Скоуп (Scope)

Скоуп (Scope, Область действия / Границы) — это четко определенный и документированный набор активов, систем, процессов, сетевых сегментов и людей, которые включаются в границы конкретного проекта, оценки, системы управления или действия в области информационной безопасности. Определение скоупа является критически важным первым шагом для любых структурированных процессов: аудита безопасности, тестирования на проникновение (пентеста), внедрения системы управления информационной безопасностью (СМИБ) и расследования инцидентов.

Возможности и цели определения скоупа:

• Очерчивание границ: Четкое разделение на то, что входит в рамки деятельности (in-scope), и что не входит (out-of-scope). Это предотвращает «расползание» задач и недопонимание.
• Фокусировка ресурсов и ответственности: Позволяет сконцентрировать усилия, время и бюджет на защите или проверке наиболее критичных активов, определенных в скоупе.
• Правовое и договорное основание: В пентестах и аудитах скоуп фиксируется в договоре (Scope of Work, SOW) или Rules of Engagement (RoE), определяя легальные границы действий тестировщиков и защищающую организацию от нежелательного воздействия на системы, не включенные в скоуп.
• Управление рисками: В рамках СМИБ (например, по ISO 27001) определение скоупа позволяет организации системно применять меры управления рисками и контроля к выбранной части бизнеса, а не ко всей компании сразу.
• Основные элементы скоупа:
  • Организационные границы: Какие подразделения, офисы, юридические лица включены.
  • Функциональные границы: Какие бизнес-процессы, услуги, продукты.
  • Технологические границы: Конкретные IP-адреса, доменные имена, сетевые диапазоны, серверы, приложения, облачные среды.
  • Физические границы: Здания, дата-центры.

В зависимости от контекста, выделяются разные виды скоупов:

• Скоуп пентеста: Определяет целевые системы, разрешенные методы атак, запрещенные действия (например, не тестировать системы бухгалтерии в рабочее время).
• Скоуп СМИБ (для ISO 27001): Описывается в заявлении о применимости (Statement of Applicability), куда входят процессы и активы, на которые распространяется система менеджмента.
• Скоуп расследования инцидента: Определяет, какие системы и логи будут исследоваться для выяснения причин и масштаба компрометации.
  Правильно определенный скоуп — это залог эффективности, юридической чистоты и безопасности любой инициативы в сфере ИБ. Его пересмотр должен быть регулярным, так как бизнес и технологии постоянно меняются.

Выгода от безопасности: компании меняют подход к оценке эффективности ИБ-инвестиций

Бюджет