Требуют «отдел реагирования на инциденты ИБ» — неужели компании из 20 человек он реально нужен?

Не спешите спорить с этим пунктом. Напишите их безопасникам: «Функция реагирования на инциденты реализована по гибридной модели с привлечением внешнего провайдера безопасности. Внутреннюю координацию ведет ведущий системный администратор, вторую линию и техническое реагирование обеспечивает подрядчик». Обычно такой ответ согласуют сразу.

В Дубае в прошлом году на похожем аудите банковской интеграции мы столкнулись с тем же самым. Заключили с местным провайдером безопасности договор на абонентское обслуживание по инцидентам с оплатой за вызов — 18 000 AED в год. В форму для аудита вложили их договор и нашу схему эскалации, аудит прошёл без единого дополнительного вопроса.

На аудите главное, на что они смотрят, — это не ваша инфраструктура SIEM, а то, как выстраивается коммуникация в момент обнаружения. Пропишите для критических инцидентов максимальный SLA на реагирование 2 часа, безопасное хранение логов в отдельной среде и протокол письменного уведомления оператора данных при утечке. Если эта процедура есть в форме, технический аудит закрывается.

edit: исправил несколько опечаток.

В проекте договора есть требование обязательного ISO 27001 или аналогичного международного сертификата, или на форме достаточно просто заявить о наличии подразделения? У вас будет прямой доступ к базе данных клиента или система общается только изолированно через API?

закупочные отделы корпоративных клиетов просто копипастят стандартный шаблон... короче напишите свою команду из двух человек как внутренних координаторов, а снаружи заключите дешёвый договор на поддержку с оплатой за вызов — и хватит, никто от вас не ждёт soc-рум.

Два года назад когда у нас было 15 сотрудников, клиент с госсвязями тоже выкатил нам это условие. Сначала мы ужаснулись и прикидывали не нанять ли ещё двух безопасников в команду годовые расходы просто убивали наш бюджет. Потом поговорили со знакомым аудитором предоставили договор с внешним сервис-провайдером — и приняли с первого раза. Зря мы тогда не спали.

Когда заключаете договор с внешним подрядчиком, будьте внимательны; некоторые фирмы просто раз в месяц присылают отчёт об автоматическом сканировании и называют это реагированием на инциденты. Если аудитор клиента начнёт копать детали и спросит «а кто реагирует, если в три часа ночи прилетит шифровальщик», этот договор на бумаге лопнет. Выбирайте провайдера, до которого реально дозвониться.

требовать от компании на двадцать человек круглосуточную службу безопасности — это как обязывать ларёк возить наличку в броневике. корпоративные закупщики иногда думают что бюдджет на безопасность их компании есть и у мелкого поставщика. покажите договор с внешним подрядчиком и всё.

Да, по теме отдел реагирования на инциденты ИБ ситуация именно такая. Если не зафиксировать это письменно с самого начала, потом возникнут споры.

Прежде чем принимать решение, посмотрите, какие данные у вас есть.

Появились три разных мнения, они дополняют друг друга. Если делаете впервые, начните с малого, масштабирование потом.

На этом всё, извините, если затянул.

Я проходил через это, расскажу. Решения, работающие в малом масштабе рушатся при росте, я узнал это слишком поздно.

Оставлю как заметку, пригодится.

давайте разделим понятия, их путают и когда пытаешься изменить всё сразу ниччего не приживается.

проверено опытом.

Не могли бы вы это пояснить? в общем если ругать за ложные тревоги никто больше не будет присылать уведомления.

Исправьте, если я ошибаюсь.

Дешевый на вид путь обычно выходит дороже в итоге. Процесс, по которому не ведется учет, не улучшается, потому что вы не знаете что именно улучшать.

У меня будет вопрос не хочу уходить от темы но... Чем сложнее отменить решение, тем медленнее его принимайте.

Удачи.

В прошлом году мы столкнулись практически с тем же самым. Пытаться сделать это в одиночку — самый дорогой путь.

Удачи.

Попробую.

Есть момент, который я не понял. Если разрешение и объем тестирования не зафиксированы письменно, тест не начинать.

Интересно, есть ли те, кто делает иначе.