Разбираемся, почему специалистам по информационной безопасности важно понимать стратегию бизнеса, зачем руководителям включать киберриски в общую систему управления рисками и как переводить технические нюансы на язык бизнес-последствий.
Статья написана по итогам вебинара «Киберинцидент как следствие кризиса управления. Почему информационная безопасность – это общее дело».
Почему ИБ важно выводить на стратегический уровень
Согласно исследованиям, в 37,5% компаний диалог между генеральным директором и директором по ИБ не выстроен. При этом влияние функции ИБ во многом зависит от ее места в организационной структуре.
Решения по ИБ должны приниматься теми, кто заинтересован не только в достижении собственных КПЭ (ключевых показателей эффективности), но и в общем успехе бизнеса.
Допустим, решение о запуске нового продукта или выходе на рынок принимает владелец продукта. Его мотивация прежде всего связана со сроками и результатом запуска, а не с обеспечением стабильности работы компании в целом. Аргументы ИБ о рисках в такой ситуации могут восприниматься как дополнительное ограничение. Топ-менеджер, отвечающий за всю компанию, может оценить этот риск в более широком контексте и сопоставить его с бизнес-целями.
Кроме того, ИБ необходимо понимать стратегию компании, чтобы идти в ногу с бизнесом и приоритизировать риски. ИБ — обеспечивающая функция, одна из задач которой — поддерживать устойчивость и непрерывность бизнеса. Планы по поглощениям, выходу на новые рынки или запуску продуктов могут кардинально менять ландшафт угроз.
Если команда ИБ не знает, куда движется бизнес, ей сложно определить, какие активы и процессы потребуют приоритетной защиты. Без синхронизации ИБ со стратегией защита становится догоняющей, меры безопасности могут восприниматься как препятствие для развития бизнеса, а новые риски могут обнаруживаться уже после запуска изменений.
Почему ИБ не слышат на уровне топ-менеджмента
Одна из ключевых проблем — разрыв в коммуникации. Специалисты по информационной безопасности почти всегда говорят на техническом языке, фокусируясь на уязвимостях, векторах атак, конфигурациях систем защиты. Топ-менеджмент принимает решения на языке бизнеса, ориентируясь на прибыль, стоимость простоя, репутацию, а на то, чтобы разобраться в технических деталях, часто не хватает времени.
Если руководство не понимает, как конкретные уязвимости могут повлиять на работу компании, риски могут игнорироваться, а инвестиции в ИБ — восприниматься как избыточные.
Например, подразделение ИБ пытается согласовать бюджет на внедрение многофакторной аутентификации и сегментацию сети. Руководитель компании может не понимать, какие именно бизнес-риски должны снизить эти меры.
Задача директора по ИБ — сначала объяснить возможный сценарий: что произойдет при реализации угрозы, во сколько это может обойтись компании. И только потом — объяснять устройство технологий, ожидаемый эффект от внедрения защиты и возможные альтернативы.
Базовая гигиена важнее, чем кажется
Парадокс современной кибербезопасности в том, что базовые гигиенические меры, такие как инвентаризация ИТ-активов, парольная защита и многофакторная аутентификация, управление уязвимостями, сегментация сети позволяют снизить значительную часть рисков. Однако именно эти меры нередко игнорируются.
Компания может купить дорогую систему защиты и посчитать, что вопрос решен. Любая система требует специалистов, которые будут ее настраивать, обслуживать, и поддерживать данные в актуальном состоянии.
Поэтому технологии сами по себе не гарантируют защищенности: компетентные сотрудники могут существенно повысить уровень безопасности даже без дорогостоящего решения, а приобретенная система без них не даст ожидаемого эффекта.
Но и компетенций сотрудников недостаточно, если в компании не выстроены процессы: не определено, кто отвечает за защиту активов, как выявляются уязвимости и что делать при обнаружении угрозы.
Поэтому технологии сами по себе не гарантируют защищенности: компетентные сотрудники могут существенно повысить уровень безопасности даже без дорогостоящего решения, а приобретенная система без них не даст ожидаемого эффекта.
