Журнал "Information Security/ Информационная безопасность" #6, 2025

в себя и элементы обеспечения инфор- мационной безопасности, – развернул антивирус, организовал безопасный выход в Интернет, наладил резервное копирование, внедрил доменные поли- тики безопасности, внедрил межсетевой экран и многое другое. Это, наверное, и стало переломным моментом, когда я стал заниматься ИБ. Далее меня при- гласили в крупнейший металлургиче- ский холдинг "Северсталь", где вместе с командой единомышленников мы начали формировать направление ИБ. И вот, уже более двадцати двух лет я с удовольствием занимаюсь информа- ционной безопасностью. – В каком году вы начали зани- маться информационной безопас- ностью и с чего она, вообще, начиналась? – В 2004 году. По сути, тогда эта область в России еще только форми- ровалась. Первое время мы с коллега- ми сосредотачивались на каких-то тех- нических аспектах: интернет был доро- гим, трафик тарифицировался помега- байтно, удаленный доступ только начи- нал появляться. Уже существовали пер- вые модемные пулы, через которые сотрудники могли выполнять рабочие задачи из дома. Иногда происходили инциденты: штатные сотрудники раз- глашали свои логины и пароли, к модемным пулам подключались посторонние лица и весь трафик уходил на серфинг, а не по своему служебному предназначению. Мы выявляли такие случаи и выстраивали технические меры, чтобы обеспечить корректную работу удаленного доступа, разгова- ривали с нарушителями, объясняли им правила поведения в киберпростран- стве. Важным этапом формирования отно- шения к безопасности стало появление в 2004 г. федерального закона № 98 "О коммерческой тайне». Мы понимали, что режим коммерческой тайны требует правильного оформления, разграниче- ния доступа к информации и внедрения процессов, соответствующих закону. Это был серьезный вызов. Приходилось работать и с нормативными документа- ми, и с бизнес-подразделениями – вме- сте мы определяли, какие сведения дей- ствительно являются коммерчески цен- ными, выстраивали процессы конфи- денциального делопроизводства. В ком- мерческих компаниях делать это нужно аккуратно, ведь любое избыточное ограничение мешает операционной дея- тельности. Параллельно мы приступили к выстраи- ванию системы управления информа- ционной безопасностью. В качестве осно- вы в то время выбрали международный стандарт ISO/IEC 17799. По его требова- ниям начали строить систему в масштабе большого холдинга: регламентация, коми- тет по защите информации, плотное взаимодействие с бизнесом, определе- ние требований к информационным системам. Для многих, в том числе и для ИТ-департамента, тогда все это было новым, поэтому приходилось преодоле- вать сопротивление, аргументировать необходимость изменений, искать ком- промиссы. Все ИТ-проекты, которые иницииро- вались внутри холдинга, мы брали на экспертизу. Проверяли архитектуру и функциональность на соответствие требованиям информационной безопас- ности, формировали так называемые “профили безопасности», а затем уча- ствовали в приемке систем. Причина проста: внедрение механизмов безопас- ности при рождении продукта обходится несравнимо дешевле, чем попытки дора- ботать его после промышленного запус- ка. Мы даже делали экономические оценки, опираясь на старые советские нормативы по оценке стоимости (осме- чиванию) работ, – тогда еще не суще- ствовало современных российских спра- вочников. Ключевым направлением работы было обоснование инвестиций в безопасность, где мы наглядно показывали экономику рисков: небольшие затраты сегодня избавят от многократного ущерба в буду- щем. Кроме того, развивали сетевую безопасность, внедряли системы пред- отвращения вторжений, совершенство- вали антивирусную защиту. Позже, примерно в 2008 г., началась трансформация бизнеса, и я помогал выстраивать систему ИБ в дочерних компаниях, настраивал исполнение ими требований закона о персональных дан- ных и др. Это был масштабный, много- профильный этап моей работы. – В какой момент вы познако- мились с SECURITM? – В 2019 г. холдинг "Севергрупп", в который входит “Северсталь», при- обрел торговую сеть "Лента", и мне предложили перейти туда и заняться созданием системы менеджмента ИБ в соответствии с уже устоявшимися практиками холдинга. В "Ленте" я про- работал пять лет – до 2024 г. В короткий промежуток времени были созданы структуры ИБ, набрана команда специа- листов, выстроены процессы, сформи- рована архитектура безопасности. Ретейл – это огромная инфраструкту- ра: сотни городов, магазины разных форматов, высокая динамика и крайне жесткие требования по доступности сер- висов. Покупатель не будет ждать, например, пока зависшая кассовая система одумается – он просто уйдет к конкуренту, в другой магазин. Рутин- ных задач становилось все больше: реестры, файлы, согласования, контроль выполнения, обработка инцидентов, ана- литика. Объем ручной работы рос лави- нообразно. Я вспомнил, что когда-то уже видел решения, позволяющие авто- матизировать и структурировать про- цессы ИБ: собрать разрозненные эле- менты в единую систему, убрать лиш- нюю операционку, навести порядок. Дополнительным фактором стало то, что многие зарубежные вендоры ушли с рынка, продукты Microsoft начали ограничиваться в функциональности, а планировщик задач перестал быть полноценным инструментом. Да, на рынке существовали и другие платфор- мы, но для задач безопасности, с учетом специфики ретейла и масштаба инфра- структуры, требовалось нечто другое. Поэтому из нескольких российских реше- ний мы выбрали SECURITM 1 . Понрави- лось, насколько точно функционал про- дукта отвечал нашим задачам, а также соотношение "цена – качество". Мы про- шли процесс согласования, приобрели систему, внедрили ее и начали работу. Для решения тех вызовов, которые стоя- ли перед нами, SECURITM оказался идеальным инструментом. Я благодарен компании SECURITM за то, что они взя- лись за внедрение в наших непростых условиях. – Сложно ли было убедить руко- водство выбрать систему SGRC для управления ИБ, ведь она не входит в требования со стороны регуляторов? – Убедить было не очень сложно. Я привел аргумент, который звучал так: хирург не может провести успешную операцию без медицинских инструмен- тов, и точно так же специалист по инфор- мационной безопасности не способен эффективно защищать компанию без понятных и удобных инструментов, обес- печивающих управляемость процессов и анализ рисков. SECURITM – не сред- ство защиты в прямом смысле, а систе- ма, позволяющая выполнять работу каче- ственно, стабильно и прозрачно. Аргу- менты убедили руководство, и нам был дан зеленый свет на внедрение. – Чем именно выделяется систе- ма SECURITM на фоне других решений? – В первую очередь, простотой и стои- мостью. У продукта очень гибкая ценовая модель. На момент внедрения я внима- тельно изучал конкурентов: их решения были дороже, а идеология построения систем мне показалась менее удобной и менее подходящей для наших задач. Система SECURITM органично ложилась в те процессы, которые мы уже выстраи- вали, и решала именно те задачи, которые мы хотели. Внедрение мы провели при- мерно за два месяца – для такого класса решений это отличный результат. • 15 ПЕРСОНЫ www.itsec.ru 1 https://securitm.ru/