Какие данные для защиты критичны: инструкция по аудиту

Какие данные для защиты критичны: аудит активов компании

Значительная их часть обычно не учтена ни в одном реестре — это естественное следствие того, что новые системы появляются быстрее, чем их успевают регистрировать. В итоге компания защищает периметр, инструменты, каналы связи — но не сами данные. А первая задача аудита — определить, какие данные для защиты требуют приоритетного внимания, где они лежат и сколько они стоят для бизнеса.

Методология инвентаризации информационных активов: с чего начать аудит

Аудит начинается не со сканера, а с разговора. Невозможно обнаружить данные, не понимая, какие бизнес-процессы их порождают, кто ими владеет и в каком объёме они нужны для работы. Сканер найдёт только то, что уже существует в виде структурированного объекта — а у значительной части корпоративных данных физического «адреса» нет.

Рабочая методология — гибрид: top-down от процессов к хранилищам и bottom-up от технических систем к их содержимому. Один подход без другого всегда даёт дыры.

Порядок действий выглядит так:

1. Карта бизнес-процессов верхнего уровня. Продажи, поддержка, разработка, кадры, финансы, маркетинг. Без этой карты инвентаризация превращается в перебор файлов.

2. Определение владельцев данных для каждого процесса. Не IT-владельцев сервера, а бизнес-владельцев информации — именно они решают, что считать конфиденциальным, а что нет.

3. Автоматическое обнаружение. Агенты DLP на рабочих станциях, сканеры хранилищ, cloud asset inventory в публичных облаках, поиск по репозиториям кода на предмет ключей и дампов. Это даёт фактическую картину.

4. Ручная инвентаризация. То, что автоматика не нашла: неструктурированные документы, теневые таблицы, переписки, выгрузки, устаревшие CRM-выгрузки у бывших менеджеров. Сюда же — устный опрос ключевых сотрудников.

5. Валидация и регулярное обновление. Инвентаризация, сделанная однажды, устаревает за несколько месяцев.

Не существует защищённой системы, в которой неизвестно, что она хранит.

Главная ошибка на этом этапе — воспринимать инвентаризацию как одноразовую акцию. На практике её проводят итерациями: первичная, уточняющая, поддерживающая. Полный цикл обычно занимает несколько недель, а поддерживающие итерации повторяются раз в квартал или после любых существенных изменений в инфраструктуре. В зрелых организациях реестр активов связан с CMDB и обновляется автоматически при появлении новых ресурсов в облаке.

Классификация конфиденциальной информации: от публичных данных до коммерческой тайны

Какие данные подлежат защите в типичной российской компании — это вопрос не теории, а конкретных регуляторных режимов и коммерческих рисков. Классификация здесь не ярлык на папке, а набор параметров доступа, хранения и удаления, который автоматически применяется к каждому активу. В зрелых системах генерация классификационных меток частично автоматизирована — по правилам, регулярным выражениям и контексту файла.

В российской практике устоялась четырёхуровневая модель:

Три параметра определяют гриф актива. Первый — ущерб от утечки: публикация маркетинговой брошюры никак не повлияет на компанию, утечка исходного кода повлияет на конкурентоспособность, утечка медицинских данных приведёт к регуляторным штрафам и репутационному кризису. Второй — регуляторные обязательства: для персональных данных действует 152-ФЗ, для гостайны — отдельный режим, для банковской тайны — стандарты ЦБ, для критической информационной инфраструктуры — требования ФСТЭК. Третий — конкурентная ценность: иногда данные не подпадают под регуляторку, но их утечка разрушает переговорную позицию или раскрывает стратегию.

Главный практический совет: не множить уровни. Четырёх достаточно. Если появляется пятый — значит, плохо разграничены соседние уровни. Также не стоит завышать гриф: иначе сотрудники перестают работать с данными, и бизнес теряет эффективность. Зрелая практика — привязать гриф к конкретному списку контрольных мер, а не к абстрактному «секретно».

Категории персональных данных и требования к их защите в корпоративной среде

Федеральный закон № 152-ФЗ делит персональные данные на три категории, и от категории напрямую зависит набор ограничений и лимитов на обработку.

Иные (общие) персональные данные — ФИО, телефон, адрес, email, место работы, должность. Это самая массовая категория, с которой работают CRM, HR-системы, helpdesk, маркетинговая аналитика.

Специальные категории — данные о здоровье, религии, политических и философских убеждениях, интимной жизни, судимости, национальной принадлежности. Обработка допускается только в случаях, прямо перечисленных в законе: согласие субъекта, исполнение договора, общественный интерес, медицинская или правовая деятельность. Для HR-систем это означает, что медицинские справки и сведения о вероисповедании хранятся отдельно и с дополнительными мерами контроля.

Биометрические данные — отпечатки пальцев, изображение лица, голос, радужная оболочка. По 152-ФЗ обрабатываются только при наличии согласия или в случаях, прямо предусмотренных законом (например, для пропускного режима на режимных объектах). Отдельный лимит — биометрия в большинстве коммерческих сценариев требует именно письменного согласия.

