Рабочий план защиты отличается от перечня пожеланий тем, что у каждой задачи есть исполнитель, срок и проверка результата. «Усилить безопасность» нельзя принять. «Убрать общую администраторскую учётную запись и проверить вход персональных пользователей» — можно.
Оттолкнитесь от процессов, которые нельзя остановить
Определите, как компания принимает заказы, получает оплату, обменивается документами и выполняет обязательства. Для каждого процесса перечислите зависимые системы. Если продажи полностью зависят от почты, её восстановление и защита доступа должны находиться выше необязательных улучшений внутреннего портала.
Разделите план на три очереди
- Срочные исправления: открытые доступы, отсутствующие копии, известные критичные уязвимости и аккаунты уволенных сотрудников.
- Организация процессов: выдача прав, обновления, контроль подрядчиков, порядок сообщения об инциденте.
- Развитие защиты: дополнительные средства обнаружения, сегментация, углублённые проверки и обучение.
Очереди не задают универсальные сроки. Открытая база требует немедленной реакции, а замена корпоративной системы может потребовать подготовки. График должен учитывать риск и возможность безопасного изменения.
Что записать в задаче
Используйте поля «проблема», «действие», «владелец», «зависимости», «срок», «стоимость» и «подтверждение». Для резервирования подтверждением будет не сообщение об успешном запуске задания, а восстановленная тестовая копия. Для закрытия доступа — проверка невозможности входа и отзыв связанных токенов.
Не забудьте действия при сбое
В плане должны быть контакты провайдеров, запасной канал связи, полномочия на отключение заражённого устройства и порядок восстановления. Документ, который хранится только на недоступном сервере, не поможет при аварии. Сохраните доступную ответственным копию отдельно от основной инфраструктуры.
На регулярном разборе оценивайте не количество закрытых пунктов, а оставшиеся риски. Если бизнес добавил онлайн-оплату или новый филиал, план следует обновить. Без такого пересмотра даже аккуратно выполненный список быстро перестаёт соответствовать реальной работе.
Дополнительно: NIST: направления защиты малого бизнеса.
