Требования к сетевой безопасности: документ-стандарт для небольшой компании

Настройки сети живут в конфигурациях: правила экрана, VLAN, параметры точек доступа. Пока они не описаны в документе, их нельзя проверить. Нельзя сказать, нарушает ли сетевой инженер требования, если требований нет, а новичок настроит по привычке. Документ с требованиями к сетевой безопасности делает три вещи: фиксирует, как должно быть; даёт способ проверить, как есть; определяет, кто отвечает за расхождение. Ниже структура такого документа, примеры измеримых требований, матрица потоков между сегментами и форма исключения.

Документ опирается на практики, разобранные в статьях раздела: сегментация, экран, сегмент управления, Wi-Fi, 802.1X. Общий документ верхнего уровня: политика кибербезопасности; стандарт её детализирует для сети.

Структура документа

Документ нужен небольшой: 5–8 страниц. Если он длиннее, его никто не читает. Принцип: на каждый раздел короткий список требований, где у каждого есть номер, формулировка, способ проверки и владелец. Разделы:

Измеримые требования: образец

Требование без способа проверки бесполезно: «сеть должна быть защищена» не проверишь. Хорошее требование содержит условие, которое можно подтвердить командой или выгрузкой. Образец, который можно взять за основу и дополнить:

Числа (90 дней, раз в квартал, 90%) — разумные ориентиры, их можно менять, но менять нужно осознанно и записывать. Один документ: одна таблица, по которой можно за вечер проверить сеть. Количество требований держите в пределах нескольких десятков: список из двухсот пунктов не выполнит никто.

Матрица разрешённых потоков

Самая полезная часть документа по сегментации — матрица: какая зона к какой может обращаться и по каким портам. Всё, что не записано, запрещено.

Матрицу ведут в том же репозитории, что и правила экрана: изменение правил без правки матрицы — повод остановить изменение. Каждая клетка «только порты» — отдельная строка в таблице потоков с владельцем.

Форма исключения

Требования нарушаются: устаревшая система не поддерживает современное шифрование, принтер не умеет 802.1X, подрядчику нужен доступ на месяц. Исключения неизбежны; опасны скрытые. Форма на одну страницу:

Исключение из стандарта сетевой безопасности

Требование: СБ-5.1 (802.1X для проводных портов)
Объект: сетевой принтер в бухгалтерии, MAC AA:BB:CC:DD:EE:FF, порт 14 коммутатора sw-access-02
Причина: устройство не поддерживает 802.1X, замена в плане на 3 квартал
Компенсирующие меры: порт в VLAN периферии, доступ только к серверу печати, фиксация MAC на порту
Остаточный риск: низкий
Срок действия: до 30.09
Принял риск: руководитель ИТ. Согласовал: ответственный за ИБ

Правила простые: без срока исключений нет, пересмотр обязателен, исключения хранятся в одном реестре, раз в квартал просматривается весь список: подходит ли он ещё. Это общая практика для любого процесса, как с принятием риска по уязвимостям.

Как утвердить и довести

1. Подготовьте документ вместе с сетевыми инженерами. Требования, которые они считают невыполнимыми, лучше поймать до подписи, а не после.
2. Согласуйте с ответственными работниками: ИТ-директор, ИБ, при необходимости руководитель разработки. «Утверждён и согласован с ответственными» — формулировка, которую ждут при проверке.
3. Проведите короткий разбор с исполнителями (30 минут), соберите подписи об ознакомлении: ознакомление с правилами.
4. Через месяц проверьте соответствие по таблице проверок. Расхождения: либо исправляйте сеть, либо оформляйте исключение, либо меняйте требование.
5. Пересматривайте документ раз в год и после существенных изменений сети.

Какие артефакты хранить

Диагностика

Где это в модели зрелости

Материал относится к направлению «Сетевая безопасность» (хаб: сетевая безопасность, карта: карта зрелости). На третьем уровне требования к сетевой безопасности регламентированы утверждёнными и согласованными документами, охватывающими защиту периметра, сегментацию, беспроводные сети, управление доступом к сети и удалённый доступ, а конфигурации средств защиты соответствуют документации. Этот документ и проверка по таблице закрывают требование.

Как проверить

1. Документ утверждён, в нём указаны версия, дата и согласующие.
2. Для пяти случайных требований показана проверка: выгрузка или команда, подтверждающая выполнение.
3. Матрица потоков совпадает с правилами экрана.
4. В реестре исключений нет просроченных записей.
5. Лист ознакомления содержит подписи сетевых инженеров и администраторов.

Источники

• CIS Control 12, управление сетевой инфраструктурой, и Control 13, мониторинг и защита сети: cisecurity.org/controls.
• NIST SP 800-41 Rev. 1, руководство по межсетевым экранам: csrc.nist.gov.
• NIST SP 800-53, семейство «Защита систем и связи» (SC): csrc.nist.gov.