Adobe CCF: один набір контролів замість десятка стандартів

Компанія, яка працює з клієнтами в кількох країнах, рано чи пізно отримує запити на різні стандарти безпеки. Американський клієнт просить звіт SOC 2, європейський партнер питає про ISO 27001, платіжний провайдер нагадує про PCI DSS, а державний замовник надсилає власну анкету. Кожен документ має свій перелік вимог, свою термінологію і своїх аудиторів. Якщо відповідати на кожен окремо, робота з безпекою перетворюється на нескінченне заповнення таблиць.

Adobe зіткнулася з цією проблемою в повному масштабі і розв’язала її так, що рішенням тепер може скористатися будь-хто.

Що таке Adobe CCF (Common Controls Framework)

Common Controls Framework, або CCF, це набір процесів і контролів безпеки, за яким Adobe захищає свою інфраструктуру, застосунки і сервіси. Щоб його створити, компанія проаналізувала вимоги найпоширеніших сертифікацій для хмарних компаній і звела понад 4 300 вимог приблизно до 315 спільних контролів у 25 доменах. Кожен контроль зіставлений зі стандартами, яким він відповідає. Серед них ISO 27001:2022, SOC 2, PCI DSS v4, HIPAA, NIST Cybersecurity Framework, CIS Controls v8, британський Cyber Essentials, німецький BSI C5, американський FedRAMP та ISO 22301 про безперервність бізнесу. Загалом у стабільній версії фреймворку понад двадцять стандартів.

Найбільші домени за кількістю контролів добре показують, де зосереджена основна робота: керування ідентифікаторами і доступом (39 контролів), моніторинг систем (32), керування вразливостями (23) і керування даними (21). При цьому у фреймворку є окремі домени для навчання персоналу, роботи з третіми сторонами, безперервності бізнесу і реагування на інциденти. Безпека в CCF не зводиться до техніки.

Логіка проста. Один контроль, наприклад багатофакторна автентифікація для адміністративного доступу, впроваджують один раз. Доказ того, що він працює, використовують одразу для кількох перевірок: і для SOC 2, і для ISO 27001, і для PCI DSS.

Adobe відкрила CCF для всіх, хто займається безпекою і відповідністю вимогам, і прямо запрошує використовувати його, щоб пришвидшити і стандартизувати власну роботу. Зараз доступні дві версії: стабільна v5.0 і попередня v6.0. У шостій версії з’явився окремий домен безпеки штучного інтелекту з орієнтиром на ISO/IEC 42001 і NIST AI Risk Management Framework, а кількість зіставлених фреймворків зросла до 33. Завантажити фреймворк можна після заповнення короткої форми на сайті Adobe.

Головна ідея: вимоги повторюються

Якщо покласти поруч ISO 27001, NIST Cybersecurity Framework і Cyber Essentials, більша частина вимог виявиться про одне й те саме. Знати, які активи є в компанії. Керувати доступами і вчасно їх закривати. Оновлювати системи. Робити резервні копії і перевіряти, що з них можна відновитися. Бачити, що відбувається в мережі. Мати план на випадок інциденту. Стандарти відрізняються формулюваннями, глибиною і способом перевірки, але не суттю.

CCF показує це на цифрах: на кожен контроль Adobe в середньому припадає більше десятка вимог із різних стандартів. Для компанії це змінює саме питання. Замість «як пройти ще один стандарт» з’являється питання «які контролі в нас уже працюють і які докази цього є». Новий запит від партнера чи регулятора тоді стає не новим проєктом, а перевіркою покриття.

Чому малому бізнесу 315 контролів Adobe CCF не підходять

CCF створювали для глобальної хмарної компанії з окремою командою з відповідності вимогам, автоматизованим збором доказів і десятками аудитів на рік. Компанії на 20–200 людей такий масштаб не потрібен. Спроба скопіювати його напряму зазвичай закінчується великою таблицею, яку ніхто не відкриває.

Є й інша причина. CCF відповідає на питання «що має бути», але не відповідає на питання «з чого почати, коли бюджет обмежений, а людей мало». Порядку впровадження у фреймворку немає: усі 315 контролів формально рівноцінні. Для великої компанії це нормально, бо більшість контролів у неї вже є. Для невеликої компанії послідовність важить більше за повноту.

Як ту саму ідею реалізує Стандарт кіберстійкості DigVel

Стандарт кіберстійкості DigVel побудований на тому самому принципі, але під інший масштаб. Він адаптує вимоги ISO 27001, NIST і Cyber Essentials до реальних умов і можливостей українського малого і середнього бізнесу та зводить їх до 110 атомарних вимог. Головна відмінність від CCF полягає в послідовності. Вимоги розкладені на чотири рівні і двадцять етапів, і кожен рівень спирається на попередній.

Перший рівень дає розуміння, що є в компанії і що під загрозою: реєстр активів, оцінка ризиків, навчений персонал. Зазвичай він займає від двох до восьми тижнів і не потребує витрат на обладнання. Другий рівень закриває критичні ризики: контроль доступу, паролі і багатофакторну автентифікацію, антивірусний захист, план реагування на інциденти з розподіленими ролями. Третій рівень додає технічний захист критичних процесів: класифікацію даних, розмежування доступу за ролями, шифрування, резервні копії за правилом 3-2-1 і план відновлення бізнес-процесів із цільовими показниками RTO і RPO. Четвертий рівень робить кіберстійкість сталою: моніторинг, пентест, внутрішній аудит і цифровий сертифікат DigVel.

Як і в CCF, кожна вимога стандарту потребує доказів виконання: документа, файла чи запису. Без доказу вимога вважається невиконаною, навіть якщо захід фактично впроваджено. Саме ці докази потім стають матеріалом для розмови з партнером, страховиком або аудитором іншого стандарту.

Ще одна спільна риса з CCF полягає у відкритості. Стандарт доступний безкоштовно під ліцензією CC BY-SA 4.0, його можна вивчати і впроваджувати самостійно. Сертифікацію і видачу цифрового сертифіката проводить DigVel.

Що це дає на практиці

Анкета безпеки від іноземного партнера, вимога тендера, підготовка до ISO 27001 чи нові правила для фінансового ринку на кшталт постанови НБУ №143 мають різну форму, але питають здебільшого про одне: хто має доступ, де резервні копії, що буде в разі інциденту. Компанія, яка пройшла хоча б перші рівні стандарту, вже має реєстр активів, оцінку ризиків, правила доступу і план реагування на інциденти. Частину відповідей можна дати з наявних доказів, а прогалини видно одразу. Це той самий ефект, на якому побудований CCF: один контроль закриває багато вимог. Тільки без 315 пунктів на старті.

Висновок

Adobe CCF варто знати всім, хто мусить відповідати кільком стандартам одночасно. Він переконливо показує, що різні вимоги можна і варто звести до спільного набору контролів, а потім лише перевіряти покриття. Для малого і середнього бізнесу той самий принцип працює в меншому масштабі і з чіткою послідовністю: спершу зрозуміти ризики, потім закрити критичні, далі захистити ключові процеси і підтримувати рівень. Робити один раз і використовувати багато разів. Це і є кібербезпека здорового глузду.

Перевірити, наскільки Стандарт кіберстійкості DigVel відповідає ситуації конкретної компанії, можна за дев’ятьма твердженнями на сайті стандарту: smb.digvel.com.ua.