Комплаенс — не безопасность, но соответствия помогают обоим

Это одно из самых давних наблюдений в профессии: комплаенс — не безопасность. В отчётах о взломах регулярно фигурируют организации, которые имели нужные сертификаты и успешно проходили аудиты. Наблюдение верно, но обычный вывод, что комплаенс — это театр, неверен. Комплаенс и безопасность во многом пересекаются. Проблемы возникают на границах и в том, сколько времени отнимает комплаенс.

Где они совпадают

Стандарты согласны в основном, потому что основное работает. Каждый из одиннадцати стандартов, которые мы сопоставляем, требует управления активами, управления уязвимостями, резервного копирования и восстановления, реагирования на инциденты и отчётности по инцидентам (общее ядро). Большинство требует MFA, логирования, проверки доступа и безопасности поставщиков. Организация, которая действительно выполняет эти меры, гораздо труднее взламывается, чем та, которая их не выполняет, независимо от наличия сертификата.

Где они расходятся

• Область применения. Аудит охватывает определённую систему. Атакующих границы не сдерживают: взлом происходит через корпоративный ноутбук, забытый тестовый сервер или поставщика за пределами периметра.
• Момент времени. Меры, которые работают на выборке аудита, могут не работать везде и каждый день.
• Дизайн против эффективности. Мера может существовать, быть задокументирована и протестирована и при этом не останавливать атаку, для которой предназначена: MFA, который можно зафишить, или сканер, который не видит половину инфраструктуры.
• Что стандарты упускают. Несколько наиболее эксплуатируемых путей атак (API, веб-приложения, DNS) требуются немногими стандартами, как показывает наш анализ тем, которые стандарты пропускают.

Настоящая цена: время

Более серьёзная проблема не в том, что комплаенс неверен, а в том, что он дорог. Организация с тремя-четырьмя стандартами может тратить большую часть усилий на безопасность на сопоставление, доказательства и аудиты, причём многое дублируется. Каждый час, потраченный на подготовку одной и той же проверки доступа в трёх форматах, — это час, не потраченный на поиск угроз, укрепление защиты или поверхность атаки, которую никакой аудитор не проверяет.

Как соответствия помогают обоим

Здесь сопоставление окупается. Если вы знаете, что одна мера удовлетворяет ISO 27001, SOC 2, PCI DSS и NIS2 одновременно, вы внедряете её один раз, подтверждаете один раз и перестаёте трижды платить налог на комплаенс. Сэкономленное время — это время, которое нужно безопасности. Хорошие соответствия также показывают, где стандарты молчат, а именно туда должна вести ваша собственная оценка рисков.

Направление	Сопоставлено	Косвенно связано	Нет сопоставления
Есть ISO 27001 → нужен SOC 2	41 из 61 (67%)	0	20	отчёт →
Есть SOC 2 → нужен ISO 27001	98 из 123 (80%)	21	4	отчёт →

Признаки того, что программа свелась к комплаенсу

• Работы по безопасности планируются по датам аудитов, а не по угрозам.
• Меры действуют только в пределах области аудита; остальная инфраструктура не затронута.
• Метрики измеряют документы и процент выполнения, а не результаты, такие как время до устранения уязвимости или время до обнаружения.
• Команда может назвать, какое требование стандарта выполняет мера, но не то, какую атаку она останавливает.
• Замечания закрываются изменением документов, а не изменением систем.

Если несколько из этих признаков кажутся знакомыми, решение не в отказе от комплаенса, а в его автоматизации и перенаправлении сэкономленного времени.

Ключевые выводы

• Комплаенс и безопасность имеют общее основание, но расходятся на границах.
• Самая большая цена комплаенса — дублирование усилий.
• Сопоставьте один раз, автоматизируйте доказательства и тратьте сэкономленное время на безопасность.

Что делать

1. Постройте один набор мер, сопоставленный со всеми стандартами, которым вы обязаны соответствовать, а не отдельную программу на каждый стандарт.
2. Автоматизируйте доказательства везде, где система может их формировать.
3. Тратьте сэкономленное время на то, что аудиты не видят: управление поверхностью атаки, инженерию обнаружения, тестирование.
4. Измеряйте безопасность отдельно от комплаенса: инциденты, время устранения уязвимостей, устойчивость к фишингу, время восстановления.

Комплаенс — это минимум, а не потолок. Используйте соответствия, чтобы выйти на этот минимум как можно дешевле, а затем наращивайте защиту. С анализа разрывов и матрицы покрытия стоит начать.

Вопросы

Защищена ли организация, которая соответствует требованиям?

Не обязательно. Соответствие показывает, что определённые меры существуют и работают в заданной области; атакующие бьют по самому слабому месту, в области или за её пределами.

Улучшает ли комплаенс безопасность вообще?

Да: стандарты требуют базовых мер, которые многие организации иначе пропустили бы, например инвентаризации активов, обновлений, проверок доступа и планов реагирования на инциденты. Проблема возникает, когда комплаенс становится всей программой.