Корпоративная среда создаёт несколько типовых ловушек. Первая — перекрёстное использование: данные клиентов из CRM попадают в маркетинговую аналитику, оттуда — в тестовые среды, оттуда — к подрядчику. Каждый переход — это новая цель для 152-ФЗ и новая точка риска. Вторая — обезличивание не снимает ответственности: если обезличенные данные можно реидентифицировать по косвенным признакам (дата рождения, район, пол, профессия), регулятор рассматривает их как персональные. Третья — трансграничная передача: перемещение ПДн на серверы за пределами РФ требует уведомления Роскомнадзора, а для российских операторов — соблюдения требований по локализации.

На практике стоит завести реестр всех информационных систем, обрабатывающих ПДн, и для каждой зафиксировать категорию данных, основание обработки, срок хранения и перечень получателей. Этот реестр — основа для модели угроз и выбора конкретных технических мер.

Выявление скрытых потоков данных: где информация теряет защиту

Самая коварная часть аудита — данные, о которых не знает ни владелец процесса, ни IT-служба. Это так называемые теневые потоки. Они возникают там, где людям удобно обойти формальный процесс, а технический контроль этого не замечает.

Типовые места скопления теневых данных:

• Тестовые контуры разработки. Копии production-баз, выгруженные «на пять минут» для отладки, живут годами. По отраслевой практике, именно отсюда происходит значительная часть крупных утечек.
• Забытые базы и архивы. Базы прошлых проектов, выведенные из эксплуатации, но не удалённые физически. Доступ к ним обычно никем не контролируется.
• Личные облачные хранилища сотрудников. Google Drive, Dropbox, OneDrive. Сотрудник отправляет себе рабочий файл «домой доработать» — данные ушли за периметр.
• SaaS без корпоративного управления. Подписки на сервисы, оформленные на личные карты, с рабочими данными внутри. Никаких NDA, никакого контроля.
• Резервные копии без сквозного шифрования. Бэкапы часто лежат на отдельных серверах с упрощённым доступом.
• Логи и метрики. Технические логи нередко содержат фрагменты запросов с персональными данными, токены авторизации, адреса электронной почты.
• Субподрядчики и процессоры. Подрядчик получает выгрузку клиентских данных и обрабатывает её в своей инфраструктуре, режим которой компания не контролирует.

Для обнаружения этих потоков используются разные классы инструментов. Для облачной инфраструктуры — CSPM и DSPM, которые автоматически находят хранилища с избыточными правами и незашифрованные блобы с чувствительным содержимым. Для корпоративной сети — DLP-агенты на рабочих станциях, отслеживающие передачу файлов. Для теневого SaaS — периодический опрос сотрудников и анализ сетевого трафика на предмет обращений к незнакомым доменам.

Данные текут туда, где ими проще всего пользоваться. Задача аудитора — найти эти места до того, как туда доберётся злоумышленник.

Практический приём, который часто даёт больше, чем любой сканер: раз в полгода проводить короткие интервью с владельцами процессов с единственным вопросом — «куда уходят данные из вашей системы». Ответы почти всегда содержат хотя бы один неучтённый поток.

Приоритизация активов: как определить критичность данных для бизнеса

После инвентаризации и классификации встаёт ключевой вопрос: что защищать в первую очередь, если ресурсов на всё не хватает. Это задача приоритизации, и она решается через оценку влияния на бизнес по трём осям — классической триаде CIA.

Конфиденциальность — утечка данных приведёт к ущербу. Насколько серьёзному? Для публичных материалов — нулевому. Для коммерческой тайны — измеримому в деньгах. Для специальных категорий ПДн — катастрофическому с регуляторными последствиями.

Целостность — потеря или изменение данных остановит процесс? Для финансовой отчётности — да, немедленно. Для черновиков маркетинговых текстов — практически нет.

Доступность — сколько часов простоя процесса бизнес выдержит без критических последствий? Для систем бронирования — считанные минуты. Для архивных данных — практически неограниченно.

Алгоритм приоритизации по шагам:

1. Связать каждый актив с бизнес-процессом. Без этой связи приоритет — догадка.

2. Оценить ущерб по трём осям в простой шкале: низкий, средний, высокий, критический.

3. Присвоить интегральный приоритет через простую матрицу.

4. Назначить владельца актива. Без владельца приоритет остаётся формальностью.

5. Зафиксировать цикл пересмотра — бизнес меняется, приоритеты тоже.

Главная ловушка приоритизации — стремление защищать всё одинаково. Это размазывает ресурсы, раздувает бюджет и снижает реальную защищённость критичных активов. Зрелая практика — выделить критический и высокий приоритет, вложить в их защиту основной бюджет, а среднему и низкому уровню оставить стандартные меры.

Что в итоге

Аудит информационных активов — это не про покупку системы и не про формальный отчёт регулятору. Это итерационный процесс, в котором главное — ответственность за каждый набор данных и понимание, какой ущерб бизнес понесёт при компрометации.

Три параметра, на которых держится вся защита: точная инвентаризация (что у нас есть), корректная классификация (какой это уровень риска), назначенный владелец (кто отвечает). Без любого из них защита превращается в имитацию. С ними — становится управляемым процессом, в котором решения принимаются по фактам, а не по интуиции.

Данные — это не «IT-актив». Это актив бизнеса, и относиться к нему нужно соответственно: с тем же уровнем учёта, ответственности и стратегического планирования, как к деньгам, оборудованию или интеллектуальной собственности.