ИБ-аутсорсинг в промышленности

Какие процессы ИБ отдать на аутсорсинг?

Как правило, информационная безопасность на промышленных предприятиях строится на принципах централизации основных процессов. И это сильно упрощает передачу их на аутсорсинг. Основная часть услуг оказывается удаленно на базе централизованных средств защиты и систем централизованного управления средствами защиты. Работы, которые нельзя провести удаленно, выполняются на местах специалистами из филиалов аутсорсера — обычно по схеме smart hands, когда локальными специалистами руководят более квалифицированные эксперты из центра. С целью экономии могут привлекаться региональные специалисты самого предприятия — например, из службы ИТ, которая обычно присутствует на каждом заводе. В этом случае аутсорсер/интегратор использует их как «руки», проводит обучение и разрабатывает все необходимые инструкции.

Прежде всего на аутсорсинг целесообразно передавать сложные экспертные процессы, такие как:

• мониторинг и выявление инцидентов ИБ;
  реагирование и противодействие выявленным инцидентам ИБ;
• управление уязвимостями и анализ угроз, в том числе тестирование на проникновение;
• централизованная эксплуатация средств защиты, включая техническую поддержку и администрирование.

Особенно это рекомендуется компаниям, которым только предстоит выстроить перечисленные процессы с нуля. Можно начать с отдельных небольших функций и в случае успешного взаимодействия передать процессы целиком. Все эти процессы описаны в новых требованиях, распространяются как на корпоративный, так и на технологический сегмент и для многих компаний являются обязательными.

Особенно это рекомендуется компаниям, которым только предстоит выстроить перечисленные процессы с нуля. Можно начать с отдельных небольших функций и в случае успешного взаимодействия передать процессы целиком. Все эти процессы описаны в новых требованиях, распространяются как на корпоративный, так и на технологический сегмент и для многих компаний являются обязательными.

Аутсорсинг процесса мониторинга

Наибольший интерес вызывает процесс мониторинга и выявления инцидентов ИБ. Это один из основных ИБ-процессов для промышленности, т. к. из-за риска воздействия на АСУ ТП возможности по превентивным мерам очень ограниченны. Мы постоянно с этим сталкиваемся в проектах по ИБ АСУ ТП: нельзя ни блокировать трафик, ни сканировать, ни обновлять ПО, а если и можно, то только в редкие технологические окна. Остается сфокусироваться на компенсирующих мерах и мониторинге, чтобы своевременно выявлять атаки на ранней стадии и реагировать на них.

Рассмотрим варианты аутсорсинга мониторинга ИБ. Есть два основных пути. Первый — подключиться к коммерческому центру мониторинга и получить весь процесс под ключ. В этом случае все технические средства, экспертиза и процессы будут предоставляться аутсорсером. Такой подход позволит обеспечить быстрый старт, полностью решить кадровую проблему и за несколько месяцев выйти на приемлемое качество услуг и SLA. Объективно, чтобы прийти к аналогичному уровню процессов собственными силами, потребуется не один год. Аутсорсинговые услуги, как правило, типизированы, но именно это позволяет избежать массы ошибок, т. к. все «грабли» уже собраны и учтены. Правда, возникают дополнительные риски из-за полной зависимости от поставщика услуг. В случае разрыва контрактных отношений по причине ухудшения качества или повышения стоимости, когда за все отвечает один аутсорсер, предприятие может остаться без важного процесса. Поэтому необходимо предусмотреть процедуру передачи сервиса. Должна быть продумана возможность максимально безболезненной смены поставщика услуг или передачи процесса собственным специалистам. Впрочем, те же риски есть и при использовании своей службы мониторинга, сотрудники которой могут в любой момент покинуть компанию, оставив ее один на один с угрозами ИБ и регуляторами.

Второй вариант, более долгий и трудоемкий,  — построить центр мониторинга у себя и только некоторые функции передать на аутсорсинг, например экспертную аналитику и расследование инцидентов. Такой подход требует существенно больших ресурсов и вовлечения самого предприятия, но позволяет достичь большей управляемости и контроля над процессами. По нашему опыту, на внедрение необходимой технической и процессной базы уйдет не менее года, но результат будет более адаптирован под специфику предприятия. Далее, после внедрения и отладки, уже готовые процессы и отдельные задачи можно будет передать вовне.

Аутсорсинг мониторинга ИБ не вызывает особых опасений, т. к. в рамках процесса нет прямого воздействия на контролируемые системы. Компании готовы его рассматривать как для корпоративного сегмента, так и для технологического.

Аутсорсинг процесса реагирования

Очень сложно преодолеть порог недоверия и отдать на аутсорсинг процессы с непосредственным доступом к средствам защиты, такие как оперативное реагирование на инциденты ИБ и эксплуатация средств защиты. Ошибки при реагировании или эксплуатации могут привести к серьезным последствиям, вплоть до остановки производства. Поэтому для промышленных предприятий, особенно в технологическом сегменте, наиболее приемлем вариант информативного аутсорсинга процесса реагирования — когда исполнитель только разрабатывает инструкции по противодействию атакам, а непосредственное выполнение настроек остается за специалистами предприятия. Инструкции представляют собой понятный перечень шагов и настроек, которые нужно выполнить для противостояния выявленной атаке. Каждое действие подвергается двойному контролю, т.к. специалисты предприятия прежде, чем применить настройки, повторно их анализируют. Такой подход несет меньше рисков, но требует наличия у предприятия собственной службы эксплуатации, а это опять кадровые проблемы. Скорость реагирования также зачастую оставляет желать лучшего.

Возможен и более комплексный подход с минимальным участием собственных специалистов, но требующий значительно большего доверия к аутсорсеру — когда он не только разрабатывает настройки, но и самостоятельно их применяет, имея доступ к средствам защиты. Это накладывает очень серьезную ответственность на поставщика услуг. Все возможные действия по реагированию должны быть предварительно протестированы. В таком варианте оптимально, чтобы исполнитель еще и полностью отвечал за эксплуатацию средств защиты. Тогда у него будет полное представление о текущих политиках и настройках, и он сможет максимально оперативно выполнять действия, необходимые для обработки инцидентов ИБ и ликвидации их последствий.