Стандарт — это не религия, а инструмент под задачу
Меня регулярно спрашивают: «Мы вот выбираем стандарт ИБ — брать CIS, NIST или всё-таки ГОСТ 57580?» И вопрос этот обычно задают так, будто выбирают единственно верный путь. На практике всё прозаичнее: почти никому не нужен один стандарт «на всё». Нужен набор, который закрывает конкретные требования — регулятора, заказчика, инвестора или вашей собственной совести после очередного инцидента.
Давайте разберём, что реально стоит за этими тремя названиями, чем они отличаются и в каких ситуациях какой уместен. Без придыхания и маркетинга.
Три разных зверя: откуда они взялись
Проблема в том, что эти стандарты сравнивают так, будто они одного типа. А они решают разные задачи и живут в разных мирах.
CIS Benchmarks и CIS Controls
CIS (Center for Internet Security) — некоммерческая организация, которая делает два принципиально разных продукта. CIS Controls (сейчас их 18 версий-групп) — это приоритизированный набор мер: от инвентаризации активов до управления инцидентами. А CIS Benchmarks — это уже конкретные технические чек-листы по настройке: как захарденить Windows Server, nginx, PostgreSQL, Kubernetes.
Сильная сторона: «мясо» на уровне галочек. Слабая — это не формальный стандарт соответствия, сертификат по CIS вы не получите. Это инженерный инструмент.
NIST (особенно NIST CSF и SP 800-53)
Американский NIST дал миру два самых цитируемых документа. Cybersecurity Framework (CSF) — рамочная модель из функций Identify, Protect, Detect, Respond, Recover (в версии 2.0 добавили Govern). Она не предписывает конкретные настройки, зато отлично ложится на язык бизнеса и рисков.
SP 800-53 — это уже каталог из сотен контролей, тяжеловесный и подробный, из него выросли требования FedRAMP для облаков. NIST хорош там, где нужно выстроить управление рисками и объяснить топ-менеджменту, почему вы тратите деньги именно так.
ГОСТ Р 57580.1–2017
А вот тут начинается российская специфика. ГОСТ Р 57580 — это стандарт Банка России по защите информации в финансовых организациях. Он задаёт уровни защиты (второй — минимальный, третий — стандартный, четвёртый — усиленный), состав организационных и технических мер, а также правила оценки соответствия.
Ключевое: если вы кредитная организация, НПФ, страховая или платёжный сервис, работающий под надзором ЦБ, — ГОСТ 57580 не «опция», а требование. И инспектор придёт проверять именно по нему, а не по вашему красивому отчёту по NIST CSF.
Сравнение по делу
- Область применения. CIS — универсальный инженерный набор. NIST — универсальная рамка управления (сильна в международных компаниях и облаках). ГОСТ 57580 — обязательный для поднадзорных ЦБ организаций РФ.
- Формальность. CIS и NIST — добровольные. ГОСТ 57580 — де-факто обязательный, с оценкой соответствия и баллами.
- Уровень детализации. CIS Benchmarks — до конкретных параметров реестра. NIST CSF — до функций и категорий. ГОСТ 57580 — до состава мер с уровнями защиты.
- Регуляторный вес в РФ. Только ГОСТ 57580 реально «весит» перед ЦБ. NIST и CIS — вспомогательные.
- Скорость внедрения. CIS можно начать применять за пару недель на отдельных системах. Полноценное соответствие ГОСТ 57580 — это месяцы проектной работы.
Так что же выбирать?
Ответ простой: чаще всего — комбинацию, а не один документ. Вот логика, которой я советую пользоваться.
- Определите, кто вас проверяет. Если проверяет ЦБ и вы поднадзорны — базис это ГОСТ 57580, точка. Всё остальное сверху.
- Определите, что требует бизнес. Если вы SaaS-провайдер, работающий с западными заказчиками, вам нужен NIST CSF как язык общения и SOC 2 как доказательство. ГОСТ тут не поможет.
- Возьмите техническую глубину из CIS. Политики без настроек — это бумага. CIS Benchmarks дают конкретные конфигурации, которые закрывают реальные дыры, а не отчётные галочки.
- Постройте матрицу соответствия. Не ведите три системы параллельно. Составьте одну таблицу: требования ГОСТ 57580 / NIST / CIS — и отметьте, какие контроли их закрывают одновременно. Пересечений будет больше, чем кажется.
Чего не делать
Не гонитесь за «сертификатом ради сертификата». Я видел компании, которые прошли аудит и получили красивую бумагу, но при этом не инвентаризировали активы и не закрывали критические патчи месяцами. Стандарт — это рамка, а не броня.
И отдельно: не переписывайте пресс-релиз вендора в отчёт о соответствии. Если решение «поддерживает требования ГОСТ 57580», это ещё не значит, что ваш ландшафт ему соответствует. Продукт — лишь один из сотен контролей.
Чек-лист: с чего начать на этой неделе
- Выясните, подпадаете ли вы под надзор ЦБ или отраслевые требования — если да, ГОСТ 57580 в приоритете.
- Проведите инвентаризацию активов (это базовая мера и в CIS, и в NIST, и в ГОСТ — начинать надо здесь).
- Приоритизируйте «быстрые победы» из CIS Controls: инвентаризация, управление учётками, резервное копирование, патч-менеджмент.
- Постройте матрицу пересечений требований, чтобы не делать одну работу трижды.
- Зафиксируйте текущий уровень зрелости и выберите целевой — иначе через год не сможете доказать прогресс.
- Запланируйте регулярный пересмотр: NIST CSF обновился до 2.0, CIS Controls тоже эволюционируют.
Стандарт не защищает информацию. Защищает инженерная дисциплина — инвентаризация, патчи, разграничение доступа, логирование и умение быстро реагировать. Стандарт лишь помогает не забыть про эти вещи и говорить с регулятором и бизнесом на одном языке.