Но и компетенций сотрудников недостаточно, если в компании не выстроены процессы: не определено, кто отвечает за защиту активов, как выявляются уязвимости и что делать при обнаружении угрозы.
Таким образом, система кибербезопасности строится на трех взаимосвязанных элементах: технологиях, процессах и людях. Недостатки в одном из них могут ослабить защиту в целом.
Технологии. Техническая защита, программно-аппаратные комплексы, межсетевые экраны, системы контроля играют важную роль в обеспечении безопасности: в зависимости от назначения они помогают предотвращать и обнаруживать инциденты, а также восстанавливать работу ИТ-инфраструктуры.
Но без людей и процессов технические средства защиты могут оказаться неэффективными. Так, если процессы не выстроены, часть инфраструктуры могут не включить в защищаемый периметр.
Например, в одной из клиник аппарат МРТ, подключенный к дополнительному программному обеспечению с использованием искусственного интеллекта, мог стать точкой входа для злоумышленников в ИТ-инфраструктуру всей организации. А если не обучать людей, сотрудники могут обходить установленные ограничения, например, ради установки стороннего ПО, или не распознать атаку и самостоятельно передать злоумышленникам важную информацию.
Процессы. Инвентаризация, управление рисками, классификация информации, операционные процедуры — основа системного подхода к информационной безопасности. Без них сложно оценить риски, определить ответственность и обеспечить согласованную работу специалистов и средств защиты. Например, в компании может быть организована отдельная команда реагирования на ИБ-инциденты. Но если в процессе инвентаризации активов будет пропущен сервер с критичными данными, специалисты могут не заметить угрозу, потому что сервер оказался вне периметра наблюдения.
Люди. Это третий базовый элемент. Злоумышленники часто атакуют людей, а не технологии: рассылают фишинговые письма, звонят от имени руководства, используют дипфейки. Одной ошибки сотрудника может быть достаточно для серьезного инцидента даже при наличии технологических средств защиты.
Периодическое обучение позволяет снизить вероятность таких ситуаций. Сотрудники учатся распознавать подозрительные ситуации, понимать, какие действия создают риск и куда сообщать о потенциальной угрозе.
В систему обучения стоит включать правила использования внешних сервисов и риски теневого ИТ — неучтенных программ, серверов и сервисов, которые сотрудники запускают самостоятельно, без согласования с ИТ-департаментом.
Такие решения создают дополнительный риск: они не прошли проверку на соответствие требованиям безопасности и остаются вне поля зрения ИТ- и ИБ-служб. Кроме того, теневое ИТ искажает представление о реальной инфраструктуре компании.
Помимо базовых мер, есть и специальные инструменты оценки защищенности:
- Пентесты (от англ. pentest — penetration test, тест на проникновение) — контролируемая имитация кибератаки на информационную систему, сеть или приложение. Компания привлекает специалистов, которые в согласованных границах пытаются найти способы проникновения в систему, выявляют уязвимости и помогают оценить связанные с ними риски.
- Редтиминг (от англ. Red Team — красная команда) — комплексная имитация кибератаки, в ходе которой команда атакующих (ред тим) действует как настоящие злоумышленники. Инструмент помогает оценить действия компании в условиях, максимально приближенных к реальности, понять, где атакующих заметят, а где нет.
- Киберучения — имитация угроз, которая помогает специалистам по ИБ научиться распознавать различные виды атак и реагировать на них, а также проверить и повысить киберустойчивость организации.
Как перевести уязвимости на язык денег
Важно определить, какие системы критичны и из каких элементов инфраструктуры они состоят, какие процессы зависят от них и к каким последствиям приведет их остановка. Это позволит оценить возможный ущерб от простоя — понятный бизнесу и ИБ ориентир для принятия решений.
Если угроза может привести к остановке всего бизнеса — это одна цифра, если конкретного склада, магазина или клиники — другая.
