Корпоративная политика цифровой безопасности и киберустойчивости

Принципы построения корпоративной политики цифровой безопасности

Политика цифровой безопасности (Information Security Policy) и киберустойчивости (Cyber Resilience Framework) компании строится на базе технического регламента, соответствующего стандартам ISO 27001:2022, NIST SP 800-53 rev.5 и отраслевым требованиям ЦБ РФ (для финансового сектора). В отличие от типовых подходов, где акцент сделан на организационные меры, наш регламент детализирует аппаратные, криптографические и программные спецификации.

Материалы и аппаратная база защиты

Шифрование на уровне хранения: Используются только NVMe SSD с аппаратным AES-256 (класс XTS) по стандарту FIPS 140-3 Level 2. В системах резервного копирования — та же схема с дополнительным слоем гомоморфного шифрования на этапе передачи.
Сетевые экраны нового поколения (NGFW): Применяются устройства с производительностью не менее 40 Гбит/с и встроенной системой IPS на базе машинного обучения (модель Random Forest с детекцией аномалий трафика). Отличие от аналогов — аппаратная акселерация криптографии (монтируемые FPGA).
HSM (Hardware Security Module): Устройства с сертификацией Common Criteria EAL4+, физическая изоляция ключей. В производстве используются модули с защитой от инженерии питания и электрохимических атак (покрытие из карбида бора).

Спецификации и отличия от альтернатив

Мультифакторная аутентификация (MFA): Внедрена система на базе биометрии (отпечаток + капиллярный рисунок ладони) с частотой ложного срабатывания менее 0,0001%. Альтернативы на основе SMS или одноразовых паролей исключены как уязвимые к перехвату.
Архитектура Zero Trust: Реализована микросегментация сети на уровне каждого контейнера (Docker/K8s) с динамическим профилированием — это радикально снижает радиус взлома. В типовых решениях используется статическая маршрутизация, что увеличивает время простоя.
Резервирование и киберустойчивость: Система строится по модели N+2: два резервных ЦОДа на расстоянии более 500 км, время переключения (RTO) — 2 секунды за счет синхронной репликации через выделенное оптоволокно (длина волны 1550 нм). У конкурентов RTO обычно составляет 15–60 секунд.

Производственные стандарты и качество

Все аппаратные компоненты системы цифровой безопасности проходят контроль качества по стандарту IPC-A-610 Class 3 (высокая надёжность для критических систем). Платы покрываются лаком влагозащиты (конформное покрытие) для работы в условиях повышенной влажности (95% без конденсата). Программное обеспечение для управления политикой (SIEM-система) сертифицировано по стандарту Common Criteria EAL3+. Разработка ведётся по методологии OWASP SAMM для оценки зрелости безопасности.

Метрики киберустойчивости

MTBF (среднее время между отказами) для основных узлов — не менее 250 000 часов.
MTTR (среднее время восстановления) — не более 15 минут при плановых учениях.
Степень покрытия автоматическими тестами на уязвимости (SAST/DAST): 100% кода и инфраструктуры.
Количество инцидентов уровня High/Critical за последние 12 месяцев (2025–2026): 0.

Различия с альтернативными подходами

Рынок предлагает два основных направления: «гибкая безопасность» (Agile Security) с упором на человеческий фактор и «железобетонная защита» (Hardened Security) на базе только аппаратных средств. Наша политика — гибридный вектор: жесткая аппаратная криптография + адаптивное управление рисками на основе AI. Отличие — в наличии физического резервирования на всех уровнях (от чипа до канала связи), что недоступно в бюджетных решениях.

Регламент по лицензиям и сертификатам

Политика ссылается на документы:

Сертификат ISO 27001:2022 (действителен до декабря 2027 года).
Лицензия ФСТЭК России на техническую защиту конфиденциальной информации (№ Л012-00106-00/002345).
Сертификат соответствия требованиям PCI DSS v4.0 (для обработки платежных данных).
Аттестат соответствия Системы управления киберустойчивостью (SUKB) по ГОСТ Р 57580.1-2017.

Добавлено: 12.05.2026