Как выбрать SGRC-систему: критерии сравнения
SGRC (Security Governance, Risk and Compliance) — система управления ИБ, рисками и соответствием требованиям: в ней ведут активы, риски, требования, меры контроля, владельцев и доказательства. SIEM собирает и связывает события, SOAR автоматизирует реагирование на инциденты, а SGRC показывает, каким требованиям компания соответствует и чем это подтверждено. Она нужна, когда требований, систем и владельцев так много, что реестры в таблицах перестают сходиться.
SGRC, SIEM, SOAR и IRP: кто за что отвечает
Четыре класса систем часто покупают и обсуждают вместе, но отвечают они на разные вопросы. Путаница здесь приводит к тому, что от SGRC ждут корреляции событий, а от SIEM — отчёта о соответствии требованиям.
| Класс | Главный вопрос | Что ведёт и делает | Что передаёт соседям |
|---|---|---|---|
| SGRC Security Governance, Risk and Compliance | Каким требованиям мы обязаны соответствовать, какие риски открыты и чем это подтверждаем | Активы, риски, требования, меры контроля, владельцы, исключения, проверки, задачи и доказательства | Критичность активов и приоритеты — в SIEM и SOAR; задачи — в ITSM |
| SIEM Security Information and Event Management | Что происходит в инфраструктуре прямо сейчас | Собирает журналы и события, нормализует, коррелирует, выявляет подозрительные цепочки | Инциденты — в SOAR/IRP, факты и метрики — в SGRC |
| SOAR Security Orchestration, Automation and Response | Как быстро и одинаково отреагировать | Запускает playbook: обогащает инцидент, проверяет индикаторы, блокирует учётную запись, уведомляет ответственных | Ход и результат реагирования — в SGRC и отчётность |
| IRP Incident Response Platform | Кто, что и когда сделал по инциденту | Учёт инцидентов, карточки, маршруты и сроки реагирования; в ряде продуктов объединена с SOAR | Статистику инцидентов — в SGRC |
Если коротко: SIEM видит событие, SOAR и IRP организуют реакцию, SGRC связывает инциденты и уязвимости с рисками, требованиями, владельцами и управленческой отчётностью. Подробнее о связке — на странице SIEM, SOAR и SGRC.
Критерии выбора SGRC-системы
Универсально «лучшей» SGRC-системы нет: на российском рынке SGRC-продукты есть, например, у R-Vision и Security Vision, и каждый сильнее в своих сценариях. Сравнивать имеет смысл по одинаковому набору вопросов к каждому продукту.
Управление активами
- Можно ли загрузить активы из CMDB, AD, сканеров и инвентаризации, а не вводить вручную, и как часто идёт синхронизация.
- Как задаются владелец, критичность и связь актива с бизнес-процессом.
- Как система обрабатывает дубли и активы, которые пропали из источников.
Риски и методики оценки
- Какие методики оценки рисков поддерживаются из коробки и можно ли настроить собственную: шкалы, формулы, матрицу.
- Связываются ли риск, угроза, уязвимость, актив и мера контроля в одну цепочку.
- Как фиксируются решения по риску — принять, снизить, передать — и кто их утверждает.
Требования регуляторов
Проверьте, какие библиотеки требований есть в поставке, кто и как часто их обновляет и можно ли сопоставить одну меру сразу нескольким документам. Для российских компаний обычно нужны:
- персональные данные — 152-ФЗ «О персональных данных» и приказ ФСТЭК России № 21;
- КИИ — 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» и приказ ФСТЭК России № 239;
- государственные информационные системы — приказ ФСТЭК России № 117 от 11.04.2025;
- финансовые организации — ГОСТ Р 57580.1-2017 и ГОСТ Р 57580.2-2018, нормативные акты Банка России;
- внутренние политики и стандарты компании, включая международные рамки, если они применяются.
Наличие библиотеки не означает соответствия: применимость требований к конкретной системе определяет обследование, а не продукт.
Интеграции
- SIEM и SOAR — получение инцидентов и метрик реагирования.
- CMDB и ITSM — активы, изменения, задачи на устранение с владельцами и сроками.
- AD/LDAP — пользователи, роли, владельцы.
- Сканеры уязвимостей — уязвимости в привязке к активам и рискам.
- Есть ли документированный API и готовые коннекторы, а не только выгрузки в файлы.
Отчётность и аудит
- Строятся ли отчёты для руководства, аудита и проверяющих без ручной сборки в таблицах.
- Хранится ли доказательная база — документы, выгрузки, протоколы — рядом с требованием, которое она подтверждает.
- Ведётся ли журнал изменений: кто изменил оценку риска или статус меры и когда.
Модель лицензирования
- Что считается единицей лицензии: пользователи, активы, модули, библиотеки требований.
- Какие модули нужны для вашего сценария и что придётся докупать при росте.
- Стоимость владения: внедрение, поддержка, обновление библиотек, доработки.
On-premise и реестр российского ПО
- Разворачивается ли система в контуре заказчика и на каких ОС и СУБД.
- Есть ли запись продукта в единый реестр российских программ для ЭВМ и баз данных (ведётся по постановлению Правительства РФ от 16.11.2015 № 1236) — это проверяется по самому реестру.
- Есть ли у продукта сертификат ФСТЭК России, если он нужен для вашего контура, — по реестру сертифицированных средств защиты.
