Сначала немного астракции, а дальше во второй части будет больше объективности В прошлой статье я упомянул, что одна из функций пресейла – анализ и подготовка ТЗ на конкурсы. И вот сегодня как раз читаю тех задание, а там въетнамские кешбеки – Выявление уровня защищенности компании и оценка зрелости заказчика с точки зрения кибербеза. Я прилично времени поработал с проектами по пентестам – где такая формулировка встречается в каждом втором ТЗ. И кажется пора срывать покровы – посчитать защищенность невозможно. Дать гарантию защищенности с точки зрения «непробиваемости» тоже нельзя. И плох тот Цисо, который не стесняется мечтать о таком. Давайте, навалю немного (не)базы: Можно ли вообще измерить уровень защищенности? Напрямую - нет. Безопасность/Защищенность – это состояние, а обеспечение безопасности – это бесконечный процесс. Финального состояния защищенности нет как минимум по 2м причинам: • Злоумышленники развиваются и всегда опережают безопасников на полшага минимум. • Людям в организациях нужно работать, а значит им нужны инструменты, доступы и некая прозрачность – которой и воспользуются злоумышленники при возможности. Пример: К тебе в дом не залезет вор, если в доме нет окон и дверей. (уже сюр, не правда ли?) Хотя если у Вора будет под рукой экскаватор-разрушитель – то в принципе пролезет. Но если вдруг у тебя завалялся бюджет на боевой вертолет – то экскаватор не страшен. А если у вора есть ПВО... – ну короче процесс обеспечения безопасности это всегда компромисс между ценой принимаемых мер и ценностью того, что ты охраняешь. А безопасность прикладная равна времени сопротивления твоего периметра, которое должно быть достаточным пока ты подгоняешь к защищаемому объекту тот самый вертолет. Короче: 1. Любая метрика в ИБ - это не измерение безопасности, а измерение приближения к ней. 2. ПВО у злоумышленников люто дешевеют и становятся доступны даже новичкам script kiddy - которые и не злоумышленники даже, а так, хулиганы. А вот цены на вертолеты нынче растут. Давайте иметь это ввиду. В след посте будут метрики измерения безопасности и еще немного личного мнения.