Что о кибербезопасности должен знать топ-менеджер

Что важно для топ-менеджера и для бизнеса в целом

Определим, что важно для бизнеса и, соответственно, для топ-менеджера в целом. Не будем здесь вдаваться в экономические показатели и грубо сформулируем основную цель: главное — чтобы бизнес стабильно работал и приносил прибыль, которая бы покрывала все издержки и позволяла бизнесу развиваться. В современных условиях стабильность тесно связана с гибкостью и способностью бизнеса адаптироваться к изменчивым внешним и внутренним условиям в ограниченные сроки.

Что хочет знать топ-менеджер о кибербезопасности

Учитывая предыдущий тезис, сформулирую основные вопросы к кибербезопасности, на которые топ-менеджер хочет знать ответы:

• Достаточно ли защищена компания от киберугроз/киберрисков?
• Насколько эффективно используются ресурсы, выделяемые на кибербезопасность?
• Что будет делать компания, если все-таки произойдет киберинцидент?

К этим вопросам можно добавить еще такие:

• Как влияет кибербезопасность на бизнес и его развитие?

• Каким образом кибербезопасность учитывает технологические тренды и связанные с ними киберугрозы/киберриски?

• Какими качествами должна обладать успешная функция кибербезопасности?

  Что должен знать топ-менеджер о кибербезопасности

Пойдем по порядку.

Достаточно ли защищена компания от киберугроз/киберрисков?

Для ответа на этот вопрос руководителю функции кибербезопасности (далее — КБ) требуется определить основные актуальные киберугрозы и, соответственно, ключевые киберриски, которым подвержена компания. Бизнес привык работать с рисками различной природы (операционные, кредитные и т. п.), и ему проще воспринимать угрозы, атаки, уязвимости кибербезопасности через привычные риски (хоть и с уклоном в кибербезопасность). Существует множество методик и подходов к управлению киберрисками, которые включают в себя идентификацию, оценку и приоритизацию киберрисков, а также обязательную их обработку. Важно, чтобы конечный перечень киберрисков был представлен в понятной форме с обязательной привязкой к бизнесу. И здесь наиболее правильным будет отталкиваться от недопустимых для компании событий, которые определяет сам бизнес. Например, компания собирает и обрабатывает много информации о своих клиентах (ФИО, адрес, паспортные данные, платежные данные и т. п.), следовательно критическим киберриском или недопустимым событием будет утечка клиентской базы. Другой пример: все продажи маркетплейса осуществляются через интернет, следовательно недопустимым событием будет недоступность веб-сервиса компании в течение длительного времени. Третий пример: компания разрабатывает и продает программное обеспечение — недопустимым событием будет внедрение вредоносного кода в исходный код программы или взлом лицензионной защиты программного кода.

Опираясь на классический подход к управлению рисками, выделим четыре стратегии обработки киберриска: уклонение/избегание, передача, снижение, принятие. Учитывая уровень значимости недопустимого события и его тесную связь с бизнес-процессами, считаю, что наиболее правильной стратегией обработки является снижение киберриска за счет применения компенсирующих мер (организационных и технических).

В итоге топ-менеджеру нужно представить перечень критических киберрисков, направленных на бизнес-деятельность компании, и, соответственно, на ключевые бизнес-процессы, с кратким описанием мер по их обработке. Этот перечень не должен быть большим и должен быть сфокусирован на самых значимых киберрисках, то есть на недопустимых для бизнеса событиях. При этом представленная информация будет являться верхнеуровневой, без лишней детализации, но с отражением текущего состояния системы кибербезопасности. Меры могут быть сгруппированы в домены (например, может быть домен «Защита веб-сайта»), а статус реализации мер будет указывать на уровень защищенности от конкретного недопустимого события. Примеры представлены ниже.

 

Важно понимать, что эта информация (недопустимые события, сценарии, затронутые ресурсы) должна регулярно пересматриваться в зависимости от изменяющихся внешних и внутренних условий.

Насколько эффективно используются ресурсы, выделяемые на кибербезопасность?

Под ресурсами подразумеваются финансовые, человеческие, временные и аппаратно-программные. Если брать модель взаимодействия, используемую при построении системы КБ и состоящую из технологий, процессов и людей, то ключевую роль играют правильно выстроенные процессы, которые позволяют руководителю функции КБ применять свои технологии (NGFW, AV, EDR, DLP и т. д.) с наибольшей эффективностью.

