Компании по информационной безопасности делятся на семь типов: вендоры, интеграторы, сервис-провайдеры с мониторингом, аудиторы, специалисты по имитации атак, киберразведка и расследования, безопасность приложений. Выбирать нужно не компанию «вообще», а тип, который решает вашу задачу. Ниже — как различаются типы, какой нужен под какую задачу и как проверить подрядчика. Примеры взяты из рейтинга компаний по информационной безопасности в России.
Что считать компанией по информационной безопасности
В России «компания по информационной безопасности» и «компания по кибербезопасности» в повседневной речи означают одно и то же: организация, которая продаёт защиту или проверку защиты. Различие в терминах появляется в нормативных документах. Законы и документы ФСТЭК говорят об информационной безопасности и защите информации, а «кибербезопасность» чаще используют, когда речь о защите от атак в сетях и приложениях.
Для заказчика важнее другое: под одной вывеской скрываются разные бизнесы. Одна компания пишет программы защиты, другая подключает и настраивает чужие, третья круглосуточно следит за событиями, четвёртая нанимается взломать вас с вашего разрешения. Их услуги не взаимозаменяемы, и ошибка в выборе типа стоит дороже, чем ошибка в выборе конкретного исполнителя.
Семь типов компаний
| Тип | Что делает | Чем отличается от соседнего типа |
|---|---|---|
| Вендор | Разрабатывает и продаёт собственные продукты защиты | От интегратора: выпускает продукт, а не собирает решение из чужих |
| Интегратор | Подбирает, внедряет и поддерживает решения разных производителей | От вендора: не привязан к одному продукту; от сервис-провайдера: строит защиту, а не наблюдает за ней |
| Сервис-провайдер | Отслеживает события безопасности и реагирует на инциденты | От интегратора: работает постоянно, а не проектами |
| Аудит и оценка соответствия | Сверяет системы и процессы с требованиями | От offensive security: проверяет выполнение требований, а не возможность взлома |
| Offensive security | Проверяет защищённость методами имитации атак | От аудита соответствия: метод — атака, а не сверка с требованиями |
| Киберразведка и расследования | Собирает данные об угрозах и расследует инциденты | От сервис-провайдера: работает с угрозами и причинами, а не с ежедневным потоком событий |
| Безопасность приложений | Проверяет код, зависимости и процесс разработки | От offensive security: смотрит внутрь кода и процесса, а не только на внешнее поведение |
Таблицу удобно читать по столбцу «Чем отличается»: он показывает, где проходит граница между соседними типами. Граница не жёсткая. Вендор может оказывать услуги по внедрению, интегратор может разрабатывать продукты, сервис-провайдер может вести проверки защищённости. Поэтому в описаниях ниже указан основной профиль, и перед заказом стоит уточнить, какой из видов работ у компании подтверждён опытом и документами, а какой заявлен в добавление к основному.
Как работает каждый тип
Вендоры
Вендор отвечает за собственный продукт: антивирус, межсетевой экран, систему анализа защищённости, средство защиты баз данных. Его обычно выбирают, когда нужен конкретный класс решений, а в услугах вендор часто помогает с внедрением и обучением. Из рейтинга к этому типу относятся Positive Technologies и Лаборатория Касперского; у обеих компаний есть и сервисные направления. Вопросы вендору: совместимость с вашей инфраструктурой, срок поддержки продукта, наличие сертификатов ФСТЭК на нужные решения.
Интеграторы
Интегратор превращает набор продуктов в работающую систему защиты: проектирует, закупает, настраивает, запускает. Заказчику это удобно, когда своей команды для внедрения нет. В рейтинге это Газинформсервис и Innostage. Основной вопрос: какие решения интегратор умеет внедрять и есть ли у него опыт в вашей отрасли. Проект интегратора заканчивается передачей системы; если нужен постоянный контроль, к нему добавляют сервис-провайдера.
Сервис-провайдеры с мониторингом
Сервис-провайдер работает как внешний центр мониторинга: принимает события из вашей инфраструктуры, отбирает значимые и сообщает об инцидентах, а часто помогает с реагированием. Услуга подходит компаниям без собственного SOC или с командой, которая не справляется с потоком событий. В рейтинге это BI.ZONE и ГК Солар. Вопросы: что именно входит в мониторинг, какое время реакции в договоре, как устроено реагирование и кто принимает решения об изоляции систем.
Аудит и оценка соответствия
Аудитор проверяет, выполняются ли требования закона, регулятора или стандарта: 152-ФЗ, требований Банка России, PCI DSS. Результат — заключение о соответствии и список несоответствий. Такая проверка нужна, когда есть обязанность перед регулятором или контрагентом. В рейтинге к этому профилю относится RTM Group. Подтверждение соответствия не доказывает, что систему нельзя взломать, для этого нужна техническая проверка.
Offensive security
Специалисты этого профиля действуют как злоумышленник с вашего разрешения: ищут уязвимости, проверяют, можно ли ими воспользоваться, и показывают путь атаки. К этому типу относятся пентест, анализ защищённости и Red Teaming. Результат — отчёт с доказательствами, оценками уязвимостей и планом исправления. Одним из примеров компаний этого профиля является Paranoid Security. Вопросы исполнителю: проверка ручная или на сканере, кто ведёт проект, есть ли ретест.
