Фиксируем границы
Системы, данные, владельцы, процессы, роли доступа, интеграции, текущие документы, СЗИ и технические ограничения.
Результат: карта контура и применимых требований.Решение
Комплаенс ИБ: регуляторное соответствие и защита информационных систем
Комплаенс ИБ (cyber compliance) — управляемое соответствие требованиям информационной безопасности, которое подтверждается не только текстом политики, но и реальной работой систем. Эта страница — навигатор: какие контуры применимы к вашим системам — КИИ, персональные данные, ГИС — и с чего начать.
Когда это становится задачей руководства
Страница полезна компаниям, где информационная безопасность уже влияет на деньги, сроки запуска продуктов, доступ к тендерам, отношения с крупными заказчиками или готовность к проверкам. Обычно в такой задаче одновременно участвуют CISO, CIO, юридическая функция, compliance/GRC, внутренний аудит, владельцы ИТ-систем, закупки и руководители бизнес-направлений.
Типовой сигнал: требования есть, документы частично есть, средства защиты частично куплены, но никто не может быстро ответить, какие системы входят в контур, какие данные обрабатываются, кто владелец риска, где лежат доказательства выполнения мер и что произойдет при проверке или инциденте.
Что такое cyber compliance в enterprise
Cyber compliance - это управляемое соответствие требованиям информационной безопасности, которое можно доказать не только текстом политики, но и реальной работой систем. В зрелой enterprise-архитектуре комплаенс связан с каталогом активов, ролями доступа, сегментацией сети, журналированием, реагированием на инциденты, DevSecOps, SIEM/SOAR, IDM/PAM, DLP, маскированием данных, резервным копированием и процессами владельцев систем.
Главная ошибка - относиться к комплаенсу как к отдельной папке организационно-распорядительной документации. Документы нужны, но они должны совпадать с тем, как фактически работают сайт, CRM, ERP, 1С, SAP, HR, DWH/BI, RAG, AI-ассистенты, личные кабинеты и интеграции.
ИБ
Информационная безопасность: защита конфиденциальности, целостности и доступности данных, систем и процессов.
GRC / SGRC
Governance, Risk and Compliance и Security GRC: управление требованиями, рисками, контролями, исключениями, ответственными и доказательствами.
SOC, SIEM и SOAR
Security Operations Center, Security Information and Event Management и Security Orchestration, Automation and Response: мониторинг событий, расследование и автоматизация реагирования.
КИИ, ИСПДн, ГИС
Критическая информационная инфраструктура, информационные системы персональных данных и государственные информационные системы: регулируемые контуры, где нужны формальные и технические меры защиты.
СЗИ и СКЗИ
Средства защиты информации и средства криптографической защиты информации: от разграничения доступа и NGFW до VPN, HSM, WAF, DLP, endpoint и защиты баз данных.
Evidence pack
Пакет доказательств: документы, скриншоты, выгрузки, журналы, матрицы контролей, протоколы проверок и ссылки на системы, подтверждающие выполнение требований.
Российские регуляторные контуры
В российской практике важно не просто назвать закон, а понять применимость требований к конкретной системе, данным, отрасли и роли организации. РЕСТАРТ начинает с границ: какие процессы критичны, какие данные обрабатываются, какие системы участвуют, кто является владельцем, какие меры уже внедрены и где нужны изменения.
| Контур | Что проверяется по смыслу | Ориентиры |
|---|---|---|
| ПДн и ИСПДн | Цели и основания обработки персональных данных, согласия, роли оператора и обработчиков, уровни защищенности, модель угроз, меры защиты, доступы, журналы, хранение и удаление. | 152-ФЗ, приказ ФСТЭК №21, практика Роскомнадзора и ФСТЭК. |
| КИИ | Критичные процессы, объекты КИИ, категорирование, модель угроз, технические меры защиты, реагирование, журналы, эксплуатация и готовность доказать управляемость контура. | 187-ФЗ, приказ ФСТЭК №239. |
| ГИС и государственные контуры | Класс защищенности, организационные и технические меры, администрирование, контроль доступа, журналы, эксплуатационные процедуры и подтверждение выполнения требований. | Действующие требования ФСТЭК к ГИС и иным информационным системам госорганов, включая приказ ФСТЭК №117 от 2025 года; применимость проверяется по контуру. |
| Финансовые организации | Управление риском информационных угроз, оценка соответствия, контроль защитных мер, журналирование, инциденты, операционная надежность и устойчивость платежных/банковских процессов. | ГОСТ Р 57580.1, ГОСТ Р 57580.2, нормативные акты Банка России. |
Куда идти по конкретной задаче
Общий навигатор не заменяет работу по конкретному контуру: у каждого свои границы объектов, документы и меры. Ниже — самостоятельные задачи, из которых обычно и складывается программа соответствия.
