Слайд 14. Групповая работа: оценка архитектуры стартапа и корпорации

Блок 4. Групповая работа + мост к Лекции 11 Групповая работа: оценка архитектуры стартапа и корпорации Слайд 14 / 15

Кейс А: Стартап (ФинТех / FinTech)

ПрофильФинТех (FinTech) стартап, 30 чел., 1 год работы

ПродуктМобильное приложение для микрозаймов

Критичные активыДанные 10 000 клиентов (ПДн + финансы), проприетарные ML-модели (Machine Learning / машинное обучение) скоринга

ИнфраструктураПолностью в Yandex Cloud

Команда12 разработчиков, остальные, бизнес и поддержка. CISO нет, технический руководитель (Tech Lead) с интересом к ИБ

РегуляторыЦБ РФ, Роскомнадзор

Бюджет на ИБ3-5 млн руб/год

Стек защиты MFA (Multi-Factor Authentication) на сервисах Антивирус Резервное копирование в облаке (Backup) Нет SOC (Security Operations Center) Нет SIEM (Security Information and Event Management) Нет DLP (Data Loss Prevention) Нет EDR (Endpoint Detection and Response) Нет воздушного зазора (air-gap)

Кейс В: Корпорация (Промышленность)

ПрофильПроизводственный холдинг, 5000 чел., 25 лет

НаправленияМеталлургия и машиностроение

Критичные активыOT-инфраструктура, ERP, ПДн сотрудников, технологические ноу-хау

ИнфраструктураГибридная (собственный ЦОД + облако)

КомандаCISO (Chief Information Security Officer / руководитель ИБ) + ИБ-команда 12 чел., SOC (Security Operations Center / центр операционной безопасности) аутсорс 24/7

РегуляторыФСТЭК (КИИ), ФСБ, Роскомнадзор

Бюджет на ИБ200 млн руб/год

Стек защиты EDR (70% покрытие / coverage) SIEM (7 лет, 40% норм.) DLP-N + DLP-E (2 вендора) MFA (критичные системы) Резервное копирование (Backup, нет воздушного зазора / air-gap) Нет CSPM (Cloud Security Posture Management) Нет настольного учения (tabletop) IoT/OT не покрыты

Задача (60 минут, группы по 3-4 чел.)

Применить CIS Controls IG1 Matrix, оценить покрытие (зелёный/жёлтый/красный)

Идентифицировать top-5 gap-областей (самые критичные дыры)

Предложить top-3 архитектурных изменения с оценкой бюджета и эффекта на риск

Сформулировать стратегию: что покупаем / оставляем / заменяем / отказываемся

Критерии хорошей работы

Соответствие решений размеру и зрелости компании

Учёт регуляторных требований

Обоснование экономической эффективности

90 дней / 1 год / 3 года, явное указание горизонтов

На итоговой Лекции 11 обсудим результаты обеих команд и подведём итоги всего курса. Это репетиция реальной работы, которую каждый из вас может провести в своей компании. Защита, не общие принципы, а конкретные решения для конкретного контекста.