SGRC, SIEM, SOAR 和 IRP: 各自负责什么
这四类系统经常被一起购买和讨论，但它们回答的是不同的问题。此处的混淆会导致人们期望 SGRC 提供事件关联，而期望 SIEM 提供合规报告。
| 班级 | 主要问题 | 管理内容与功能 | 向相邻系统传递什么 |
|---|---|---|---|
| SGRC Security Governance, Risk and Compliance | 我们必须满足哪些要求, 存在哪些未关闭的风险以及我们用什么来证明 | 资产, 风险, 要求, 控制措施, 所有者, 例外, 检查, 任务和证据 | 资产关键性和优先级——在 SIEM 和 SOAR 中；任务——在 ITSM 中 |
| SIEM Security Information and Event Management | 基础设施现在正在发生什么 | 收集日志和事件，进行规范化和关联，识别可疑链条 | 事件 — 记录在 SOAR/IRP, 事实和指标 — 记录在 SGRC |
| SOAR Security Orchestration, Automation and Response | 如何快速且一致地做出反应 | 运行剧本：丰富事件信息，检查指标，封锁账户，通知相关负责人 | 响应进展和结果——录入 SGRC 并报告 |
| IRP Incident Response Platform | 关于该事件，谁在何时做了什么 | 事件记录、卡片、流程和响应时限；在部分产品中与 SOAR 集成 | 事件统计 — 发送至 SGRC |
简而言之: SIEM 发现事件, SOAR 和 IRP 组织响应, SGRC 将事件和漏洞与风险, 要求, 负责人和管理报告关联起来. 有关该组合的更多信息 — 请参见页面 SIEM、SOAR 和 SGRC.
SGRC系统的选择标准
不存在普遍“最好”的 SGRC 系统：在俄罗斯市场上，例如 R-Vision 和 Security Vision 都有 SGRC 产品，且每款产品都在各自的场景中更具优势。针对每款产品使用相同的一套问题进行比较是有意义的。
资产管理
- 是否可以从 CMDB、AD、扫描器和盘点中导入资产，而无需手动录入？同步频率是多久一次？
- 如何指定资产的所有者、关键性以及资产与业务流程的关联。
- 系统如何处理重复项以及从来源中消失的资产。
风险与评估方法
- 开箱即用支持哪些风险评估方法，是否可以自定义：量表、公式、矩阵。
- 风险、威胁、脆弱性、资产和控制措施是否被串联成一条链。
- 风险决策——接受、降低、转移——如何记录，以及由谁批准。
监管要求
请检查交付中包含哪些要求库、由谁更新以及更新频率如何，以及是否可以将一项措施同时映射到多个文档。对于俄罗斯公司，通常需要：
- 个人数据 — 152-FZ“关于个人数据” 和 俄罗斯联邦技术与出口管制局命令 № 21;
- 关键信息基础设施—— 187-FZ «俄罗斯联邦关键信息基础设施安全法» 和 俄罗斯联邦技术与出口监督管理局命令 № 239;
- 国家信息系统 — 俄罗斯 FSTEC 于 11.04.2025 发布的第 117 号命令;
- 金融机构 — GOST R 57580.1-2017 和 GOST R 57580.2-2018, 俄罗斯银行规范性文件;
- 公司的内部政策和标准，包括适用的国际框架。
拥有库并不意味着符合要求：要求对特定系统的适用性由评估决定，而非产品。
集成
- SIEM 和 SOAR — 获取安全事件和响应指标
- CMDB 和 ITSM — 资产、变更、带负责人和期限的整改任务。
- AD/LDAP — 用户、角色、所有者。
- 漏洞扫描器 — 与资产和风险关联的漏洞
- 是否有文档齐全的 API 和现成的连接器，而不仅仅是导出到文件？
报告与审计
- 供管理层, 审计和检查人员使用的报表是否无需在电子表格中手动编制。
- 证据材料——文档、导出文件、记录——是否与其所证实的需求存放在一起？
- 是否记录变更日志：谁在何时更改了风险评估或措施状态。
许可模式
- 什么被视为许可证单位：用户、资产、模块、需求库。
- 您的场景需要哪些模块，以及随着规模增长需要额外购买哪些内容。
- 拥有成本：实施、支持、库更新、定制开发。
On-premise 与俄罗斯软件注册表
- 系统是否部署在客户环境内，以及使用哪些操作系统和数据库管理系统。
- 是否有产品记录在 俄罗斯计算机程序和数据库统一登记册 (依据俄罗斯联邦政府16.11.2015 № 1236号决议进行维护) — 这一点可通过登记册本身进行核实。
- 产品是否具有 俄罗斯 FSTEC 证书, 如果您的环境需要, — 可通过认证防护工具登记册查询。
AI功能
SGRC 系统及其周边正在出现 AI 功能：在文档中搜索要求、将要求与措施匹配、起草检查清单和报告。应基于与其他功能相同的规则来比较这些功能：模型在哪里运行、哪些数据会进入模型、是否有请求日志以及由谁批准结果。此类产品的一个示例是 — 网络安全中的AI：SOC、SGRC与合规.
