Как в территориально распределенном холдинге выстроить единую систему оценки и развития зрелости информационной безопасности при сильно разном уровне ИБ у дочерних компаний #опытэкспертов

Материал предоставил Александр Дворянский, директор по информационной безопасности ГК "Элемент", в рамках конференции Код ИБ ИТОГИ в Москве.

Исходная проблематика: разная зрелость ИБ и цифровизации в ДЗК, недостаточное финансирование, нехватка профильных кадров, территориальная распределенность и невозможность управлять большим количеством дочерних компаний в ручном режиме.

Ключевым решением стала единая методология регулярного аудита зрелости ИБ, разделенная на две группы показателей:

📌 Базовые показатели

Проверяется не только наличие регламентов, но и фактическая работоспособность процессов: антивирусная защита, управление доступом, удаленный доступ, криптография, резервное копирование, защита от утечек, безопасность жизненного цикла ИС и др. Отдельно усилен блок по безопасности работы с внешними подрядчиками из-за роста атак на цепочки поставок.

📌 Индивидуальные показатели и требования регулятора

Оцениваются уникально для каждой ДЗК: защита ПДн и КИИ, коммерческая тайна, управление инцидентами, рисками и активами, непрерывность бизнеса, обучение и повышение осведомленности, а также вовлеченность менеджмента в вопросы ИБ.

Отдельный акцент сделан на роли менеджмента. Без понимания ИБ со стороны руководства невозможно устойчивое развитие. Для этого в ГК "Элемент" внедрены:

— Регулярные информационные сессии для топ-менеджмента;
— Короткие рассылки с отраслевыми кейсами;
— Платформа повышения осведомленности, в которой участвуют и руководители.

Это повысило ценность ИБ внутри компании и вовлеченность бизнеса в процессы безопасности.

Результаты аудита интерпретируются по простой шкале:

• до 0,5 — низкий уровень зрелости;
• 0,5–0,8 — средний уровень;
• 0,8 и выше — высокий уровень.

Модель динамическая: показатели ежегодно усложняются, поэтому удержание уровня требует постоянного развития.

Стратегически холдинг переходит от классической ИБ к кибербезопасности и наступательному подходу. Цель — находить самые слабые звенья и подтягивать их за счет сильных компаний, транслируя лучшие практики внутри группы.

Для этого выстроен экосистемный и сервисный подход:

➡️ Централизованная защита каналов связи и межсетевые экраны;
➡️ Регулярные пентесты (белый, серый ящик, социнженерия);
➡️ Единая система обучения и повышения осведомленности;
➡️ Кадровый резерв по ИБ;
➡️ Обмен экспертизой и стратегические сессии между ДЗК.

Главный вывод: регулярная, формализованная оценка зрелости ИБ + вовлеченность менеджмента + централизованные сервисы позволяют гармонично выравнивать уровень киберустойчивости во всей группе и снижать риски атак по самым слабым звеньям.

Презентация и запись выступления доступны по ссылкам ниже — рекомендуем посмотреть для более детального погружения в тему.

Видео | Презентация