Требования регуляторов давят, а плана нет: с чего начать безопасность

Письмо от крупного заказчика: «до конца месяца предоставьте подтверждение мер ИБ, иначе доступ к контуру будет ограничен». Или письмо от внутренней проверки: «закройте замечания по доступам, журналам и обновлениям». В чате IT — тишина, потом паника. Политик нет, схем сети нет, список админов устарел, пароли сервисных учёток «где-то в менеджере паролей у Ивана».

Требования регуляторов редко приходит как вежливая рекомендация. Он приходит дедлайном. И выясняется, что безопасность инфраструктуры жила в режиме «пока не взломали и пока никто не спросил». Документы писать некому, технические контрмеры не спланированы, а бизнес уже считает риски потери контракта.

Проблема не в том, что «нужно купить ещё один сканер». Проблема в отсутствии плана: что требовать от текущего контура, что закрыть быстро, что поставить в дорожную карту, а что честно признать как риск с компенсирующими мерами.

В этот момент компании часто делают худшее из возможного: обещают партнёру идеальную картину мира, а внутри начинают хаотично включать всё подряд. Через две недели есть и выгорание команды, и набор недостроенных инструментов, и всё ещё дырявый периметр.

Три сюжета, когда дедлайн уже горит

Первый — партнёрский опросник на десятки страниц. Вопросы про MFA, сегментацию сети, бэкапы, управление уязвимостями, реакцию на инциденты. Отвечать «у нас всё есть» без доказательств опасно: на аудите попросят артефакты. Отвечать честно без плана — тоже опасно: партнёр увидит дыры и затянет onboarding.

Второй — регуляторные или отраслевые требования. Нужны политики, журналы, разграничение прав, контроль привилегированных учёток. Внутри компании нет CISO, а сисадмин совмещает эксплуатацию и «бумажную безопасность». В итоге либо документы пишут «для галочки», либо техника отстаёт от текста политик.

Третий — инцидент или почти инцидент. Утечка, подозрительный доступ, шифровальщик у соседа по рынку. Руководство требует «сделать как надо» за две недели. Без инвентаризации активов и приоритетов команда начинает хаотично включать всё подряд: новые правила firewall, новый VPN, новый SIEM — и получает шум без управляемости.

Во всех трёх сюжетах общий знаменатель один: нет карты текущего состояния и нет очереди работ с владельцами. Без этого требования регуляторов превращается в театр срочности.

Ошибки, которые делают требования регуляторов дороже

Покупать инструменты до карты рисков. Сканер без процесса устранения находок превращается в кладбище отчётов. Писать политики, которые никто не соблюдает. Обещать партнёру сроки, которые технически нереальны. Прятать исключения «под ковёр» вместо того, чтобы оформить их как временные компенсирующие меры с датой пересмотра.

Ещё одна ловушка — считать безопасность только периметром. Открытый RDP, общие пароли, отсутствие MFA на админках облака, бэкапы без проверки восстановления — типичные дыры, которые всплывают именно на требования регуляторов проверках.

Отдельно дорого обходится «безопасность в голове одного админа». Пока он на месте, кажется, что контроль есть. Стоит заболеть или уволиться — и компания не может ни ответить аудитору, ни воспроизвести базовые настройки.

Как выглядит рабочий план под давлением сроков

Сначала быстрая инвентаризация: какие системы доступны из интернета, где лежат критичные данные, кто имеет админ права, как устроены бэкапы и журналы. Это не «полный аудит на месяцы», а срез за несколько дней, достаточный для приоритизации.

Затем — матрица требований: что просит партнёр/регулятор, что уже выполнено, что закрывается быстро, что требует проекта. Быстрые победы обычно включают MFA на критичных контурах, закрытие лишних портов, ротацию общих учёток, базовый усиление защиты bastion/VPN, включение централизованных логов хотя бы для админ действий.

Параллельно собирают пакет доказательств: схемы на уровне «достаточно для аудитора», выдержки политик, скриншоты настроек, регламент реакции на инцидент, результаты последнего тестового восстановления. Требования регуляторов — это не только техника, но и способность показать управляемость.

То, что нельзя закрыть до дедлайна, оформляют честно: риск, влияние, компенсирующая мера, срок устранения. Зрелые заказчики чаще принимают управляемый план, чем красивую сказку.

Важно не смешивать «срочно закрыть дыру» и «построить зрелую программу». Первое спасает сделку. Второе делается волнами после того, как горение снято.

Практические шаги на ближайшие недели

Назначьте владельца программы безопасности инфраструктуры — даже временно. Без владельца задачи растворяются между «сетью», «серверами» и «разработкой». Разделите работы на волны: доступ и периметр, учётные записи и привилегии, журналирование и алерты, обновления и уязвимости, бэкапы и восстановление.

Каждую волну закрывайте измеримо: не «настроили MFA», а «MFA включён для всех админов облака и VPN, исключения зафиксированы». Не «есть бэкапы», а «восстановление тестовой БД проверено такого то числа».

• снимите карту внешнего периметра и привилегированных доступов;
• закройте быстрые дыры: MFA, лишние порты, общие пароли;
• соберите доказательства для опросника партнёра;
• оформите остаток как дорожную карту с датами;
• встройте регулярный цикл: сканирование → приоритизация → устранение → проверка.

Что получает компания, когда план появляется

Снимается главный риск сделки: партнёр видит управляемый контур, а не хаос. Внутри снижается вероятность «тихого» инцидента из-за открытого доступа или вечного пароля. Руководство получает понятную стоимость и сроки вместо панических закупок «всего сразу».

Требования регуляторов перестаёт быть разовой истерикой и становится процессом. Документы начинают соответствовать реальности, а техника — поддерживать обязательства, которые компания уже дала рынку.

В долгую это ещё и конкурентное преимущество: крупные заказчики быстрее пускают в свой контур тех, кто отвечает на опросник доказательствами, а не обещаниями «сделаем потом».

Если требования уже стучатся в дверь, а плана нет, имеет смысл опереться на безопасность инфраструктуры: быстрый срез, приоритизация, контрмеры и пакет доказательств под дедлайн — без имитации «всё под контролем».

Давление регулятора или заказчика неприятно. Но оно часто единственный момент, когда компания наконец строит то, что должно было быть до первой серьёзной сделки: понятный периметр, понятные доступы и понятный ответ на вопрос «что у вас с безопасностью?».