Данная статья про преданные забвению, уверенно существующие и шагающие в будущее концепции информационной безопасности.

Так как человек придумал буквы и много слов, то и в мире информационной безопасности (ИБ) существует множество стратегий и практик, которые звучат по-разному, но по сути говорят об одном и том же. Моя цель собрать все это воедино, осмыслить и придать этому какую бы то ни было структуру.

Охватывая эту тему, хотелось бы оговориться что речь естественно пойдет о современном мире, но и стоит упомянуть что ИБ существовала издревле, да еще и до нашей эры (если конечно же верить археологам и историкам).

Ну а если верить мне, то благодаря раскопкам в информационных просторах и аналитике на данный момент удалось идентифицировать 6 практически самостоятельных концепций.

Прежде чем приступить к описанию, предлагаю синхронизироваться и вести следующий бестиарий терминов, встречающихся в статье:

• Концепция – это глобальные стратегии, которые определяют подходы и методы создания системы защиты информации

• Подходы – это теоретические методы и принципы, выбранные для реализации концепции, влияющие на архитектуру системы защиты информации

• Методика – это пошаговая инструкция или набор методов, предназначенных для реализации выбранного подхода

• Технология – это инструменты и продукты, предназначенные для реализации выбранного подхода

Перечень концепций

Итак, что же это за концепции:

• концепция №1: Air Gap («Воздушный зазор»)

• концепция №2: Castle and Moat («Замок и ров»)

• концепция №3: Defense in Depth («Эшелонированная защита»)

• концепция №4: Zero Trust  («Нулевое доверие»)

• концепция №5: Cyber Resilience («Устойчивость к кибератакам»)

• концепция №6: Digital Immune System («Цифровой иммунитет»)

И прежде чем приступить к описанию, поделюсь мыслями о том как создавался этот список и возможно упрежу ваше несогласие с этим перечнем.

В первую очередь при составлении финального списка пользовался следующими соображениями и во главе логики ставил два противоречивых друг другу свойства:

• наличие противоречий между идеями концепций, являющихся по сути антитезами друг другу

• наличие преемственности, продолжение идеи концепции, но с переработкой сути

Тот же самый Air Gap сейчас воспринимается как мера (методика) и может являться одним из элементов Defense in Depth, а не представлять собой целую концепцию, но покопавшись в истории и этимологии выявил что все-таки не все так просто, и можно считать, что это одна из самых первых популярных концепций в современной истории ИБ. Тоже самое можно сказать про Cyber Resilience, который не противоречит и является по логике одним из принципов Defense in Depth и Zero Trust, но при этом несет в себе принципиально отличающуюся идею, что позволяет ее выделить в отдельную концепцию, тогда как у философий Defense in Depth и Zero Trust в приоритете другой важный посыл. Что же касается Digital Immune System, то эта концепция имеет главную отличительную черту, что представляет собой систему с заранее встроенными механизмами защиты в виде «живого технологического организма», где решение принимает не человек, а система делает это осознанно самостоятельно.

Аналитике подверглись различные существующие подходы, методики и технологии ИБ, и за бортом списка самостоятельных концепций остались многие претенденты, если интересно ознакомиться, то часть из них находится здесь.

Скрытый текст

Continuous Threat Exposure Management (CTEM) - непрерывное управление угрозами

Security Risk Management (SRM) - управление рисками безопасности

Compliance Based Security - обеспечение безопасности на основе соответствия требованиям

BeyondCorp - подход по обеспечению безопасности Google, основанный на концепции Zero Trust

People Centric Security (PCS) - стратегия ИБ, делающая упор на осведомленности пользователей принципам ИБ

Identity Centric Security - стратегия ИБ, делающая упор на строгую идентификацию пользователей

Data Centric Security - стратегия ИБ, делающая упор на защиту данных

Threat Centric Security - стратегия ИБ, делающая упор на управление угрозами, по сути тоже самое что и в CTEM

Principle of least privilege (PoLP) - принцип ограничения привилегий пользователей до минимума, необходимого для выполнения задач

Assume Breach - принцип основанный на необходимости строить систему защиты, предполагая что злоумышленник проник и закрепился в среде объекта защиты

Assume Compromise - принцип основанный на необходимости строить систему защиты, предполагая что злоумышленник проник, закрепился и скомпрометировал данные в среде объекта защиты

Site reliability engineering (SRE) - это принцип построения и обеспечения бесперебойного функционирования объекта защиты