Чтобы топ-менеджер мог ответить на этот вопрос, он должен регулярно просматривать ключевые метрики процессов кибербезопасности (представленные на понятном ему языке) с привязкой к недопустимым событиям и метрикам ИТ/бизнеса. Пример метрик КБ, связанных с недопустимыми событиями и сценариями из предыдущей таблицы, представлен ниже.

 

Что будет делать компания, если киберинцидент все-таки произойдет?

Нужно понимать, что идеальной защиты не бывает и злоумышленник всегда на шаг впереди. Основная задача руководителя функции КБ — это выстроить систему защиты так, чтобы максимально замедлить продвижение злоумышленника до цели, и создать такие рубежи защиты, преодоление которых потребует от него усилий, несоразмерных цели. При этом важно иметь качественный процесс выявления и реагирования на инциденты, которые будут возникать по мере продвижения злоумышленника по сети.

Всегда нужно иметь план реагирования на случай начала и развития возможной кибератаки, а лучше иметь планы, которые помогут уменьшить ущерб компании при успешной реализации того или иного киберриска. Здесь хорошо помогает процесс управления непрерывностью бизнеса компании. В нынешних нестабильных условиях этот процесс необходим любой компании, и в него обязательно нужно встроить киберриски. Процесс управления непрерывностью бизнеса компании состоит из следующих основных подпроцессов:

• анализ воздействия на бизнес;
• разработка и внедрение планов обеспечения непрерывности бизнеса (с обязательным обучением персонала);
• тестирование планов.

Очень важно не пренебрегать проверкой планов, хотя бы с использованием метода «настольного тестирования», которое включает в себя сбор задействованных лиц (например, антикризисной команды) и рассмотрение гипотетического сценария недопустимого события с использованием документации плана. Особое внимание нужно уделять каналам и организации кризисной коммуникации (как внутренней, так и внешней).

Чтобы у топ-менеджера был ответ на поставленный выше вопрос, его нужно посвятить в планы обеспечения непрерывности бизнеса компании при реализации киберинцидентов, а лучше и правильнее вовлечь его во все этапы процесса управления непрерывностью бизнеса.

Как влияет кибербезопасность на бизнес и его развитие?

Сегодня трудно представить себе бизнес, в котором не использовались бы информационные технологии. Подразделения ИТ становятся ключевыми в современных компаниях, CIO/CTO включаются в советы директоров и принимают активное участие в развитии бизнеса. Кибербезопасность компании не может быть результативной без правильного и взаимовыгодного сотрудничества функции КБ с ИТ. Топ-менеджер должен понимать, что ИТ и кибербезопасность работают сообща на благо компании.

Существует хорошая практика бизнес-партнерства, когда специалисты по КБ, так называемые бизнес-партнеры по КБ, закрепляются за определенным бизнес-доменом или бизнес-продуктом. Основная их цель — соблюсти баланс между безопасностью, скоростью вывода продуктов/услуг и удобством использования. Обладая широкой экспертизой в области ИБ, бизнес-партнер по КБ проводит оценку проектов на наличие различных киберугроз и проблем кибербезопасности. При этом такого специалиста лучше всего привлечь к оценке как можно раньше, грубо говоря, «левее» (подход shift-left) к началу проекта: например, на этапе бизнес-идеи. Умея убеждать и договариваться с учетом интересов всех сторон, бизнес-партнеры по КБ совместно с ИТ/бизнесом находят правильные решения выявленных в проекте проблем КБ. В результате грамотного и партнерского взаимодействия у ИТ/бизнеса возникает понимание необходимости и адекватности выставляемых требований КБ, что приводит к формированию доверия к бизнес-партнерам по КБ, а значит, и к кибербезопасности в целом. ИТ/бизнес начинают понимать, что функция кибербезопасности не только и не столько несет ограничительные меры, сколько вносит полноценный вклад в успешное и безопасное развитие бизнеса.

Топ-менеджеру важно видеть вовлеченность персонала компании в кибербезопасность и степень сотрудничества между ИТ/бизнесом и кибербезопасностью. Увидеть это можно через инструменты внутренней обратной связи о функции кибербезопасности, а также с помощью мониторинга показателя time-to-market для продуктов/услуг, соответствующих требованиям КБ. При правильном участии кибербезопасности этот показатель должен сокращаться.

