Снимок готовности
Где организация устоит, а где посыплется — по пяти областям готовности.
Услуга · Реагирование
Если завтра случится инцидент — где вы споткнётесь
Проверка готовности к обнаружению, эскалации, реагированию и восстановлению — обзор процессов и артефактов, а не наступательная активность.
Мы не атакуем системы, не эксплуатируем уязвимости и не вмешиваемся в инфраструктуру. Обзор ведётся в согласованном объёме с соглашением о конфиденциальности.
ХОД_РАБОТЫ
Жизненный цикл обзора
По циклу NIST SP 800-61: реагирование и восстановление.
- 01 Кадрирование сценариев
- 02 Обзор готовности
- 03 Настольное упражнение (при необходимости)
- 04 Сводка разрывов
- 05 План улучшений
Когда нужна
Когда нужно понять, насколько организация готова к обнаружению, эскалации, реагированию и восстановлению.
Объём
Роли и эскалация, сценарии реагирования, журналирование и обнаружение, резервные копии, коммуникации.
Стандарты
NIST 800-61NIST CSFCIS Controls
Характер
Обзор процессов и артефактов, без воздействия на реальные системы.
01 — Почему первые часы — самые дорогие
Реальный инцидент почти никогда не похож на учебную тревогу
В три часа ночи дежурный видит странную активность и не знает, имеет ли право отключить систему, которая приносит деньги. Руководство узнаёт о проблеме не от своей команды, а от клиента. Кто-то в панике перезагружает серверы и стирает следы. Резервные копии оказываются зашифрованы вместе с основными системами, потому что были доступны из того же домена.
Ущерб определяется не столько изощрённостью атакующего, сколько скоростью и качеством собственной реакции: чем дольше хаос, тем дороже простой и шире распространение компрометации.
Что показывает ENISA
Отчёты ENISA год за годом показывают: программы-вымогатели и компрометация данных остаются в числе доминирующих сценариев — и оба наказывают именно неготовность к реагированию.
02 — Что именно оценивается
Пять взаимосвязанных областей готовности
Структура обзора опирается на жизненный цикл реагирования NIST SP 800-61: подготовка, обнаружение и анализ, сдерживание и восстановление, уроки. Раскройте область для деталей.
Кто имеет полномочия объявить инцидент и по каким критериям; кто принимает решение об изоляции критичной системы; как устроена эскалация ночью, в выходные и в отпускной сезон; знают ли люди о своих ролях не только по документу, но и на практике.
NIST SP 800-61
03 — Как проходит работа
Обзор процессов и артефактов по этапам
01 · Кадрирование сценариев
Вместе с вами выбираем два-три типа инцидентов, наиболее болезненных именно для вашего бизнеса. Формальный пакет здесь легче, чем у пентеста, но дисциплина та же: объём работ, правила взаимодействия, соглашение о конфиденциальности, аккуратное обращение с документами.
Формат обзора
Обзор документов проверяет планы, регламенты и артефакты по факту: что написано, актуально ли и покрывает ли реалистичные сценарии.
Это уровни глубины одного обзора, а не разные продукты. Наиболее показателен формат с настольным упражнением.
04 — Типичные классы разрывов
Где именно организации спотыкаются
Состав всегда индивидуален, но чаще всего встречаются эти классы. По каждому — какой сценарий потерь за ним стоит.
F1 Роли существуют на бумаге, но не в жизни. Ответственный уволился, контакты устарели, дежурный не знает, кого будить — часы бездействия, когда счёт идёт на минуты. ВЫС
F2 Нет критериев объявления инцидента. Команда тянет время в надежде, что «само пройдёт», и сдерживание начинается, когда атакующий уже закрепился. ВЫС
F3 Журналы есть, но не те. Ключевые системы пишут недостаточно, хранение короткое, время не синхронизировано — расследование превращается в гадание, а перед регулятором нечего предъявить. СРЕД
F4 Резервные копии доступны из основного домена. Шифровальщик с доменными привилегиями уничтожает и рабочие данные, и копии — восстановление из «резервной копии, которая есть» невозможно. ВЫС
F5 Коммуникации зависят от недоступной инфраструктуры. План лежит на файловом сервере, который зашифрован; список контактов — в почте, которая отключена. СРЕД
F6 План ни разу не прогонялся. Документ формально есть, но первое «упражнение» по нему происходит во время реального инцидента — самый дорогой способ обучения. ВЫС
05 — Что вы получаете
Снимок готовности и план улучшений
Честная картина того, где организация устоит, а где посыплется — с приоритетами.
План улучшений
Приоритизированный список улучшений: быстрый эффект и системная работа.
Приоритетные действия по устойчивости
Изоляция копий, критерии объявления, контактный лист вне инфраструктуры.
06 — Результат и что с ним делать
Два уровня улучшений и повторный прогон
Быстрый эффект
Изоляция резервных копий, критерии объявления инцидента, контактный лист вне основной инфраструктуры.
Системная работа
Журналирование, сценарии реагирования, регулярные упражнения — устойчивость, а не разовый ремонт.
Повторный прогон
Обзор встраивается в решение по рискам простоя; повторный сценарий показывает, что улучшения работают не на бумаге.
07 — Регуляторный контекст и источники
В Армении действует закон «О кибербезопасности» (в силе с января 2026 года) и подзаконные акты. Для платёжных организаций и операторов электронных денег ЦБ РА подчёркивает ожидания операционной устойчивости; для поставщиков услуг криптоактивов действует профильное регулирование. Задокументированная и проверенная на упражнении готовность — один из самых убедительных аргументов в диалоге с регулятором и партнёром.
NIST SP 800-61 Rev. 3 csrc.nist.gov ↗ NIST Cybersecurity Framework nist.gov ↗ CIS Critical Security Controls cisecurity.org ↗ ENISA Threat Landscape enisa.europa.eu ↗ Закон РА «О кибербезопасности» arlis.am ↗ Акты правительства по применению закона arlis.am ↗ Требования ЦБ РА к платёжным организациям cba.am ↗ ЦБ РА о поставщиках услуг криптоактивов cba.am ↗
Граница честности
Обзор помогает подготовиться к вопросам регулятора и партнёров, но не является обещанием предотвратить инциденты и не заменяет оценку соответствия конкретным нормам.
Критическая информационная инфраструктура
Если взаимодействие касается критической информационной инфраструктуры или иных чувствительных сред, объём и роль исполнителя определяются отдельно и не должны подразумеваться из общего текста.
08 — Куда дальше
Проверить готовность до того, как случится инцидент
Обсудим сценарии и объём обзора. Мы не атакуем системы — это обзор процессов и артефактов в согласованных границах.