Карта зрелости кибербезопасности
Карта зрелости кибербезопасности
16 направлений кибербезопасности, сгруппированных в пять разделов, и то, что сайт по ним уже разбирает. Рамка и названия направлений взяты из открытой методики оценки зрелости Группы Сбер (источник). Ключевая идея: базовым («гигиеническим») считается второй уровень по каждому направлению, а не высокий уровень в одном. Это чужая методика для крупных компаний; здесь она служит картой тем, без заявления о соответствии.
Управление и стратегия
1.Организационная структура
Кто отвечает за ИБ, какие у него полномочия и как он взаимодействует с ИТ и бизнесом.
В плане: Роль ответственного за ИБ в небольшой компании: приказ, обязанности, полномочия.
3.Риск-ориентированный подход
Решения по защите принимаются исходя из того, что и насколько вероятно может случиться.
- Модель угроз и уровни защищённости ИСПДн: как определить и что выполнить
- Оценка вреда субъектам ПДн: порядок, акт и связь с мерами защиты
- Реестр рисков ИБ: простая методика оценки для небольшой компании
В плане: Реестр рисков ИБ и простая методика оценки; Моделирование угроз для небольшой системы.
5.Стратегия кибербезопасности
Куда вы развиваете защиту и в каком порядке.
В плане: План развития ИБ на год и бюджет.
6.Отчётность и метрики
Какие показатели вы собираете и что показываете руководству.
В плане: Метрики ИБ для руководства: что считать и как показывать.
Активы и архитектура
2.Управление ИТ-активами
Что у вас есть: серверы, сервисы, ПО, данные и кто за них отвечает.
- Nmap: обнаружение узлов, сканирование портов и разбор вывода
- Реестр ИТ-активов: поля, владельцы и сверка с сетью
В плане: Реестр ИТ-активов: поля, автоматизация, владельцы.
4.Архитектура кибербезопасности
Как устроена сеть и потоки данных и как в проектирование попадают требования ИБ.
В плане: Сегментация сети и схемы потоков данных; Требования ИБ к новой системе: короткий чек-лист.
7.Управление изменениями
Как изменения в системах согласуются с ИБ и не ломают защиту.
В плане: Карточка изменения с проверкой ИБ и планом отката.
Защита
8.Управление доступом
Кто и к чему имеет доступ, как это выдаётся, пересматривается и отзывается.
- CRM и персональные данные: права доступа, аудит и чистка базы
- MFA для SSH и WireGuard без вендорского PAM
- sshd_config: безопасная настройка SSH и проверка командой sshd -T
- sudo и sudoers в Linux: как выдать минимум прав
В плане: Привилегированный доступ (PAM) для небольшой команды; Процесс увольнения и блокировки доступа.
9.Сетевая безопасность
Периметр, сегментация, удалённый доступ и защита сетевых сервисов.
- CrowdSec: защита SSH и nginx от подбора паролей и сканеров
- Fail2ban: свой фильтр для сканеров nginx и проверка fail2ban-regex
- Firewall в Linux: настройка nftables и firewalld
- MFA для SSH и WireGuard без вендорского PAM
Все материалы направления (15)
В плане: Сегментация сети для небольшой компании; Защита почты: SPF, DKIM, DMARC; WAF и защита от DDoS: когда нужно.
10.Безопасность конечных устройств
Защита серверов, рабочих станций, контейнеров и мобильных устройств.
- Docker: как запускать контейнер не от root и снизить риски
- Docker: ограничения контейнера — read-only, cap_drop, лимиты и порты
- Hardening Astra Linux: настройка по требованиям ФСТЭК
- Hardening Debian: безопасная настройка сервера по CIS Benchmark
Все материалы направления (16)
В плане: Hardening Windows; Антивирус и EDR: когда достаточно открытых средств; Шифрование дисков и мобильные устройства.
11.Безопасность данных
Классификация, шифрование, резервные копии, секреты и защита персональных данных.
- CRM и персональные данные: права доступа, аудит и чистка базы
- DLP для небольшой компании: когда нужен и как внедрить без лишних затрат
- GPG для администратора: шифрование резервных копий, подпись и проверка целостности
- Rsync настройка бэкапа на CentOS / Debian / Ubuntu
Все материалы направления (36)
В плане: Классификация данных для небольшой компании; Шифрование данных на хранении и при передаче; Тестовые среды без реальных персональных данных.
Выявление и реагирование
12.Мониторинг кибербезопасности
Сбор и анализ событий, чтобы замечать атаки и ошибки раньше ущерба.
- Fail2ban: свой фильтр для сканеров nginx и проверка fail2ban-regex
- logrotate и journald: сколько хранить журналы и как это проверить
- Python и Bash для ИБ: пять скриптов для регулярных проверок
- SOC и SIEM: чем отличаются от мониторинга в Zabbix
В плане: Сценарии выявления атак для Wazuh; Обогащение событий данными об угрозах.
13.Управление уязвимостями
Как находить, приоритизировать и закрывать уязвимости в срок.
14.Тесты на проникновение
Независимая проверка защиты и превращение её результатов в задачи.
В плане: Как заказать пентест: рамки, задание, приёмка, план устранения.
15.Управление инцидентами
Как реагировать на инциденты, уведомлять регуляторов и делать выводы.
- Жалоба субъекта и запрос Роскомнадзора: как ответить и в какие сроки
- Как уведомить Роскомнадзор об утечке персональных данных
- Реагирование на инцидент ИБ: первые 24 часа, роли и сроки
- Сценарии реагирования на инциденты ИБ: пять playbook’ов для небольшой команды
В плане: Сценарии реагирования по типам инцидентов: расширенный набор.
Люди и культура
16.Культура кибербезопасности
Знания и привычки людей: основа, на которой держатся остальные меры.
В плане: Осведомлённость сотрудников: программа на год; Фишинг-тренировки без лишнего шума; Киберучения за столом: готовый сценарий.
Самоаудит по мотивам модели зрелости
Для каждого направления отметьте, что у вас уже есть. Ответы остаются только в вашем браузере и никуда не отправляются. Это наша упрощённая проверка «по мотивам», а не оценка по методике Сбера: цель — увидеть, где не хватает базового уровня.