Secure by Design - это подход, основанный основанный на гарантии что объект защиты разработан с учетом требований безопасности

DevSecOps / Secure SDLC - подход основанный на безопасной разработки приложений

Trusted Computing Base (TCB) - подход, представляющий собой совокупность механизмов защиты в компьютерной системе, включая аппаратное обеспечение и программное обеспечение

Attribute Based Access Control (ABAC) - модель контроля доступа к объектам, основанная на анализе правил для атрибутов объектов или субъектов, возможных операций с ними и окружения, соответствующего запросу

Role-Based Access Control (RBAC) - модель управления доступом на основе ролей

В большей степени вышеописанные 6 концепций включают в себя эти методики и подходы, но допускаю что я субъективен и возможно определенные претенденты были достойны номинации самостоятельной концепции.

Итак, перейдем к описанию.

Описание концепций

Air Gap «Воздушный зазор»

Происхождение:

Согласно NIST термин Air Gap означает следующее: "An interface between two systems at which (a) they are not connected physically and (b) any logical connection is not automated (i.e., data is transferred through the interface only manually, under human control)". Т.е. Air Gap – это физическая изоляция объекта защиты от других систем и внешних сетей, где данные передаются вручную, под контролем человека.

Альтернативные наименования встречающиеся в различных международных стандартах, публикациях и исследованиях: «Offline Segmentation», «Network Separation», «Isolated Network», «Disconnected Security» и «Off-Grid Network».

Ключевыми принципами являются:

• изоляция объекта защиты от других систем

• отсутствие подключения к интернету

• отсутствие удаленного подключения к объекту защиты

• ограниченное использование интерфейсов передачи данных

• достаточность меры изоляции, исключающую применение других мер безопасности

Словосочетание на английском языке «air gap» еще зародилось в далеком 1840 году, но как вы понимаете явно неприменимо к ИБ. Словосочетание на русском языке «воздушный зазор» появилось в мире электротехники, затем во времена холодной войны перекочевала и в информационную безопасность.

Если верить интернету, то законодателями мод применения этого термина к ИБ, считается - США и СССР. Термин применимо к безопасности начал использоваться еще в 1960 –е годы, а подобные компании как Forrester, Gartner и IDC начали упоминать Air Gap в начале 2010-х годов.

Виды подходов:

Важно отметить что как оказалось понятие «изоляция» растяжимое, и если раньше принцип для Air Gap основывался на полной физической изоляции объекта защиты, то с развитием технологий появились различные допущения, которые чувствуются в описании подходов Air Gap:

• Full Air Gap (“Полный воздушный зазор”) – это как раз-таки та самая легендарная физическая изоляция, где абсолютно нет никаких взаимодействий объекта защиты с другими системами, недопустимы всякие ловкие технологические приемы, о которых речь пойдет дальше в других подходах концепции

• Logical Air Gap (“Логический воздушный зазор”) – в данной парадигме допускается взаимодействие объекта защиты с другими системами, но только через специальное оборудование (Firewall, Data Diode и т.д.), обеспечивающие защиту канала, контроль передачи и получения данных

• Virtual Air Gap (“Виртуальный воздушный зазор”) – объекты защиты изолированы виртуально, используя контейнеры, гипервизоры или виртуальные машины, которые физически находятся в одной сети, но логически разделены, по сути является разновидностью Logical Air Gap

• Procedural Air Gap (“Процедурный воздушный зазор”) – допускается взаимодействие объекта защиты с другими системами, но которая ограничена организационными правилами и процедурами (например, подключение строго проводится во время обновления системы и временной передачи данных во вне)

Резюме по концепции:

На текущий момент концепция Air Gap не потеряла свою актуальность, но не является панацей от всех угроз и смело можно предположить, что из концепции, она превратилась в меру в обойме концепции Defense in Depth, которой коснемся чуть позже. И как мы видим, что существуют различные модификации Air Gap, где можно найти точки соприкосновения и компромисс между обеспечением ИБ и ведением бизнес процессов.

Хочется отметить, что Air Gap не вызывает отторжение и даже получает одобрение со стороны заказчиков (особенно в промышленности), но в какой-то степени приобретает статус одиозности и становится героем “мемов” в кругу специалистов по ИБ из за фанатичной веры в то, что это самая эффективная защита от угроз под лозунгом "нет подключений - нет угроз".