Киберразведка и расследования
Эти компании следят за угрозами (какие группы нацелены на вашу отрасль, какие данные утекли) и разбирают случившиеся инциденты: как проникли, что затронуто, как не допустить повторения. Из рейтинга к этому типу относится F6. Услуга нужна после инцидента или для подготовки к нему. Смотрите на образцы отчётов и на то, как исполнитель фиксирует доказательства.
Безопасность приложений
Профиль AppSec — защита программного обеспечения: проверка кода, зависимостей и процесса разработки, встраивание проверок в конвейер сборки (DevSecOps). В рейтинге такой профиль у AppSec Solutions. Тип подходит компаниям, которые разрабатывают собственные продукты или заказывают разработку. Вопросы: какие языки и платформы проверяют, как результаты попадают к разработчикам, сколько ложных срабатываний.
Какой тип нужен под задачу
| Задача | Тип компании |
|---|---|
| Нужно подтвердить соответствие 152-ФЗ, ГОСТ Р 57580, PCI DSS | Аудит и оценка соответствия |
| Нужно проверить, можно ли взломать систему | Offensive security |
| Нужно проверить способность SOC заметить атаку | Offensive security (Red Teaming) |
| Нужно построить или перестроить защиту | Интегратор, вендор |
| Нет своего мониторинга | Сервис-провайдер |
| Произошёл инцидент | Киберразведка и расследования |
Если задач несколько, комбинируют типы: например, сначала интегратор строит защиту, потом offensive security проверяет её.
Два типовых сценария. Банк, который готовится к проверке требований Банка России, начинает с аудита соответствия, а затем заказывает пентест, чтобы убедиться, что сверка с документами не скрыла технических проблем. Интернет-сервис перед запуском нового продукта заказывает проверку защищённости приложения; если у него нет своего мониторинга, параллельно подключает сервис-провайдера. В обоих случаях работают два типа компаний, и ни один из них не заменяет другой. Подбор под конкретный запрос — в блоке «Как выбрать компанию под задачу» на главной.
Кому нужна лицензия и как её проверить
Лицензия ФСТЭК на техническую защиту конфиденциальной информации (ТЗКИ) нужна не всем компаниям и не для всех услуг. Она требуется для работ с конфиденциальной информацией и для части работ на объектах КИИ. Для проверки обычной коммерческой инфраструктуры вне государственных систем и КИИ лицензия ФСТЭК не нужна. Оценка соответствия по ГОСТ Р 57580 относится к контуру Банка России: требования к исполнителю, в том числе к лицензиям, задаёт положение Банка России.
Проверка занимает пять минут: откройте реестр лицензий ФСТЭК, найдите компанию и сверьте номер, вид работ и срок действия. Разбор по КИИ — в руководстве «Защита КИИ: кто оказывает услуги и как выбрать подрядчика».
Шесть признаков надёжного подрядчика
- Образец отчёта. Компания показывает обезличенный отчёт: описание уязвимостей, доказательства, оценки, план исправления.
- Публичные исследования. CVE в БДУ ФСТЭК или NVD, технические публикации с разбором.
- Опыт в вашей отрасли. Подрядчик называет типовые сценарии вашей сферы и не отвечает общими словами.
- Ретест. Условия повторной проверки записаны в договоре.
- Объём работ. Состав и границы работ фиксируются до начала.
- Референсы. Компания готова дать контакты клиентов или обезличенные описания проектов.
Чем меньше у заказчика собственной экспертизы, тем важнее пункты 1, 4 и 5: именно они защищают от ситуации, когда за деньги получен отчёт, который нельзя проверить и невозможно использовать. Пункты 2, 3 и 6 помогают отличить компанию с реальным опытом от компании, которая хорошо описывает услугу.
Красный флаг: исполнитель обещает результат («взломаем гарантированно», «пройдёте проверку») до изучения вашей инфраструктуры.
Вопросы и ответы
Чем интегратор отличается от вендора?
Вендор выпускает собственные продукты, интегратор внедряет решения разных производителей. Интегратор не привязан к одному продукту, вендор глубже знает свой.
Нужен ли мне сервис-провайдер, если есть свой SOC?
Часто нужен как усиление: ночные смены, редкие компетенции, резерв на время отпусков и пиковых нагрузок. Решение зависит от размера команды и объёма событий.
Чем аудит отличается от пентеста?
Аудит соответствия сверяет системы и процессы с требованиями, пентест проверяет, можно ли обойти защиту. Один вид не заменяет другой.
Один подрядчик может закрыть все задачи?
Крупные компании предлагают несколько направлений, но сильные стороны у каждой разные. Проверяйте опыт именно по нужному виду работ, а не по размеру компании.
Где посмотреть, кто крупнейший по выручке?
В отраслевых рейтингах; как их читать, разобрано в руководстве по рейтингам крупнейших компаний.
Источники. ФСТЭК России, реестр лицензий ФСТЭК, БДУ ФСТЭК, NVD.