| Контур | Когда это ваша задача | Страница |
|---|---|---|
| Объекты КИИ | Организация относится к одной из сфер, перечисленных в 187-ФЗ: категорирование, меры защиты, взаимодействие с ГосСОПКА | Защита КИИ и 187-ФЗ |
| Персональные данные | Есть ИСПДн: клиенты, сотрудники, обращения; нужны основания обработки, меры защиты и документы | 152-ФЗ и персональные данные |
| Государственные системы | Система относится к ГИС и проходит аттестацию или ввод в эксплуатацию | Защита ГИС |
| Первичная оценка | Непонятно, какие требования применимы и где границы систем — нужна быстрая диагностика | Диагностика КИИ и 152-ФЗ, 10–15 дней |
Лицензированная практика и её границы
Работы по технической защите информации РЕСТАРТ выполняет как лицензиат ФСТЭК России (запись проверяется в реестре лицензиатов ФСТЭК), работы, связанные с шифровальными средствами, — по лицензии ФСБ России № Л051-00105-00/05918757 от 07.08.2026 (передача СКЗИ и защищённых с их использованием систем; проверяется по реестру ЦЛСЗ ФСБ России по номеру или ИНН 9705056320).
Важная оговорка: лицензия подтверждает право выполнять определённые виды работ, а не соответствие вашей системы требованиям и не сертификацию продукта. Соответствие подтверждается результатами обследования, проектными решениями, внедрёнными мерами и документами — их и собирает программа работ.
SGRC: управление требованиями и рисками
Когда требований и систем становится много, соответствие перестаёт помещаться в таблицы: нужен единый учёт требований, рисков, мер, владельцев и подтверждений. Этот слой принято называть SGRC.
- реестр применимых требований с привязкой к системам и владельцам;
- реестр рисков и принятых решений по каждому из них;
- перечень мер и подтверждений: чем именно закрыт каждый пункт;
- план работ и контроль сроков по устранению несоответствий;
- подготовка к проверкам: собранная доказательная база, а не срочный сбор документов за неделю.
Мониторинг и реагирование на инциденты — соседний, но другой процесс: он живёт на странице SIEM/SOAR и автоматизации SOC.
Как связать SGRC с мониторингом и реагированием в одном контуре — в сценарии «Как построить SOC-ready контур».
Мировые ориентиры и бенчмарки
Международные практики полезны не как замена российским требованиям, а как язык зрелости: как управлять рисками, контролями, evidence pack, третьими сторонами, инцидентами и киберустойчивостью на уровне всей организации.
| Ориентир | Как применяем в проектах РЕСТАРТ |
|---|---|
| NIST Cybersecurity Framework 2.0 | Используем как управленческую рамку для разговора с CIO, CISO и бизнесом: governance, risk management, приоритизация, коммуникация и maturity roadmap. |
| ISO/IEC 27001:2022 | Берем логику системы менеджмента информационной безопасности: контекст организации, риски, контролируемые процессы, ответственность и постоянное улучшение. |
| CIS Controls v8 | Используем как практичный контрольный список для активов, учетных записей, конфигураций, журналов, уязвимостей, email/web, endpoint и incident response. |
| IBM Cost of a Data Breach 2025 | Учитываем, что незрелое AI governance и слабый контроль доступа повышают стоимость инцидентов; это аргумент в пользу управляемого AI и security automation. |
| Verizon DBIR | Используем DBIR как внешний ориентир по реальным сценариям атак и утечек, чтобы проверять не только документы, но и практические защитные контроли. |
Как работает РЕСТАРТ
Ищем разрывы
Сверяем документы, архитектуру, настройки, журналы, роли и фактическую эксплуатацию с требованиями и внутренними политиками.
Результат: risk register и матрица разрывов.Проектируем контроли
Формируем целевые меры: HLD/LLD, СЗИ/СКЗИ, SIEM/SOAR/SGRC, IDM/PAM, DLP, маскирование, процессы и evidence pack.
Результат: roadmap внедрения и приемки.Передаем в эксплуатацию
Помогаем внедрить меры, настроить контроль, подготовить документы, обучить ответственных и связать комплаенс с регулярной работой ИТ и ИБ.
Результат: проверяемый и сопровождаемый контур.Как помогает AI
ИИ не заменяет юриста, аудитора, CISO или владельца риска. Но в крупной организации он хорошо помогает там, где ручная работа превращается в бесконечные таблицы: сопоставление требований и контролей, поиск разрывов в политиках, классификация активов и документов, подготовка черновиков evidence pack, анализ протоколов проверок, быстрые ответы на security questionnaires и мониторинг изменений требований.
Для РЕСТАРТ важен безопасный режим применения AI: утвержденные источники, RAG по внутренней базе знаний, права доступа, журналирование, human review, запрет на автоматическое юридическое заключение и отдельный контроль данных, которые попадают в модель.