Не могу тут не упомянуть регуляторную составляющую кибербезопасности, так как изменения законодательства РФ в области ИБ могут внести коррективы в развитие бизнеса (например, Указ Президента № 250), поэтому требуется непрерывно отслеживать эти изменения. Топ-менеджеру нужно показывать все значимые изменения с наложением на карту киберрисков.

Каким образом кибербезопасность учитывает технологические тренды и связанные с ними киберугрозы?

Этот вопрос тесно связан с будущим бизнеса, и от ответа на него могут зависеть ключевые стратегические решения топ-менеджера. Здесь немного расскажу о стратегии КБ, которая обязательно должна быть в компании и которая обязательно должна быть доведена до всех заинтересованных лиц, включая топ-менеджера. Чаще всего стратегия КБ разрабатывается на три года, и именно в ней учитываются технологические тренды (например, AI или квантовые технологии). Очень важно, чтобы стратегия КБ была выровнена со стратегией бизнеса и стратегией ИТ, а главный фокус ее должен быть направлен на предотвращение определенных ранее критических киберрисков или недопустимых событий.

Стратегия КБ представляет собой верхнеуровневое виденье развития функции кибербезопасности в компании с фокусом на основных целях, которые необходимо достичь, задачах, которые необходимо решить для достижения этих целей, на сроках, в которые планируется это сделать, и бюджетах, которые требуются для всего этого.

Считаю, что основными и при этом взаимосвязанными трендами кибербезопасности в современных российских компаниях на ближайшие два-три года будут:

• коллаборация кибербезопасности с ИТ/бизнесом (про это уже говорил выше);
• автоматизация и повышение производительности труда в процессах КБ (исключение человеческого фактора, сокращение time-to-market, автоматизация и синхронизация с процессами ИТ/бизнеса и т. д.);
• безопасная обработка данных, которых становится все больше и больше (владение данными, категорирование и разметка данных, удобный и безопасный доступ к данным, обмен данными с третьими сторонами, обезличивание данных, защита данных при использовании LLM и т. д.).

Стратегию КБ нужно не просто показывать топ-менеджеру: руководителю функции КБ ее нужно перед ним защищать, а при возникновении вопросов он должен быть готов пояснить отдельные моменты и учесть пожелания, потому что от понимания стратегии КБ всеми заинтересованными лицами в компании (CIO, CTO, CRO, CFO и т. д.) зависит правильное развитие функции КБ.

Какими качествами должна обладать успешная функция КБ?

Топ-менеджер должен анализировать обратную связь от персонала компании по соответствию функции КБ следующим качествам (конкурентным бизнес-преимуществам):

• Вовлеченность в бизнес:
  • понимание основных функций и ключевых процессов бизнеса;
  • принятие и, что важно, следование ценностям компании;
  • активное участие в комитетах / рабочих группах (например, по рискам, архитектурных и т. п.).
• Проактивность:
  • проявление инициативы не только по направлению кибербезопасности;
  • умение критически мыслить и предвидеть возникновение новых киберрисков для компании;
  • способность принимать на себя ответственность за свои решения (в том числе непопулярные) и признавать ошибки.
• Коммуникация и диалог:
  • открытость и понятный для бизнеса язык (регулярное проведение встреч с персоналом по вопросам кибербезопасности, инструменты обратной связи);
  • умение аргументированно отстаивать свою точку зрения, сотрудничать и находить компромиссы с учетом интересов разных сторон.

Вывод

Подводя итоги, сформулирую ответ на поставленный в самом начале вопрос «что о кибербезопасности должен знать топ-менеджер»:

• перечень недопустимых событий с отражением уровня защищенности компании;
• стратегию КБ с учетом ранее определенных недопустимых событий;
• ключевые метрики процессов кибербезопасности с привязкой к недопустимым событиям и метрикам ИТ/бизнеса;
• планы и процесс обеспечения непрерывности бизнеса (в разрезе кибербезопасности);
• результаты анализа обратной связи о функции КБ от персонала компании.

Ну и, конечно же, топ-менеджер должен быть уверен в том, что руководитель функции КБ является полноценным и полезным игроком его команды!