В одном из предыдущих материалов мы уже разбирали подписочную модель. Напомним, MSSP-провайдером мы называем компанию, которая оказывает услуги информационной безопасности. Заказчик получает дорогостоящее ПО вместе с его настройкой и сопровождением, а платит за это раз в месяц небольшими платежами.

Так можно пользоваться и нашей СКДПУ НТ — PAM-системой для контроля действий администраторов и подрядчиков. Если внешний специалист подключается к вашим серверам, полезно ограничивать его доступ и знать, что именно он там делает, особенно если у него есть повышенные права (подробнее о PAM-системе — здесь). 

Долгое время PAM воспринимали как продукт для корпораций и госзаказчиков. Но у небольшой компании тоже есть серверы, важные данные и подрядчики. Правда, отдельный проект внедрения защиты ей может оказаться не по карману. 

У заказчика есть несколько вариантов: купить бессрочную лицензию, взять её на определённый срок или обратиться к MSSP-провайдеру за услугой. В последнем случае компания получает тот же продукт, но его эксплуатацией занимается внешняя команда. Это существенная часть предложения. Когда в штате нет человека, который умеет работать с PAM, скидка на лицензию не слишком помогает. Кто-то всё равно должен развернуть систему, настроить подключения и разбираться с вопросами пользователей. В сервисной модели этим занимается провайдер.

Работа начинается с задачи заказчика: какие ресурсы нужно защитить, сколько подключений контролировать и на какой срок. Провайдер согласовывает условия, получает у нас временную лицензию и организует обслуживание. Для клиента он же становится первой точкой обращения по техническим вопросам. 

Мы как разработчик помогаем самому провайдеру. Специалисты проходят обучение по продукту, выполняют практические задания и сдают экзамен. Это позволяет им самостоятельно настраивать систему и помогать заказчику в повседневной работе, а при сложных вопросах — обращаться к нашей команде.

И ещё одна деталь: подписка не равна обязательному переезду в облако. Систему можно разместить на инфраструктуре провайдера, а можно оставить на мощностях заказчика. Запрос «размещайте у нас, но администрированием занимайтесь вы» тоже вполне укладывается в эту модель.

Для подписки есть вполне конкретные поводы. К примеру, на предприятии идёт проект, внешним специалистам нужен доступ на два-три месяца. Контролировать их работу необходимо уже сейчас, а покупать бессрочную лицензию только ради этого периода заказчик не готов. В MSSP-программе СКДПУ НТ можно подключить на срок от 30 дней. Если работы продолжаются дольше, услугу можно продлить. Появились дополнительные устройства или нужно больше одновременных подключений — пересматриваются параметры лицензии. Причём менять их можно точечно, вплоть до отдельного устройства или сессии.

Второй повод — попробовать продукт в работе. Иногда демонстрации или пилота недостаточно, чтобы принять решение о покупке. Хочется посмотреть, как система поведёт себя в повседневных задачах, насколько удобно через неё подключаться и какая помощь потребуется сотрудникам. Подписка даёт это время. После такого знакомства можно продолжить пользоваться услугой или перейти к самостоятельной эксплуатации продукта.

Третий случай — защита нужна постоянно, но денег на большой проект сейчас нет. Тогда ежемесячные платежи позволяют распределить расходы, а сопровождение провайдера снимает вопрос с поиском специалистов под систему.

Для точного расчёта под ваши задачи попросите провайдера показать стоимость услуги на нужный срок и уточните, какие работы входят в платёж. Затем посчитайте, во сколько обойдётся самостоятельное внедрение и обслуживание за тот же период. У компании с подготовленной командой получится один результат, у бизнеса без собственных ИБ-специалистов — другой.

Технической работой будет заниматься провайдер. Но решения о том, кому разрешено подключаться к системам компании, остаются за заказчиком. Провайдер не узнает сам, что подрядчик закончил проект на две недели раньше или сотруднику больше не нужен определённый доступ. Даже исправно работающая система продолжит разрешать подключения по правилам, которые когда-то согласовал сам бизнес, а значит, эта часть остаётся в зоне ответственности самого бизнеса.

На провайдере остаётся понятный порядок выполнения этих заявок. Кто отзывает права, в какой срок, кто проверяет подозрительные действия и кому сообщает о проблеме — всё это нужно обсудить при подключении услуги.

Само слово «подписка» состав работ не определяет. Если вам нужно, чтобы специалисты не только поддерживали PAM, но и регулярно просматривали записи подключений, проверяли уведомления и реагировали на них, зафиксируйте это в договоре.

Начать можно со списка систем и людей, которым нужен доступ к ним. С этим списком уже есть предметный запрос к провайдеру: организовать контролируемые подключения через СКДПУ НТ и взять на себя их техническое сопровождение. Разбираться во всех настройках продукта заказчику не придётся. А вот сообщать, что работа подрядчика закончилась, — по-прежнему его задача.

Реклама: ООО «АйТи БАСТИОН», ИНН 7717789462, erid: 2W5zFJ4c2aV