Проще и дешевле: как связка СЗИ снимает нагрузку с ИБ-отдела

Какие проблемы создают разрозненные средства защиты?

Когда ИБ-специалист использует решения разных вендоров, он сталкивается с рядом сложностей – такие системы:

• Обходятся дороже: отдельные лицензии, отдельная интеграция, отдельное обслуживание на каждый продукт.
• Внедряются сложнее – на настройку и стыковку систем разных вендоров уходит время, которого у отдела и так не хватает. Потому часть функционала продуктов «теряется» в процессе эксплуатации – до нее не доходят руки.
• Могут давать промахи и пропускать угрозы, которые проходят через несколько каналов сразу, так как каждый инструмент работает «внутри себя», а не сообща.
• Требуют больше ручной работы – сведение логов, отчётов и данных между системами, которые не рассчитаны на совместную работу. Это съедает время отдела, которое могло быть потрачено на предотвращение инцидентов.
• Перегружают ИБ-отдел – больше сил уходит на администрирование нескольких систем и проверку их интеграций. К тому же каждый продукт требует отдельных навыков по работе с ним.

А в случае возникновения проблем совместимости ИБ-специалисту придется иметь дело с техподдержками нескольких подрядчиков, и не исключено, что ответственность за ситуацию не возьмет ни одна.

Что дает комплекс продуктов одного вендора?

Именно поэтому заказчики переходят на экосистемы защитных решений одного разработчика. По данным Gartner, около 75% организаций перешли к сознательному сокращению числа «узкопрофильных» средств защиты в пользу экосистемных ИБ-решений, чтобы снизить операционную сложность и улучшить обмен телеметрией между инструментами. А согласно исследованию IBM и Palo Alto Networks, организациям, использующим платформенный подход, требуется в среднем на 72 дня меньше, чтобы обнаружить инцидент.

Связка решений «СёрчИнформ» помогает снизить совокупную стоимость и нагрузку по администрированию систем. А выполнение нормативных требований заложено в архитектуре. Глубокая интеграции между решениями, адаптация под задачи заказчиков и техподдержка в одно окно избавляет ИБ-службу от сложностей, возникающих при использовании систем разных вендоров.

Практика

Возьмем связку из двух продуктов: системы аудита и защиты файловых хранилищ «СёрчИнформ Файловый аудитор» и система защиты от утечек «СёрчИнформ КИБ».

Первая находит файлы с чувствительной информацией (персональными данными, коммерческой тайной, финансовыми сведениями), расставляет метки классификации и разграничивает доступ к ним: может ограничивать действия с файлами в конкретных программах или запрещать их целиком. «СёрчИнформ КИБ»в свою очередь контролирует, какие данные и через какие каналы уходят из компании (почту, мессенджеры, съёмные носители и другие).

Что дает связка «Файлового аудитора» и КИБ? Во-первых, удобство – они работают в одном интерфейсе. Во-вторых, оптимизацию защиты: метки «Файлового аудитора» напрямую используются в блокировках КИБ – благодаря им система не анализирует содержимое файла повторно, а сразу видит, что передача запрещена/разрешена. В-третьих, снижение риска инцидентов за счет контроля всего жизненного цикла файла – от создания и хранения до передачи. «Файловый аудитор» отвечает за то, что происходит с данными внутри контура, а КИБ отдельно контролирует их перемещение за периметр компании.

Можно усилить связку – подключить к КИБ ИИ-Ассистент. Он выявит скрытые инциденты, которые не обнаружить классическими инструментами, а также уменьшит ручную работу ИБ-специалистов. ИИ-Ассистент анализирует контекст переписки, учитывает ее тон и специфику и благодаря этому видит больше нарушений. Модуль экономит время ИБ-служб за счет резюмирования и автоперевода текстов.

Подключение к комплексу решений системы управления инцидентами ИБ «СёрчИнформ Мониторинг безопасности» повысит общую защищенность организации. Решение собирает логи с объектов инфраструктуры через контроллеры и сопоставляет события по правилам корреляции и кросс-корреляции – предустановленным и готовым к работе сразу после инсталляции. Интерфейс интуитивно понятен, с ним справится штатный специалист. В связке система использует КИБ и «Файловый аудитор» как источники событий напрямую, без отдельной настройки интеграции.

В итоге такая совместная работа продуктов даёт цельную картину происходящего в компании – контроль над файлами, каналами передачи, контекстом переписки и инфраструктурой в одном контуре. ИБ-специалист видит внутренние риски целиком без долгого анализа от нестыкующихся СЗИ.

Помимо самой связки продуктов, «СёрчИнформ» предоставляет:

• Собственную аналитику и исследования по темам информационной безопасности. Это источник данных для отчётов, обоснования руководству;
• Практические вебинары с разбором новых функций продуктов;
• Очное и онлайн-обучение для ИБ-специалистов;
• Ежегодную серию конференций «СёрчИнформ» и клиентские мероприятия, где можно обсудить свои подходы с коллегами, уже прошедшими похожие внедрения.

Простые выводы

Каждый заказчик в праве выбрать подход к защите, который считает для себя эффективнее. Наш опыт работы с тысячами компаний помог создать экосистему, которая нивелирует большинство проблем, возникающих при внедрении продуктов разных вендоров.

Решения «СёрчИнформ» интегрированы на уровне данных, а не только событий, специалисты по внедрению и поддержке знают всю связку целиком, а сами продукты развиваются на основе требований и задач заказчиков. Таким образом ИБ-отдел сосредотачивается на защите компании, а не администрировании зоопарка систем.

Проверьте на собственной инфраструктуре эффективность связки продуктов «СёрчИнформ» – доступны 30 дней бесплатного тестирования.