Тем не менее Air Gap не перестает быть востребованной для определенных сфер деятельности. В тех же сферах где тренд моде задает термин «цифровизация», данная концепция в контексте “полной физической изоляции” противоречит современным реалиям бизнеса и соответственно порождает более гибкие подходы в своей реализации. Точно так же противоречить современному ландшафту угроз, где изоляция от внешнего мира не является залогом безопасности систем.

Castle and Moat «Замок и ров»

Происхождение:

Официального термина Castle and Moat «Замок и ров» в мире ИБ не существует, то есть он не встречается как определение в международных стандартах и государственных нормативно правовых актах.

Поэтому воспользуемся народным определением: Castle and Moat - символизирует собой подход, когда внешние угрозы для объекта защиты блокируются на периметре с внешней сетью, а внутренняя сеть считается безопасной. Соответственно приводится аналогия со средневековым замком с крепостными стенами и рвом.

Альтернативные наименования встречающиеся в различных международных стандартах, публикациях и исследованиях: “Perimeter Security”, “Classic Security Model”.

Ключевыми принципами концепции являются:

• вся защита сосредоточена на периметре

• все меры направлены на защиту от внешних угроз

• внутренняя сеть безопасна

Концепция Castle and Moat возникла в конце 1970-х годов, когда начали формироваться первые модели защиты сетевых периметров и технологии межсетевых экранов, а такие компании как Forrester, Gartner и IDC начали упоминать термин в начале 90 –х и 2000-х годов.

Виды подходов:

Особо не выделишь в корне различающиеся подходы  по защите периметра, поэтому не мудрствуя и не лукавя поделим подходы по векторам атак: 

• защита контролируемой зоны

• защита сетевых соединений

• защита почты

• защита web приложений

• защита мобильных приложений

• защита удаленного доступа

Резюме по концепции:

На текущий момент Castle and Moat по сути из концепции превратилась в одну из мер концепции Defense in Depth, идущую далее. Держа в уме современный ландшафт угроз и развитие технологий можно констатировать что Castle and Moat потерял свою актуальность, но тем не менее до сих пор существуют объекты защиты, где другие концепции неприменимы кроме как Castle and Moat.

Если концепция и потеряла свою былую популярность, то подходы и технологии защиты периметра по текущий день продолжают развиваться, несут за собой важную роль  делая в том числе акцент на защиту внутренней сети.

Defense In Depth “Эшелонированная защита”

Происхождение:

Термин Defense In Depth  “Эшелонированная защита” встречается NIST SP 800-123, который гласит: “Security mechanisms (defenses) need to be layered so that compromise of a single security mechanism is insufficient to compromise a host or network”. А также чуть другое определение в глоссарии NIST "Information security strategy integrating people, technology, and operations capabilities to establish variable barriers across multiple layers and missions of the organization ". Т.е. механизмы безопасности (защиты) должны быть многоуровневыми, чтобы компрометация одного механизма безопасности была недостаточной для компрометации хоста или сети. И представляет собой стратегию информационной безопасности, объединяющая человеческие, технологические и организационные меры.

Альтернативные наименования, встречающиеся в различных международных стандартах, публикациях и исследованиях: «Layered Security», «Multi-layered defense».

Ключевыми принципами является:

• использование многоуровневой системы защиты

• каждое средство защиты расположено последовательно, для затруднения продвижения атакующего и возможности оперативного выявления

Концепция Defense In Depth окончательно оформилась в 1990-х годов, когда появилась надобность в совершенствовании подходов ИБ, взамен концептуально устаревшим Air Gap и Castle and Moat, а такие компании как Forrester, Gartner и IDC начали упоминать термин в начале 90 –х и 2000-х годов.  

 Виды подходов:

Поделим на следующие подходы: 

• Compliance Based Security – это подход цель которого построить эшелонированную систему защиты основанном на необходимости соответствия законодательству и стандартам ИБ

• Security Risk Management (SRM) / Continuous Threat Exposure Management (CTEM) – это подход, где во главу угла ставится постоянный мониторинг и анализ ландшафта угроз / рисков, техник и тактик злоумышленников, и в соответствии с этим строить/адаптировать систему защиты

• Разработка и адаптация эшелонированной системы защиты с учетом особенностей используемых технологий и архитектур объектов защиты, и возможности реализации мер системы защиты

Резюме по концепции:

На текущий момент Defense In Depth согласно опросам Gartner, и Forrester является одной из самых распространённых концепций в мире. Да и по сути все наши любимые приказы ФСТЭК, ГОСТы о мерах защиты декларируют этот подход.

