Стратегический ИБ-аудит для крупной компании

Клиент (крупная коммерческая организация, более 200 сотрудников, распределенная инфраструктура) обратился к нам с просьбой провести всестороннюю оценку состояния своей ИТ-инфраструктуры. В отличие от других проектов, у этого заказчика уже есть относительно стабильная, современная ИТ-инфраструктура без явных нарушений. Наша задача состояла не в «тушении пожаров», а в построении стратегического плана по укреплению защищенности и отказоустойчивости бизнеса.

Нам предстояло выявить текущие уязвимости и разработать долгосрочную стратегию повышения уровня защищенности в соответствии с требованиями ФЗ-152 «О персональных данных» и ФЗ-187 «О безопасности критической информационной инфраструктуры». 

Мы провели комплексное обследование по трем направлениям:

1. Анализ аппаратного и сетевого оборудования (инфраструктурный аудит);
2. Тестирование на уязвимости в сети, приложениях и доступах (пентестинг);
3. Оценка политик, процедур и уровня киберграмотности сотрудников (организационный аудит).

По итогам аудита уровень информационной безопасности компании признан «хорошим» (на шкале от «удовлетворительного» до «отличного»). Вместе с тем обследование выявило скрытые риски, связанные с организационными процессами, устаревшим оборудованием, программными решениями и человеческим фактором. Чтобы эти «тихие угрозы» в долгосрочной перспективе не привели к критическим сбоям, мы предложили заказчику план по их устранению.

Технические угрозы. Устаревшее оборудование и ПО

Мы выявили, что 18% пользовательских компьютеров и 12% серверов эксплуатируются более 7–9 лет.

Блоки питания, мониторы и жесткие диски выходят из строя из-за износа, повышается риск повреждения из-за человеческого фактора (залив жидкостью, физические повреждения), отсутствует резервирование критичных узлов.

Что мы порекомендовали? Разработать 3-летний план модернизации парка. В первую очередь заменить оборудование старше 7 лет (приоритет — серверы и точки доступа). Перевести старые ПК в резервные/тестовые сегменты и внедрить систему мониторинга состояния оборудования (например, через SNMP-мониторинг).

Кроме того, мы обнаружили информационную систему собственной разработки (СИС), созданную 15 лет назад. Эта система критически важна для бухгалтерии. Однако она не поддерживается разработчиком, у нее нет документации, а ее техническая поддержка возможна только через одного специалиста. Масштабировать эту СИС или интегрировать с другими системами невозможно.

Что мы порекомендовали? Мигрировать на стандартную платформу 1С:Предприятие 8.3 с последующей сертификацией по требованиям ФЗ-152 и ГОСТ Р 57580.

Организационные риски. Отсутствие политики ИБ и низкий уровень киберграмотности 

Несмотря на наличие ИТ-отдела, у компании не было единой документированной политики ИБ, регламентов по хранению паролей, работе с персональными данными, использованию съемных носителей и реагированию на инциденты. Сотрудники не проходили регулярного обучения. Наблюдались риски использования бумажных записей паролей (под клавиатурой, в кошельке), открытия подозрительных писем, хранения сканов паспортов на рабочих столах (нарушение ФЗ-152).

Что мы порекомендовали? Разработать политику информационной безопасности и внедрить систему повышения осведомленности на базе платформы Kaspersky ASA или аналогов.

Физическая безопасность

В офисе были выявлены такие потенциальные уязвимости, как проложенные по полу кабели (риск перетирания, случайного отключения), отсутствие защиты от несанкционированного доступа к сетевым точкам (например, кабели в зоне общего доступа), отсутствие контроля за доступом в помещения с хранением персональных данных (отдел кадров, бухгалтерия).

Что мы порекомендовали? Переуложить кабели в кабель-каналы и короба, установить защитные панели и маркировку кабелей, организовать изолированные зоны для бухгалтерии и кадров с контролем доступа (карты/ключ-карты), проводить раз в квартал физический аудит — проверку рабочих мест на наличие записей паролей, флешек, документов.

Итоги проекта

Клиент получил на руки:

• Детальный отчет об аудите IT-инфраструктуры и программного обеспечения.
• План организационных изменений, включая работу с персоналом.
• Технико-экономическое обоснование для модернизации оборудования и ПО.

Результатом проекта стала четкая и структурированная дорожная карта для дальнейшего развития ИБ-системы. 

1	Внедрение системы повышения осведомленности	Декабрь 2025
2	Разработка и утверждение Политики ИБ	Январь 2026
3	Планирование бюджета на модернизацию оборудования	Февраль 2026
4	Миграция на 1С:Предприятие	Март–Июнь 2026
5	Внедрение регулярного физического аудита (раз в квартал)	Апрель 2026
6	Подписание договора на аутсорс ИБ-управления (регулярное сканирование, мониторинг, ответ на инциденты)	Июль 2026

В итоге наше сотрудничество продолжается, и мы дальше работаем над модернизацией инфраструктуры вместе с заказчиком сейчас.