Риски информационной безопасности

Технический отчет отвечает на вопрос, насколько мы защищены. Управленческое решение требует ответа на другой вопрос, что произойдет с бизнесом, если защита не сработает. Между этими вопросами лежит перевод, который чаще всего никто не делает.

Перевод строится через сценарий. Не «уязвимость в системе учета», а «система учета недоступна семь дней, отгрузки останавливаются, потери составляют столько-то в сутки, договорные штрафы начинаются с третьего дня». Такая формулировка попадает в реестр рисков и обсуждается на уровне, где выделяют бюджет.

Не все, а то, что требует решения руководства.

• Недоступность критичной системы дольше допустимого времени восстановления
• Утечка персональных данных клиентов или сотрудников
• Компрометация учетных записей с расширенными правами
• Потеря данных из-за отсутствия проверенных резервных копий
• Зависимость от поставщика, прекращение поддержки которого останавливает процесс
• Атака на подрядчика, имеющего доступ в вашу сеть

Для большинства рисков информационной безопасности оценка вероятности малосодержательна. Частота атак на компанию мало зависит от нее самой, а зависит от общего фона. Содержательнее оценивать другое, насколько система устойчива к типовому воздействию и как быстро восстанавливается.

Практический вывод. В шкале для этой группы рисков разумно заменить вопрос «как часто» на два вопроса, «пройдет ли типовая атака» и «за сколько восстановимся». Оба ответа проверяются испытанием, а не экспертным мнением.

Информационная безопасность снижает вероятность инцидента, управление непрерывностью снижает последствия того инцидента, который все же произошел. Обе функции нужны, и провал обычно случается на стыке, когда каждая считает, что смежную часть закрывает другая.

Разбор границы ролей, зоны обязательного пересечения и типичных перекосов вынесен на отдельный сайт направления непрерывности, материал BCM и информационная безопасность. Практическая работа с этой группой рисков разбирается в программе управление рисками в ИТ.