ИИ-функции
В SGRC-системах и рядом с ними появляются ИИ-возможности: поиск требований в документах, сопоставление требований с мерами, черновики чек-листов и отчётов. Сравнивать их стоит по тем же правилам, что и остальной функционал: где работает модель, какие данные в неё попадают, есть ли журнал запросов и кто утверждает результат. Пример такого класса — ИИ в информационной безопасности: SOC, SGRC и комплаенс.
Чек-лист пилота: что проверить на стенде
Пилот на тестовом стенде — несколько недель на ограниченном контуре — должен дать ответы на конкретные вопросы, а не демонстрацию интерфейса. Перечень, который стоит согласовать с вендором заранее:
- Загрузились ли активы из ваших источников и совпадают ли они с реальной инфраструктурой?
- Удалось ли описать два-три реальных риска по вашей методике и связать их с активами и мерами?
- Есть ли в поставке нужная вам библиотека требований и сколько ручной работы ушло на сопоставление мер?
- Пришли ли инциденты из SIEM или SOAR и отразились ли они в рисках и отчётах?
- Создаются ли задачи в ITSM с владельцем и сроком и возвращается ли статус обратно?
- Смог ли руководитель службы ИБ получить отчёт для руководства без доработки в таблицах?
- Сколько времени заняла настройка и что для неё понадобилось от вендора, интегратора и ваших специалистов?
- Какие доработки понадобятся для промышленной эксплуатации и сколько они стоят?
Типичные ошибки внедрения
- Нет реестра активов. Риски и меры не к чему привязать, система заполняется вручную и устаревает за месяцы.
- Нет владельцев процессов. Задачи и риски висят на службе ИБ, а не на тех, кто может их закрыть.
- Автоматизация до описания процессов. В систему переносят хаос: методика оценки рисков, порядок исключений и роли не согласованы.
- Выбор по списку функций. Продукт выбран по демонстрации, а интеграции с SIEM, CMDB и ITSM проверяют уже после покупки.
- Ставка только на регуляторику. SGRC используют как хранилище документов к проверке, а управленческая отчётность о рисках не строится.
Частые вопросы
Что такое SGRC простыми словами?
SGRC (Security Governance, Risk and Compliance) — система, в которой служба ИБ ведёт активы, риски, требования, меры контроля, владельцев, сроки и доказательства. Она показывает, каким требованиям компания соответствует, какие риски открыты и кто отвечает за их снижение.
Чем SGRC отличается от SOAR?
SOAR автоматизирует реагирование на конкретные инциденты по playbook: обогащение, проверку индикаторов, блокировку, уведомления. SGRC работает на уровне управления: риски, требования, меры контроля и отчётность. SOAR передаёт в SGRC ход и результат реагирования, SGRC связывает их с рисками и требованиями.
Нужна ли SGRC для КИИ?
Закон 187-ФЗ и приказы ФСТЭК России не требуют внедрять именно SGRC-систему. Они требуют категорировать объекты КИИ, обеспечить их безопасность и выполнять меры защиты, для значимых объектов — по приказу ФСТЭК России № 239. SGRC помогает вести этот учёт — объекты, требования, меры, владельцев и доказательства, — когда объектов и требований много.
Как сравнить SGRC-системы?
По одинаковому набору критериев: управление активами, методики оценки рисков, библиотеки требований и их обновление, интеграции с SIEM, SOAR, CMDB, ITSM и AD, отчётность и аудит, модель лицензирования, работа в контуре заказчика и запись в реестре российского ПО. Итог проверяют пилотом на тестовом стенде с вашими данными.
Можно ли начать без SGRC?
Да. Если требований и систем немного, достаточно реестра требований, реестра рисков и понятной доказательной базы. SGRC-платформа нужна, когда контуров несколько, проверки повторяются, владельцев много и ручной контроль перестаёт масштабироваться.
Чем IRP отличается от SOAR?
IRP (Incident Response Platform) ведёт учёт инцидентов: карточки, маршруты, сроки и ответственных. SOAR добавляет автоматизацию действий по playbook и интеграции с инструментами защиты. Во многих продуктах обе функции объединены.
Как РЕСТАРТ участвует
РЕСТАРТ работает с SGRC в составе направления SIEM, SOAR и SGRC:
- Обследование — источники событий, активы, СЗИ, роли, регламенты, требования отчётности и применимые требования регуляторов.
- Проект — архитектура HLD/LLD, роли SIEM, SOAR и SGRC, сравнение вендоров, проверка интеграций и стоимости владения.
- Внедрение — SGRC-процессы: политики, контроли, риски, владельцы, исключения, задачи, сроки, статусы, аудит и управленческая отчётность.
- Эксплуатация — регламенты, матрица ролей, метрики и сопровождение после запуска.
Если сначала нужно понять, какие требования применимы и где разрывы, — комплаенс ИБ. ИИ-помощник для работы с рисками, мерами контроля и задачами из SGRC — модуль Security & Compliance AI; выводы в нём утверждают специалисты заказчика. Платформы подбираем через вендорскую экосистему ИБ, а сложные сценарии можно проверить на стенде лаборатории ИБ.
Нужен разбор вашего контура — напишите нам.
Обсудим ваш контур
Опишите задачу, текущие системы, ограничения и ожидаемый результат. Мы предложим первый практичный шаг: диагностику, пилот, аудит, дорожную карту или проектную команду.
