров, план на следующий год |
Шаг 5. Посчитайте бюджет
Бюджет складывается из четырёх статей. Для небольшой компании многое можно сделать открытыми средствами: основная стоимость — время людей.
| Статья | Что входит |
|---|---|
| Люди | Время ответственного и администраторов (доля ставки), обучение сотрудников |
| Инструменты | Лицензии и подписки, оборудование, серверы под мониторинг и копии; открытые решения требуют времени на сопровождение |
| Услуги | Пентест, аудит, консультации юриста, сертификация и аттестация, если нужны |
| Резерв | Непредвиденные расходы и реагирование на инцидент (10–20% бюджета) |
При согласовании показывайте не только сумму, но и связь с рисками: «этот пункт закрывает риск R1, ущерб от которого оценён как высокий». Если бюджет урезают, спросите руководителя, какой риск он принимает: это решение руководителя, а не ИБ.
Шаг 6. Определите показатели
У каждой цели должен быть показатель, который руководитель увидит в квартальном отчёте: просрочка уязвимостей, охват MFA, успешность восстановления, охват обучением. Если показателя нет, нет и способа понять, что цель достигнута.
Шаг 7. Согласуйте и закрепите
- Подготовьте документ на 2–3 страницы по шаблону ниже.
- Согласуйте с руководителем ИТ и владельцами систем: они исполняют значительную часть.
- Утвердите у руководителя компании (подпись или протокол встречи).
- Раз в квартал сверяйте выполнение и корректируйте план, фиксируя причины изменений.
План развития информационной безопасности на ГОД
Утверждён: ФИО руководителя, ДАТА. Ответственный: ФИО
1. Исходная точка: итоги самоаудита, главные риски (до пяти).
2. Цели на год: 2–4 цели с показателями и значениями.
3. Дорожная карта: таблица «квартал — задача — ответственный — срок — критерий готовности».
4. Бюджет: люди, инструменты, услуги, резерв; связь с рисками.
5. Допущения и риски плана: что может помешать.
6. Порядок контроля: ежеквартальный отчёт, дата следующего пересмотра.Диагностика
| Симптом | Причина и что делать |
|---|---|
| План превратился в длинный список пожеланий | Нет приоритетов. Оставьте задачи, которые закрывают высокие риски и гигиену |
| Бюджет отклонён целиком | Нет связи с рисками. Покажите ущерб и вероятность, предложите этапы и дешёвые меры первыми |
| План не выполняется | Слишком много параллельных задач или нет ответственных. Сократите до двух–трёх на квартал |
| План не пересматривают | Нет ритуала. Встроите в ежеквартальный доклад руководителю |
Где это в модели зрелости
Материал относится к направлению «Стратегия кибербезопасности» (карта: карта зрелости). Уровень 1 закрывает список целей и задач, уровень 2 добавляет годовой план с бюджетом, сроками, ответственными и контролем со стороны руководства. План опирается на реестр рисков и метрики, а его выполнение продвигает остальные направления.
Как проверить
- Есть утверждённый документ с целями, дорожной картой и бюджетом на текущий год.
- У каждой задачи есть ответственный, срок и критерий готовности.
- Руководитель получил хотя бы один квартальный отчёт о ходе плана и принял по нему решение.
- Цели связаны с рисками и показателями, а не с покупкой продуктов.
Источники
- Методика оценки уровня зрелости кибербезопасности компании, Группа Сбер: sberbank.ru.
- NIST Cybersecurity Framework 2.0 (функция Govern: стратегия и управление): nist.gov. Международная практика, не российский норматив.
