Возможности и функционал современных SGRC-систем

Руслан Рахметов, Security Vision

В современных условиях непрерывно меняющегося ландшафта киберугроз, повсеместного применения ИИ и постоянно усложняющегося законодательства специалистам по кибербезопасности невозможно обходиться без средств автоматизации. При этом автоматизация уже давно вышла за рамки классического применения в средствах защиты, различных скриптам и утилитах. Сегодня без комплексной автоматизации процессов ИБ невозможно поддерживать систему управления кибербезопасностью в актуальном состоянии – без непрерывных и оперативных изменений процессной части и их реализации в технических средствах защиты атакующие будут всегда на шаг впереди. В современных условиях уже не имеет смысла говорить про автоматизацию «бумажной» безопасности – важно, чтобы организационная, процессная и техническая части соответствовали, дополняли и взаимно усиливали друг друга. Для реализации этой концепции можно применять системы комплексной автоматизации процессов ИБ – решения класса SGRC, которые мы и обсудим в данной публикации.

Системы SGRC (Security Governance, Risk Management, and Compliance, управление безопасностью, рисками и комплаенсом) позволяют автоматизировать взаимосвязанный набор направлений кибербезопасности:

     - управление стратегией, политиками, документами, процессами ИБ;

     - управление рисками ИБ;

     - управление соответствием требованиям по ИБ.

Расскажем подробнее про каждое из направлений.

1. Governance (Управление ИБ).

Без выстроенной стратегии и документарной поддержки невозможно выстроить процессы кибербезопасности – для их реализации потребуется, как минимум, заручиться согласованием и ресурсной поддержкой руководителей организации. Высокоуровневые документы – стратегия и политика ИБ – разрабатываются для документирования (формализации) общих подходов к киберзащите и подписываются первым лицом компании для обеспечения реализации изложенных в них принципов. Стратегия ИБ может быть достаточно общим документом, а политика ИБ содержит уже более полное описание взаимосвязанных высокоуровневых принципов, в соответствии с которыми выстраиваются корпоративные процессы кибербезопасности. Далее разрабатываются стандарты, регламенты, процедуры, инструкции, которые содержат детализированные правила, организационные и технические требования по ИБ, шаблоны их реализации.

С ростом документарной составляющей всё сложнее уследить за правками, листами согласований, версиями, датами актуализации. Без автоматизации данного направления возможны ситуации, когда сроки очередного ежегодного обновления и согласования документов истекут, необходимые изменения не будут внесены в очередную редакцию, а согласованные версии различных документов могут в некоторых аспектах даже противоречить друг другу. Для того, чтобы избежать подобной путаницы, системы класса SGRC предлагают функционал управления документами по ИБ: можно автоматизировать сбор первичных требований (например, рассылать опросники по электронной почте в определенных форматах и автоматически обрабатывать ответы), согласование и утверждение (документы могут помечаться соответствующим образом в интерфейсе SGRC после получения положительного ответа от согласовантов по email). Кроме парсинга email-сообщений, можно собирать информацию и непосредственно в веб-интерфейсе SGRC-системы: достаточно подготовить формы опросников, предоставить соответствующие права доступа участникам процесса и согласующим лицам, а затем разослать уведомление о необходимости заполнить формы опросов/документов. Контроль актуальности версий и сроки пересмотра документов также контролируются автоматически – в нужный момент SGRC уведомит о необходимости запуска нового цикла согласования. В системе SGRC легко настроить и сложный процесс согласования документа, например, если высокоуровневый ИБ-документ, затрагивающий работу, скажем, юридического отдела, должен быть сначала утвержден руководителем департамента ИБ, затем – начальником юридического блока, и только затем попасть на подпись первому лицу компании. Также можно организовать и обработку различных замечаний, предложений, корректив для документов – со сбором обратной связи и уведомлением ответственных.

