Кирилл БосовОпределение недопустимых событий. Первая встреча с топ-менеджером
Кирилл БосовКирилл БосовКирилл БосовВысшее руководство организации заинтересовано в успешной работе компании, которая выражается в достижении результатов и поставленных целей. Для этого руководители участвуют в принятии широкого круга решений в стратегически важных областях. Они учитывают ключевые факторы, которые оказывают положительное или негативное влияние на деятельность организации, и анализируют возможные последствия.
Помимо желаемых эффектов для каждой области деятельности организации, существуют и такие события, которые могут нарушить ее работу и стать непреодолимым препятствием на пути к достижению операционных или стратегических целей. В связи с этим руководство организации должно определить, какие недопустимые события необходимо своевременно принять во внимание, и обеспечить меры по их исключению.
Перечень недопустимых событий, составленный с участием высшего руководства, становится объектом дальнейшего анализа для выявления и устранения их возможных причин. Так, если недопустимым событием является нарушение функционирования публичного сервиса, то устранение возможных причин данного события лежит в том числе в области кибербезопасности, поскольку киберпреступники способны оказать воздействие на системы и информацию, которые обеспечивают работу сервиса.
Поэтому широкое понимание высшим руководством стратегических целей, ключевых направлений деятельности и факторов успеха организации крайне важно для ее кибербезопасности. Их участие поможет сформулировать гипотезы по событиям, наступление которых может нанести катастрофический ущерб деятельности, и правильно выстроить защиту от них.
Целью обсуждения с представителями высшего руководства является сбор гипотез для формирования общего перечня недопустимых для организации событий
Рабочая группа инициирует обсуждение гипотез о том, что недопустимо для организации, и для этого формирует список представителей из числа высшего руководства и экспертов, участие которых важно для формирования перечня недопустимых событий.
Определить состав участников поможет:
Обсуждение может быть организовано в виде стратегической сессии, совещания, круглого стола или мозгового штурма. Его проведение может осуществляться как выбранным представителем рабочей группы (например, ее руководителем), так и представителями сторонних экспертных организаций в области кибербезопасности.
Гипотезы формируются исходя из влияния недопустимых событий на основную деятельность организации. На данном этапе они могут не учитывать технологическую специфику ведения деятельности и меры контроля, которые уже применяются, но должны формировать представление о том, что может привести к катастрофическому ущербу для организации.
В целях построения результативной кибербезопасности из общего списка гипотез о недопустимых событиях, сформированного в результате обсуждения с высшим руководством, будут выбраны те, наступление которых возможно в результате кибератаки на цифровые системы организации.
Для эффективного проведения встречи с руководством воспользуйтесь следующими рекомендациями:
Привлечение представителей руководства и состав участников выполнения плана мероприятий по обеспечению результативной кибербезопасности представлены на схеме:
Рисунок 1. План мероприятий по обеспечению результативной кибербезопасности
Данный опросный лист предназначен для предварительного сбора информации об актуальных для организации недопустимых событиях, исключение реализации которых является одной из ключевых задач результативной кибербезопасности.
Ответы на приведенные ниже вопросы помогут сформировать гипотезы о недопустимых событиях, которые будут анализироваться в ходе дальнейших работ.
| 5. Подведение итогов и дальнейшие шаги | Итоги обсуждения фиксируются в протоколе совещания, и на их основе формируется первая версия предварительного перечня недопустимых событий. Его уточнение будет проводиться в рамках дальнейших этапов работ. Так, после определения недопустимых событий с высшим руководством организации, проводятся работы с операционными руководителями по уточнению сценариев того, как эти события могут быть реализованы. В дальнейшем уточняется технологическая специфика и критерии реализации недопустимых событий со специалистами по ИТ и ИБ. Итоговые результаты проведенных работ представляются руководству, согласовываются и принимаются на уровне организации. |
| Какие информационные системы, на ваш взгляд, являются наиболее важными для работы организации? (системы, компрометация или взлом которых может привести к реализации недопустимых событий) | Укажите наименования информационных систем и кратко опишите их назначение. Примеры: - «1С:Предприятие» — оперативное управление организацией - СЭД/ЭДО — электронный документооборот - CRM — ведение данных о клиентах |