Но современные реалии и угроз диктуют новые вызовы и якобы подходов этой концепции недостаточно и нужно придумывать что-то более изощренное против злоумышленников и давайте об этом поговорим в описании следующих концепций.

Zero Trust «Нулевое доверие»

Происхождение:

Концепция Zero Trust была предложена в 2010 году Джоном Киндервагом (John Kindervag), сотрудником компании Forrester. Аналитический отчет компании о Zero Trust звучал примерно так: “If the current trust model is broken, how do we fix it? It requires a new way of thinking. The way we fix the old trust model is we begin at the beginning and look for a new trust model. Forrester calls this new model “Zero Trust.” The Zero Trust Model is simple: Security professionals must stop trusting packets as if they were people. Instead, they must eliminate the idea of a trusted network (usually the internal network) and an untrusted network (external networks). In Zero Trust, all network traffic is untrusted. Thus, security professionals must verify and secure all resources, limit and strictly enforce access control, and inspect and log all network traffic. Much of this can be automated so that it doesn’t become burdensome.”

Также Национальным институтом стандартов и технологий США про архитектуру Zero Trust опубликовано информационное письмо (“Special Publication”, не является утвержденным стандартом) - NIST 800-207. Хотя в нем и не вводится определение Zero Trust, но из обобщений и выдержек вычитываем следующее: “Zero trust security models assume that an attacker is present in the environment and that an enterprise-owned environment is no different—or no more trustworthy—than any nonenterprise-owned environment…”

И само определение NIST гласит: "A collection of concepts and ideas designed to minimize uncertainty in enforcing accurate, least privilege per-request access decisions in information systems and services in the face of a network viewed as compromised."

Т.е. в совокупности термин Zero Trust предполагает, что весь внутренний сетевой трафик является недоверенным и что злоумышленник присутствует внутри периметра и что” корпоративная” среда ничем не отличается (или не более надежна), чем любая “некорпоративная” среда, и необходимо рассматривать ее как скомпрометированную.

С одной стороны, звучит это конечно не очень уютно для уполномоченных и ответственных лиц за обеспечение ИБ, но с другой - довольно таки интригующе.

Альтернативные наименования, встречающиеся в различных международных стандартах, публикациях и исследованиях: «Perimeterless Security».

Ключевыми принципами является:

• Never Trust, Always Verify («Никогда не доверяй, всегда проверяй»), т.е. субъекты доступа (пользователи, устройства, процессы) не должны считаться доверенными по умолчанию. Каждый запрос на доступ к объекту доступа должен проходить строгую проверку и авторизацию. Проверка осуществляется независимо от местоположения пользователя или устройства

• Principle of least privilege («Принцип наименьших привилегий»), т.е. субъект получает доступ только к минимальным необходимым объектам доступа и права, необходимые для выполнения своих задач. Привилегии предоставляются на короткое время, по необходимости и регулярно пересматриваются права доступа и полномочия субъекта доступа

• Continuous Monitoring («Непрерывный мониторинг»), т.е. речь в первую очередь идет о сетевом трафике. Проверка на аномалии и регистрация всего сетевого трафика между субъектом и объектом доступа, и даже в том случае субъект доступа прошел строгую проверку и авторизацию

• Assume Breach / Assume Compromise - необходимость предполагать что злоумышленник уже внутри среды объекта защиты

И как выше было сказано концепция Zero Trust была предложена в 2010 году сотрудником Forrester, модернизирована в Zero Trust eXtended в 2018 году его коллегой Чейзом Каннингемом (Chase Cunningham), но сама идея витала в воздухе с 90-х годов, когда стало понятно, что концепция Castle and Moat устарела и не достаточна для покрытия ландшафта угроз того времени.