Помимо управления документами, системы SGRC позволяют роботизировать широкий набор различных процессов кибербезопасности – главное, чтобы данные о них содержались где-либо в машиночитаемом виде. Например, можно автоматизировать такие процессы, как управление активами, уязвимостями и недостатками конфигураций, изменениями, исключениями, задачами и заявками, непрерывностью бизнеса и восстановлением работоспособности, обучением и накопленными знаниями. Для действенной автоматизации важно, чтобы в SGRC-решение поступали актуальные и точные данные от интегрированных систем, которые технически реализуют процессы ИБ: это могут быть как ИТ-решения (службы каталогов, CMDB, гипервизоры, системы мониторинга, журналы ОС и сетевых устройств и т.д.), так и средства защиты (от простейших антивирусов до SIEM, SOAR, TIP, UEBA и других продвинутых систем). Таким образом, в SGRC будут стекаться данные о фактическом состоянии защиты и сведения о статусе инфраструктуры: например, для получения сведений о состоянии процесса управления активами нужно, чтобы CMDB/ITAM-решение содержало актуальные данные об элементах ИТ-инфраструктуры и могло экспортировать эту информацию в SGRC (например, по API или даже банально через файловые выгрузки). Аналогично и с управлением уязвимостями и недостатками конфигураций: решение класса VM или SPC должно иметь возможность отправить консолидированные и непротиворечивые данные в SGRC. Таким образом, в SGRC будут накапливаться сведения из различных источников, которые постепенно будут формировать целостную, объективную картину состояния ИБ в компании с возможностью сформировать отчеты и визуализировать данные в различных разрезах на дашбордх, диаграммах, виджетах и т.д.

Подобным образом можно систематизировать и автоматизировать даже самые сложные процессы, затрагивающие различные направления деятельности и корпоративные подразделения. Например, для управления непрерывностью бизнеса и восстановлением работоспособности потребуется получить актуальные данные инвентаризации активов и информационных систем, а также определить целевые показатели доступности и требования по восстановлению, такие как целевая точка восстановления (RPO, Recovery Point Objective), продолжительность восстановления (RTO, Recovery Time Objective), максимально допустимый период прерывания деятельности (MTPD, Maximum Tolerable Period of Disruption). Далее, потребуется «завести» в SGRC данные от систем резервного копирования с данными о частоте и успешности создания бэкапов, запланировать проведение тестирования восстановления данных (например, смоделировав атаку вируса-вайпера на ряд информационных систем), а затем сравнить фактические результаты с целевыми показателями.

Как мы видим, даже самая продвинутая SGRC-платформа с широчайшим интеграционным функционалом и возможностями кастомизации будет настолько результативной и эффективной, насколько зрелыми и выстроенными являются соответствующие процессы ИБ. Важно помнить, что любая система автоматизации — это прежде всего инструмент, который базируется на процессах, выстраиваемых специалистами. Внедрять систему SGRC имеет смысл только в случае достаточно высокого уровня зрелости автоматизируемых на её базе процессов. Для описания уровней зрелости процессов можно использовать модель CMMI (Capability Maturity Model Integration), в соответствии с которой процессы делятся на следующие уровни зрелости:

     - Первоначальный: процесс выполняется хаотичным образом;

     - Управляемый: процесс повторяется, планируется, отслеживается, корректируется, но отсутствует регламентация;

     - Регламентированный: процесс задокументирован и регламентирован, достигаются прогнозируемые результаты;

     - Количественно управляемый: внедрены количественные метрики оценки эффективности для контроля и оценки процесса;

     - Улучшающийся: процесс непрерывно совершенствуется.

Перед оценкой целесообразности внедрения SGRC следует провести внутренний аудит зрелости процессов, которые будут автоматизироваться. Для автоматизации не подойдут процессы ИБ, находящиеся на первоначальном уровне – желательно, чтобы процесс был как минимум управляемым. С ростом уровня зрелости можно доверять системе SGRC всё больше процессов и всё более высокую степень автоматизации: на уровне «Регламентированный» средство автоматизации можно применять для роботизации отдельных повторяющихся и задокументированных действий, на уровне «Количественно управляемый» атомарные роботизированные действия можно объединить в полноценный процесс и контролировать его эффективность с помощью количественных метрик, а на уровне «Улучшающийся» следует уже собирать и обрабатывать обратную связь для непрерывного совершенствования процессов ИБ и всей СУИБ в целом.