Сложность в том, что финансовая служба, как правило, знает, сколько стоит день простоя завода или клиники, но ущерб от выхода из строя отдельных элементов инфраструктуры часто либо не рассчитан, либо оценивается приблизительно. В результате все уязвимости могут выглядеть одинаково критичными, и непонятно, какие нужно устранять в первую очередь.
Отдельный вопрос — стоимость защиты. Попытка одинаково защищать компанию от всех возможных угроз потребовала бы несоразмерных ресурсов. Поэтому при формировании системы ИБ важно исходить из принципа разумной достаточности: сопоставлять потенциальный ущерб, вероятность реализации риска и стоимость мер по его снижению.
Абсолютной защищенности не существует. Задача бизнеса — определить приемлемый уровень остаточного риска и подобрать меры защиты, соразмерные возможным последствиям инцидента.
На практике оценка потенциального ущерба и фактические потери также могут существенно расходиться. Так, в одном из кейсов, по оценкам ИБ, в случае наступления определенных недопустимых событий потери могли достигать 2 млрд рублей.
После того, как инцидент все-таки произошел, компания обратилась к страховщику за компенсацией. Однако фактический ущерб был оценен в 70 млн рублей. Этот пример показывает, насколько важно проверять допущения, на которых строится количественная оценка киберрисков.
Как управлять кибербезопасностью: регуляторное влияние
Государство также усиливает роль информационной безопасности на уровне управления. В 2022 году был издан указ президента РФ №250, который обязывает субъектов критической информационной инфраструктуры (систем, значимых для обороны, безопасности, здравоохранения, транспорта, связи и других ключевых сфер) возложить передать полномочия по обеспечению ИБ заместителю руководителя и организовать соответствующее подразделение либо передать эти функции существующему.
Кроме того, на руководителей организаций, подпадающих под действие указа, возлагается персональная ответственность за обеспечение информационной безопасности. Указ поднял статус ИБ и обязал руководство компании слышать и видеть эту функцию напрямую.
Однако регуляторные требования сами по себе не обязательно обеспечивают зрелость системы ИБ.
Важно, чтобы безопасность была не просто обязанностью, навязанной извне, а элементом системы управления рисками компании и предметом внимания акционеров, совета директоров и генерального директора. Это означает регулярную оценку состояния инфраструктуры, инвестиции в защиту, обучение сотрудников и участие руководства в принятии решений о допустимом уровне риска. Кибербезопасность в таком случае перестает быть зоной ответственности одного подразделения и становится частью управления бизнесом.
Ключевые выводы
- Кибербезопасность — стратегический риск. От защищенности ИТ-инфраструктуры зависит непрерывность бизнеса, репутация и капитализация.
- Одна из ключевых проблем — разрыв в коммуникации. ИБ-специалисты говорят на техническом языке, топ-менеджмент — на языке денег. ИБ необходимо уметь переводить риски на язык бизнеса, чтобы обосновывать инвестиции и помогать руководству принимать решения.
- ИБ важно понимать стратегию компании. Планы по поглощениям, выходу на новые рынки или запуску ИИ-продуктов меняют ландшафт угроз. Без синхронизации со стратегией защита становится догоняющей.
- Базовые меры могут снижать значительную часть киберрисков, но часто игнорируются. А чтобы обеспечить системную защиту, необходимо создать систему, включающую три взаимосвязанных элемента — технологии, процессы и люди.
- Стоимость простоя и масштаб потенциального ущерба — ключевые параметры при формировании бюджетов на ИБ. Защититься от всего невозможно, поэтому задача компании — определить приемлемый уровень риска и соразмерный ему уровень защиты.
- Регулирование повышает управленческий статус ИБ, но зрелая система возникает тогда, когда кибербезопасность становится частью корпоративного управления и системы управления рисками, а не только выполнением обязательных требований.
Ведущий дискуссии. Директор по аудиту технологий, эксперт-практик в области кибербезопасности, внутреннего аудита и управления технологическими рисками, выпускник Школы управления СКОЛКОВО
Контент-продюсер, Школа управления СКОЛКОВО