Виды подходов:

Подходы следующие:

• Zero Trust platform (ZTP) – это термин, введенный Forrester, представляет собой подход, унифицирующий и объединяющий в единую платформу базовые технологии безопасности, служащие основой для использования других инструментов безопасности, приложений, процессов и технологий для реализации концепции Zero Trust

• BeyondCorp – это термин, введенный Google, представляет собой подход реализующий идеи концепции Zero Trust компанией Google, также в составе имеющий архитектуру и технологии, которые являются альтернативой VPN и ZTNA

Резюме по концепции:

На текущий момент на мировом рынке ИБ концепция Zero Trust дышит в спину, а может уже и обогнала, концепцию Defense in Depth, если верить опросам Gartner и Forrester. Что касается самой концепции, то можно отметить что она не универсальна как допустим Defense in Depth и  не применима ко всем сферам деятельности и определенным типам объектов защиты. Не могу себе представить реакцию представителей службы АСУ ТП, если им рассказать про то какая существуют прекрасная современная концепция Zero Trust и как ее замечательно было использовать в технологическом сегменте. Хотя на моем опыте прецеденты есть и в той же "регуляторике" нет прямого запрета на удаленный доступ к критической информационной инфраструктуре  и при необходимости "удаленки" вменяется использование классов решений средств защиты информации, которые пестуют идеи концепции Zero Trust. Главное, чтоб это был не красивый маркетинг, а работало на самом деле, но это уже отдельная история.

Cyber Resilience «Устойчивость к кибератакам»

Происхождение: 

Концепция Cyber Resilience берет начало от более обширной концепции не из мира ИБ - Resilience Engineering (“Устойчивость систем”). Согласно NIST определение термина звучит следующим образом: “The ability to anticipate, withstand, recover from, and adapt to adverse conditions, stresses, attacks, or compromises on systems that use or are enabled by cyber resources.” Т.е. Cyber Resilience это способность предвидеть, противостоять, восстанавливаться и адаптироваться к инцидентам ИБ.

Альтернативные наименования, встречающиеся в различных международных стандартах, публикациях и исследованиях: «Cyber-readiness», “Assume Breach”, “Assume Compromise”.

Ключевыми принципами являются:

• Assume Breach / Assume Compromise – необходимость предполагать что злоумышленник уже внутри среды объекта защиты

• Site reliability engineering (SRE) – обеспечение непрерывного функционирования объекта защиты

  Концепция  начала обретать популярность и упоминаемость (отчеты Gartner, Forrester, Всемирный экономический форум) примерно с 2014 года.

Виды подходов:

Попробуем разделить на следующие подходы:

• Disaster recovery - делать упор на подготовку к наихудшим сценариям последствий от действий злоумышленника и халатности сотрудников, разработка планов восстановления штатного функционирования объекта защиты, к которым в том числе относятся:

  • резервирование

  • кластеризация

  • отказоустойчивость

• Detection and Response - делать упор на выявление и реагирование на обнаруженного злоумышленника, который уже проник в среду объекта защиты

Резюме по концепции:

Довольно таки неоднозначная концепция, которая может вызвать у руководства вопрос  “а зачем нам тогда ваша ИБ, которую обошел злоумышленник ?” т.е. по сути претензии к концепции Defense in Depth.

Концепция Cyber Resilience прагматично принимает во внимание что инвестиции в ИБ не гарантируют отсутствие успешных атак и рекомендует быть готовым к наихудшим сценариям.

Самая главная идея данной концепции - это наличие понимания того, что ИБ должна отвечать не только на вопрос “Как защищаться от угроз ?”, но и на вопрос “Что делать если ущерб нанесен ?”.

А уже набившие оскомину фразы вендоров и системных интеграторов “никто не даст 100 % гарантии безопасности”, “при желании все можно взломать и обойти” как раз таки позволяют пристально обратить внимание на Cyber Resilience и выделить ее в самостоятельную концепцию.

Digital Immune System «Цифровой иммунитет»

Происхождение:

Согласно Gartner концепция Digital Immune System это: “The digital immune system (DIS) approach includes practices and technologies for software design, development, automation, operation and analytics, and uses these to create a superior user experience and to reduce system failures that impact business performance”. Т.е. Digital Immune System это набор практик и технологий проектирования, разработки, автоматизации, эксплуатации и аналитики программного обеспечения, направленных на исключение продолжительных сбоев и автоматическое оперативное восстановление системы. В качестве аналогии рассматривается иммунная система живых организмов и их способности бороться с биологическими угрозами.

Альтернативные наименования, встречающиеся в различных международных стандартах, публикациях и исследованиях: «Self-Healing Systems».