2. Risk Management (Управление рисками ИБ).

Большинство стратегических задач при выстраивании корпоративной кибербезопасности связаны с необходимостью обоснования выделения бюджетов и ресурсов перед руководством компании. Привычные в профессиональной среде термины, такие как «угроза», «уязвимость», «инцидент», не производят должного впечатления на лиц, принимающих решения – они привыкли ориентироваться на конкретные цифры и суммы. Для того, чтобы кибербезопасность вышла на уровень руководителей компании и перестала быть дополнением к ИТ, важно оперировать не только законодательными и техническими требованиями, но и финансовыми показателями. Процесс управления рисками позволяет приоритизировать киберугрозы, выбрать адекватные защитные меры в зависимости от уровня риска, продемонстрировать экономическую эффективность затрат на ИБ.

Для выстраивания результативного процесса риск-менеджмента важно не только определиться с методологией анализа рисков, но и оперировать точными данными — это позволит делать объективные выводы и проводить оценку рисков, оперируя цифрами затрат и потенциального ущерба. Для качественной оценки рисков можно использовать метод «Светофора», для количественной – рассчитывать уровень ожидаемых годовых потерь (ALE/ALE по методу PERT), для моделирования рисков – применять метод Монте-Карло, позволяющий проводить множество итераций сценариев с использованием случайных величин для учета возможных изменений и вариаций в данных. Можно использовать и другие методики оценки рисков – FAIR, COSO, FMEA, VaR и т.д. Для оценки рисков как минимум требуются данные об активах и информационных системах (их свойствах, ценности, ответственных), данные об уязвимостях и реализованных мерах защиты, накопленные данные о числе различных инцидентов по годам, оценённый ущерб от каждого из инцидентов. Этапы оценки рисков в некоторой части совпадают с действиями при моделировании угроз и нарушителей и при оценке сценариев реализации киберугроз – используется примерно одинаковый набор вводных (за исключением финансовых показателей).

Объединив на платформе SGRC указанные данные, можно систематизировать и автоматизировать почти весь процесс оценки рисков – от опроса ответственных лиц до моделирования последствий реализации рисков и оценки количества инцидентов и ущерба от них в будущем, от выбора и обоснования экономически оправданных мер защиты до контроля их реализации и эффективности. Стоит помнить, что и моделирование угроз, и оценка рисков должны быть не разовыми мероприятиями, и даже не периодическими –скорость изменения ландшафта киберугроз сегодня такова, что проводить их переоценку следует в непрерывном режиме, постоянно оценивая состояние киберзащищенности компании и контролируя работоспособность внедренных мер защиты и их адекватность текущему уровню угроз. Системы SGRC позволяют за счет интеграций с ИТ/ИБ-решениями получать актуальную и объективную информацию о состоянии инфраструктуры, мер защиты, о количестве и опасности уязвимостей и инцидентов, об уровне внешних киберугроз и тенденциях злоумышленников. Функционал визуализации и отчетности поможет не только наглядно увидеть текущую картину киберзащищенности компании и уровень киберрисков, но и обеспечит ситуационную осведомленность руководителей компании, что поможет им в принятии риск-ориентированных управленческих решений.