试点检查清单：在测试环境中需要检查什么
在测试台上开展的试点——在受限环境中运行数周——应针对具体问题给出答案，而不是进行界面演示。应提前与供应商确认的清单：
- 来自您的来源的资产是否已加载，并且是否与实际基础设施一致？
- 是否已按照你们的方法描述了两三个实际风险，并将其与资产和措施关联起来？
- 交付中是否包含您所需的需求库，以及匹配措施花了多少人工？
- 来自 SIEM 或 SOAR 的事件是否已传入并反映在风险和报告中?
- ITSM 中是否会创建带有负责人和期限的任务，并且状态是否会返回？
- 网络安全部门负责人是否无需对表格进行完善即可获得管理层报告？
- 配置花了多长时间？为此需要供应商、集成商和你们的专家提供什么？
- 工业运行需要哪些改进，费用是多少？
常见实施错误
- 没有资产登记册。 风险和措施无法关联，系统需手动填写，几个月内就会过时。
- 没有流程负责人。 任务和风险都压在网络安全部门身上，而不是那些能够解决它们的人身上。
- 流程描述之前的自动化. 混乱正被引入系统：风险评估方法、例外流程和角色未达成一致。
- 按功能列表选择. 产品是根据演示选定的，而与 SIEM、CMDB 和 ITSM 的集成则要在购买后才进行验证。
- 只押注于监管. SGRC 被用作检查用文档的存储库，而风险管理报告未生成。
常见问题
SGRC 用通俗的话来说是什么？
SGRC (Security Governance, Risk and Compliance) — 一套由网络安全部门维护资产、风险、要求、控制措施、责任人、期限和证据的系统。它展示公司符合哪些要求、哪些风险仍处于开放状态，以及由谁负责降低这些风险。
SGRC 与 SOAR 有什么区别？
SOAR 根据 playbook 自动化针对具体事件的响应: 富化, 指标验证, 阻断, 通知. SGRC 在管理层面运作: 风险, 要求, 控制措施和报告. SOAR 将响应过程和结果传递给 SGRC, SGRC 将其与风险和要求关联.
关键信息基础设施（CII）需要 SGRC 吗？
第187-FZ号联邦法律和俄罗斯联邦技术与出口管制局（FSTEC）的命令并不要求专门部署SGRC系统。它们要求对关键信息基础设施（CII）对象进行分类、保障其安全并落实防护措施，对重要对象则按照俄罗斯FSTEC第239号命令执行。当对象和要求较多时，SGRC有助于开展这项登记工作——对象、要求、措施、负责人和证明材料。
如何比较 SGRC 系统？
按照同一套标准：资产管理、风险评估方法、要求库及其更新、与 SIEM、SOAR、CMDB、ITSM 和 AD 的集成、报告与审计、许可模式、在客户环境内运行以及俄罗斯软件注册表登记。最终结果通过在使用您的数据的测试平台上开展试点来验证。
可以不用 SGRC 开始吗？
是的。如果要求和系统数量不多，那么要求台账、风险台账以及清晰的证据库就足够了。当存在多个管控范围、检查重复进行、责任人众多且人工管控无法扩展时，就需要 SGRC 平台。
IRP 与 SOAR 有什么区别？
IRP (Incident Response Platform) 负责事件记录：卡片、流程、期限和责任人。SOAR 增加了基于 playbook 的操作自动化以及与安全防护工具的集成。在许多产品中，这两项功能是结合在一起的。
RESTART如何参与
RESTART 在以下业务方向中开展 SGRC 工作 SIEM、SOAR 和 SGRC:
- 民意调查 — 事件源, 资产, 信息防护手段, 角色, 规章制度, 报告要求和适用的监管要求.
- 项目 — HLD/LLD架构，SIEM、SOAR和SGRC的角色，供应商比较，集成验证和拥有成本。
- 执行 — SGRC流程：政策、控制措施、风险、责任人、例外、任务、期限、状态、审计和管理报告。
- 运营 — 规章制度、角色矩阵、指标以及上线后的支持。
如果首先需要了解哪些要求适用以及差距在哪里，—— 网络安全合规性. 用于处理来自 SGRC 的风险、控制措施和任务的 AI 助手 — 模块 Security & Compliance AI; 其中的结论由客户方的专家确认。我们通过 网络安全供应商生态系统, 而复杂场景可以在测试台上验证 网络安全实验室.
需要对您的回路进行分析—— 写信给我们.
让我们讨论一下您的环境
描述任务、当前系统、约束和预期结果。我们将提供实用的第一步：诊断、试点、审计、路线图或项目团队。
