Аудит информационной безопасности обычно заказывают по одной из трёх причин. Крупный клиент прислал опросник по безопасности, у знакомого собственника зашифровали сервер, или директор просто хочет понять, насколько всё плохо. Дальше начинается путаница. Один подрядчик предлагает аудит, второй пентест, третий мониторинг, и цены отличаются в разы. Объясняем, что стоит за каждым словом и какой из вариантов нужен именно вам.
Аудит, пентест и непрерывный контроль. В чём разница
Все три услуги отвечают на разные вопросы. Путаница возникает, когда за одну из них ждут ответа на чужой вопрос.
Аудит информационной безопасности
Аудитор смотрит, как в компании устроена безопасность в целом. Кто за неё отвечает, какие есть документы и регламенты, кому выданы права доступа, как делаются резервные копии, выполняются ли требования закона и договоров. Результат аудита это отчёт о расхождениях с требованиями и план, что поправить.
Аудит отвечает на вопрос «правильно ли мы организованы». Взламывать вас аудитор обычно не пытается.
Пентест, или тестирование на проникновение
Пентест устроен иначе. Специалисты с вашего разрешения действуют как злоумышленник. Ищут слабое место, пробуют через него войти и пройти дальше по сети. Результат это отчёт о найденных путях атаки и уязвимостях.
Пентест отвечает на вопрос «можно ли нас взломать и как именно». Обычно он стоит около 1 млн ₽ и занимает от 6 недель. Это разовая проверка, то есть снимок на конкретную дату, а устранение найденного остаётся на заказчике.
Непрерывный контроль
Третий вариант работает постоянно. Сервис каждый день смотрит на вашу инфраструктуру снаружи так же, как это делает сканер злоумышленника, и сообщает о новых открытых портах, устаревших версиях программ и известных уязвимостях. Он отвечает на вопрос «что у нас открыто сегодня».
Почему отчёт пентеста часто так и не исправляют
Мы регулярно видим одну и ту же картину. Компания заплатила за пентест, получила отчёт на десятки страниц, а через полгода большая часть пунктов в нём всё ещё открыта. Причины почти всегда одни и те же.
- Отчёт написан для специалиста. Директор не может понять, что из списка критично, а что подождёт. ИТ-специалист понимает, но у него нет времени.
- У исправлений нет владельца. Один пункт касается сайта, который делал подрядчик, второй сервера, третий настроек почты. Каждый считает, что это задача соседа.
- Исправления требуют простоя и денег. Обновить сервер 1С или переделать удалённый доступ нельзя в обеденный перерыв. Бюджет на это в смете пентеста не заложен.
- Инфраструктура успевает измениться. Пока закрывают старые пункты, появляются новые сервисы, новые сотрудники и новые уязвимости. Отчёт устаревает быстрее, чем его исправляют.
Последняя причина самая важная. Автоматизация и искусственный интеллект сделали поиск уязвимостей быстрым и дешёвым, поэтому злоумышленник проверяет вас не раз в год, а постоянно. По данным Positive Technologies, 31% успешных атак на организации в 2025 году начинался с эксплуатации уязвимостей. Подробнее о том, как держать уязвимости под контролем между проверками, мы писали в статье про управление уязвимостями.
Когда что нужно
У каждой услуги есть ситуация, в которой она действительно полезна.
Аудит ИБ нужен, когда есть внешнее требование. Крупный заказчик просит подтвердить уровень защиты, компания обрабатывает персональные данные и хочет понять, выполняет ли закон, или сменился ИТ-подрядчик и нужно принять хозяйство. О том, во что обходится несоблюдение закона о персональных данных, читайте в статье про штрафы за утечку.
Пентест для бизнеса нужен, когда базовый порядок уже наведён. Удалённый доступ закрыт, программы обновлены, копии хранятся отдельно, и есть люди, которые будут исправлять найденное. Тогда пентест находит то, чего не видит автоматика, например цепочки из нескольких мелких ошибок. Заказывать пентест на неухоженной инфраструктуре значит платить около миллиона за список проблем, который видно и без него.
Непрерывный контроль нужен всем, у кого есть хоть что-то доступное из интернета. Сайт, почта, удалённый рабочий стол, VPN, облачная 1С. Это та самая дверь, которую проверяют каждый день, и о ней стоит знать раньше злоумышленника.
Аудит ИБ цена и что вы за неё получаете
Цену аудита называют после того, как определили объём. Сколько площадок, систем и подразделений, нужно ли проверять соответствие конкретным требованиям. Поэтому прежде чем сравнивать предложения, спросите подрядчика о трёх вещах.
- Что будет на выходе, список нарушений или план работ с приоритетами.
- Кто будет исправлять найденное и входит ли помощь в исправлении в цену.
- Что произойдёт через месяц после сдачи отчёта, когда появятся новые уязвимости.
Для сравнения полезно держать в голове порядок цифр. Разовый пентест стоит около 1 млн ₽. Кибер.Радар с непрерывным контролем периметра и пошаговыми инструкциями по устранению стоит 25 000 ₽ в месяц, то есть 300 000 ₽ в год. Разница не только в деньгах. Пентест показывает состояние на одну дату, а контроль периметра показывает его каждый день.
Начните с недопустимых событий
Есть подход, который экономит и деньги, и время. Вместо вопроса «где у нас уязвимости» задайте вопрос «что не должно случиться ни при каких обстоятельствах». Это и есть недопустимые события.
Для торговой компании это может быть остановка отгрузок больше чем на сутки. Для бухгалтерской фирмы шифрование баз 1С клиентов. Для интернет-магазина утечка базы покупателей. Для любой компании платёж на чужой счёт из клиент-банка.
Когда таких событий три-пять, становится понятно, какие серверы и учётные записи к ним ведут. Защищать нужно в первую очередь их, а не всё подряд. Отчёт любого аудита или пентеста после этого тоже читается иначе, потому что видно, какие пункты угрожают бизнесу, а какие просто нарушают красоту.
Аудит недопустимых событий бесплатно
Tessera за 5 дней помогает определить недопустимые события вашей компании и узлы, через которые они могут произойти. Аудит бесплатный и ни к чему не обязывает.
Дальше на этих узлах можно поставить агентов Tessera. Это SOC на автономных агентах, который обнаруживает атаку и реагирует на самом узле за секунды, а не ждёт, пока дежурный прочитает оповещение. Стоимость 8 900 ₽ за агента в месяц, первые 30 дней бесплатно.
Порядок действий для компании без отдела ИБ
Если бюджет ограничен и непонятно, с чего начать, мы рекомендуем такую последовательность.
- Определите недопустимые события. Три-пять пунктов, которые остановят бизнес или принесут прямые потери.
- Подключите непрерывный контроль периметра. Так вы увидите открытые двери и получите инструкции, как их закрыть.
- Закройте найденное. Сначала то, что ведёт к недопустимым событиям.
- Защитите ключевые узлы. Серверы, без которых бизнес стоит, должны сами останавливать атаку.
- Заказывайте аудит и пентест под задачу. Аудит, когда есть внешнее требование. Пентест, когда базовый порядок наведён и есть кому исправлять.
Такой порядок не отменяет аудит информационной безопасности и пентест. Он делает их полезнее. Отчёт попадает в компанию, где уже понятно, что защищать, и где найденное действительно исправляют.