3. Compliance (Управление соответствием требованиям)

Одна из задач подразделения ИБ – выполнение нормативных требований по кибербезопасности. При этом требования могут быть как законодательными, т.е. внешними, так и внутренними – они тоже обязательны, но предъявляются не на уровне государства или отрасли, а в соответствии с корпоративной иерархией (в рамках холдинга, группы компаний, взаимосвязей между ДЗО). Конечной целью выполнения требований является отнюдь не разработка «красивых» отчётов о полном соответствии, а поиск и устранение несоответствий, что в конечном счете приводит к планомерному росту уровня защищенности. К сожалению, объем обязательных требований таков, что разобраться в них становится трудно даже с помощью команды юристов, тем более что некоторые специфические требования и положения могут быть понятны только в рамках разъяснений от регуляторов. Именно поэтому важно, чтобы ИБ-специалистам был доступен инструмент с чётко описанными, декомпозированными, дедуплицированными требованиями – как внешними, так и внутренними. Таким инструментом становится система SGRC: кроме предустановленной нормативной базы в неё можно загружать дополнительные внутренние требования, выстраивать процесс проведения аудитов и самооценок, рассылать опросные листы или готовить веб-формы с опросниками, мониторить выполнение требований, формировать заявки на устранение недостатков, назначать ответственных, устанавливать и контролировать сроки.

За счет интеграционных возможностей продвинутые системы SGRC позволяют собирать фактические данные о выполнении требований автоматизировано. Например, если в нормативном требовании говорится о недопустимости использования обезличенных учетных записей, то SGRC получит от службы каталогов список учетных записей вместе с их свойствами и выполнит поиск по пустым полям, где должен быть указан владелец аккаунта. Другой пример: если нормативы требуют устранения критичных уязвимостей в течение 24 часов, то, получив от системы управления уязвимостями соответствующие данные, SGRC сразу выдаст список несоответствий («просроченных» уязвимостей), сформирует срочные заявки и разошлёт уведомления ответственным. Хорошая SGRC-система не только поставляется с богатым набором предустановленных нормативных требований и не только поддерживает различные интеграции с ИТ/ИБ-системами, но и позволяет легко визуализировать данные по степени соответствия тем или иным требованиям, а также быстро формирует необходимые отчёты в соответствии с формами регуляторов, что облегчает прохождение разного рода аудитов и проверок.

Как мы видим, современные решения класса SGRC — это уже гораздо больше, чем просто система автоматизации «бумажной» безопасности. Возможности по интеграции с различными корпоративными ИТ/ИБ-решениями, предустановленные пакеты экспертизы и наборы нормативных документов, возможность гибкой кастомизации внутренних процессов, функционал визуализации и отчетности делают SGRC главными помощниками ИБ-подразделений и руководителей по кибербезопасности. Так, в SGRC-платформе Security Vision реализован инструментарий no-code/low-code, в котором с помощью интуитивно-понятного графического конструктора пользователи могут легко создавать новые интеграции и дорабатывать внутреннюю логику работы системы под требования конкретной компании. Взаимное обогащение данных из ИТ/ИБ-систем, их корреляция, аналитика и визуализация полученных результатов наглядно и объективно демонстрирует состояние инфраструктуры и процессов в различных разрезах. Платформа Security Vision позволяет использовать ряд модулей для автоматизации большинства процессов кибербезопасности – в частности, функционал SGRC реализован в модулях:

• Security Vision СМ (Compliance Management);

• Security Vision RM (Risk Management);

• Security Vision BCM (Business Continuity Management);

• Security Vision SA (Self-Assessment);

• Security Vision ORM (Operational Risk Management);

• Security Vision ASOC (Application Security Orchestration and Correlation);

• Security Vision ПДн;

• Security Vision КИИ.

Платформа Security Vision объединяет вышеуказанные решения с продуктами для противодействия киберугрозам, которые нативно интегрированы в рамках единой экосистемы:

• Security Orchestration, Automation and Response (SOAR) – модуль, предназначенный для автоматизации реагирования на инциденты ИБ;

• Next Generation SOAR (NG SOAR) – модуль расширенного управления инцидентами;

• Security Information and Event Management (SIEM) – модуль мониторинга событий ИБ;

• Threat Intelligence Platform (TIP) – модуль анализа угроз кибербезопасности;

• User and Entity Behavior Analysis (UEBA) – модуль поведенческого анализа;

• Asset Management (AM/CMDB) – модуль управления активами и инвентаризацией;

• Vulnerability Management (VM) – модуль управления уязвимостями;

• Vulnerability Scanner (VS) – сканер уязвимостей;

• Security Profile Compliance (SPC) – модуль контроля параметров безопасности.