Ключевая идея концепции в том, что ИБ должна стать неотъемлемой частью объекта защиты, и должна органично появляться на этапе создания и реализации в составе  систем,  а не  в виде наложенных средств защиты. Т.е. по сути делается упор на:

• заранее продуманные и встроенные средства защиты в среду объекта защиты

• чистоту исходного кода объекта защиты, без ошибок и уязвимостей 

Ну и в идеале конечно же работа этих встроенных средств защиты должна осуществляться автоматически, с минимальным вмешательством со стороны человека.

Ключевыми принципами являются:

• Secure by Design – разработка систем с учетом требований безопасности

• Secure by Default – разработка систем где меры безопасности активированы по умолчанию

• Observability – постоянное наблюдение состояния объекта защиты и поведения пользователя в режиме реального времени

• Site reliability engineering (SRE) – обеспечение непрерывности функционирования объекта защиты

• Auto Remediation – автоматическое исправление проблем, восстановление после сбоев в рабочее стабильное состояние объекта защиты, без участия персонала

• AI-augmented testing – автоматическое  тестирование объекта защиты с использованием ИИ

• Chaos engineering – имитация экстремальной нагрузки, сбоев и наихудших сценариев отказа работы для объекта защиты, с целью выявления уязвимых мест 

Упоминания о концепции появляются в начале 2000-х годов, активное использование термина началось примерно с 2010 года.

Виды подходов:

• DevSecOps / Secure SDLC – разработка программного обеспечения с учетом требований безопасности на всех этапах жизненного цикла разработки

• Runtime Application Self-Protection (RASP) – методика обнаружения и предотвращение атаки на приложение в режиме реального времени, встроенное в приложение или среду исполнения  

• Кибериммунитет – подход компании Kaspersky, обозначающий технологию  “кибериммунного подхода к разработке, позволяющий создавать исходно безопасные (secure by design) системы, которые не требуют дополнительных средств защиты”

• Software supply Chain Security – организация безопасности цепочки поставок программного обеспечения для создания объекта защиты, не исключающих использование наложенных средств защиты 

Резюме по концепции:

Концепция звучит немного фантастически, особенно когда речь идет о сравнении и попытках скопировать свойства  иммунитета  живого организма и элементов самостоятельной регенерации. Эволюция создала практически совершенный инструмент, приспособившись к угрозам планеты Земля и выработав механизмы и устройства у существующих живых организмов. 

Если же прагматично смотреть на концепцию и на ее отдельные технологии сквозь призму Industrie 4.0 и надвигающейся пятой промышленной революции, то концепция вполне имеет право жить и на рынке ИБ существуют продукты которые реализуют методики и технологии данной концепции.

Финальный вывод

Если резюмировать ключевые признаки отличий каждой из концепций и выражать в слоганах, то получится следующее:

• Air Gap («Воздушный зазор») - “Изоляция от внешнего мира!”

• Castle and Moat («Замок и ров») - “Защита периметра от внешнего мира!”

• Defense in Depth («Эшелонированная защита») - “Больше уровней защиты!”

• Zero Trust  («Нулевое доверие») - “Постоянно всех проверяем и никому не доверяем!”

• Cyber Resilience («Устойчивость к кибератакам») - “ Всегда ищем у себя злодеев и готовы ко взлому!”

• Digital Immune System («Цифровой иммунитет») - “Только безопасный код и автоматизация!”

Если делать общий вывод, то можно отметить что практически все данные концепции в статье актуальны, хотя некоторые логически и технологически устарели, а другие только технологически дозревают. И внутри одной компании для различных объектов защиты применимо использование различных концепций, и нет такового посыла что вот это концепция хорошая, другая нет.

По сути если говорить про российское законодательство в сфере ИБ, то идеи вышеописанных концепций в той или иной степени отражены в 17, 21, 31, 239 приказах ФСТЭК , ГОСТ 57580.

И неважно какая концепция и какие там технологии применяются, главное, чтоб подход по обеспечению требований ИБ был разумным, экономически целесообразным, защищал не только финансовые интересы, но и задумывался о защите людей и окружающей среды и не противоречил общим целям деятельности компании. Ну и утопически в идеале конечно, чтоб выполнение требований ИБ не только несло за собой финансовые траты, но еще и приносило прибыль.

Цель статьи была упорядочить нагромождение терминов касающихся концепций, подходов, технологий в мире ИБ и придать этому повествовательный тон. Надеюсь хотя бы в малой степени мне удалось с этим справиться. Буду рад от вас услышать конструктивную критику и замечания, дабы внести изменения и улучшить качество представленной информации в статье.