Что получает бизнес
| Бизнес-эффект | Что меняется на практике |
|---|---|
| Меньше авралов перед проверками | Документы, контроли, журналы и владельцы процессов заранее связаны между собой, а evidence pack можно обновлять регулярно. |
| Быстрее запуск новых сервисов | AI, ERP, 1С, SAP, CRM, личные кабинеты и BI получают требования ИБ на старте, а не перед промышленным релизом. |
| Понятнее закупка и внедрение СЗИ | Продукты выбираются под модель угроз, архитектуру, эксплуатацию и контрольные точки, а не по принципу "купить все из списка". |
| Выше доверие крупных заказчиков | Команда быстрее отвечает на анкеты ИБ, тендерные требования, vendor due diligence и запросы внутреннего аудита. |
| Управляемее AI и данные | Появляются правила для RAG, корпоративных ассистентов, логов, маскирования, доступа к источникам и проверки человеком. |
Первый шаг
Рационально начинать с диагностики: не пытаться сразу внедрить все меры, а быстро собрать картину текущего состояния и применимых требований. Для КИИ/152-ФЗ это обычно 10-15 рабочих дней; для AI-контура или отдельной системы - формат можно сузить до secure audit или discovery.
На выходе заказчик получает карту контура, реестр требований, список разрывов, приоритеты устранения, рекомендации по документам и техническим мерам, предварительный roadmap и понятный scope следующего этапа.
Технологическая опора комплаенса
Комплаенс нельзя закрыть только регламентами. В зависимости от контура РЕСТАРТ связывает требования с технологической картой: СЗИ и СКЗИ, NGFW и WAF, DLP и DBF/DAM, маскирование, endpoint, IDM/PAM, SIEM/SOAR/SGRC, управление уязвимостями, DevSecOps и AI-поддержка GRC-процессов.
Технологическая основа подбирается не по брендам, а по применимости: какие данные защищаем, какие угрозы актуальны, какие классы мер нужны, какие продукты уже есть у заказчика, что реально сможет сопровождать эксплуатация и какие доказательства потребуются при проверке.
Внешний периметр и доказуемый комплаенс
Комплаенс ИБ становится сильнее, когда требования подтверждаются технической картиной: какие публичные сервисы есть, кто владелец, какие уязвимости открыты, какие риски приняты и что исправляется. Аудит внешнего периметра дает evidence для внутреннего аудита, SGRC, модели угроз, программы VM и подготовки к проверкам.
Пентест и доказательная база комплаенса
Для комплаенса важны не только политики и матрицы требований, но и доказательства: технические меры действительно работают, критичные веб/API и инфраструктурные риски проверены, находки имеют владельцев, сроки, статус устранения и повторную проверку. Пентест дает такой доказательный слой для SGRC, внутреннего аудита и подготовки к проверкам.
Частые вопросы
Чем cyber compliance отличается от аудита ИБ?
Аудит показывает состояние и разрывы на момент проверки. Cyber compliance добавляет регулярную модель управления: требования, владельцы, контроли, evidence pack, сроки устранения, отчеты и повторяемый процесс.
Нужно ли внедрять SGRC сразу?
Не всегда. Иногда достаточно реестра требований и понятного evidence pack. SGRC-платформа нужна, когда требований много, есть несколько контуров, повторные проверки, множество владельцев и ручной контроль уже не масштабируется.
Можно ли совместить 152-ФЗ, КИИ и внутренние политики?
Да, но не механическим объединением документов. Нужно построить матрицу требований, определить пересечения, исключения, ответственных, доказательства и технические меры для каждого контура.
ИИ может сам оценить соответствие требованиям?
Нет. ИИ может ускорить поиск разрывов, подготовку черновиков, классификацию документов и сопоставление контролей, но итоговые выводы должны подтверждать специалисты заказчика и РЕСТАРТ после обследования.
Что считается хорошим результатом первого этапа?
Не обещание "все соответствует", а понятная карта: применимые требования, реальные системы, разрывы, приоритеты, быстрые меры, roadmap, ответственные и evidence pack, который можно развивать.
РЕСТАРТ дает юридическое заключение?
Публичная страница не является юридической консультацией. В проекте мы работаем на стыке ИБ, ИТ, архитектуры, документов и внедрения; юридические выводы формируются после обследования и сверки применимых требований.
От требований комплаенса к поставке СЗИ
Комплаенс становится практическим только тогда, когда требования превращаются в меры, владельцев, документы, настройки и средства защиты. Если по итогам проверки нужны конкретные СЗИ или СКЗИ, РЕСТАРТ помогает подготовить спецификацию, проверить применимость решений и связать поставку с внедрением.
Обсудим ваш контур
Опишите задачу, текущие системы, ограничения и ожидаемый результат. Мы предложим первый практичный шаг: диагностику, пилот, аудит, дорожную карту или проектную команду.
