В новом выпуске ток-шоу «Безопасная среда» эксперты обсудили главные ошибки руководителей по ИБ при построении стратегии защиты.
Данила Вайсбург и Дмитрий Ляхов на конкретных примерах разобрали, как превратить стратегию из «бумаги для проверок» в реальный инструмент управления, получить бюджет у руководства и выстроить диалог с бизнесом на одном языке.
Смотреть запись эфира
➡️ ВК | RuTube | YouTube
Делимся основными тезисами эфира👇🏻
Ошибка №1. Стратегия как формальность
Если документ пишется только потому, что «регулятор требует» или «совет директоров поручил», он превращается в мертвый груз. Стратегия — это управленческая работа. Она должна быть написана простым языком и объяснять генеральному директору, что именно он согласовывает на ближайшие три года.
Если стратегия не встроена в бюджет и KPI — это просто презентация. Мало утвердить документ. Ключевая ошибка — не встроить стратегию в бюджетное планирование и не закрепить ее исполнение в KPI руководителя и смежных отделов.
Ошибка №2. Стратегия вне контекста бизнеса
Невозможно объять необъятное. Стратегия должна отталкиваться от самых ценных для бизнеса информационных активов, которые приносят прибыль. Попытка защитить все и сразу без приоритизации гарантированно провалится.
Учитывайте не только технику, но и операционные риски
Кейс: компания идеально защищена технически, но кибер-атака остановила работу, и бизнес потерял миллионы долларов. Ошибка в том, что в стратегии не учли влияние ИБ на операционную деятельность и устойчивость бизнес-процессов.
Ошибка №3. Язык технаря в кабинете бизнеса
Генерального директора не интересует количество закрытых CVE или время детектирования (MTTR). Решения принимаются на основе цифр: сколько денег потеряет компания от простоя или репутационного ущерба.
Как говорить с бизнесом: метрика простоя
Ваша задача — совместно с финдепартаментом посчитать стоимость часа простоя бизнеса. Оперируйте понятием «предотвращенный ущерб». Если бизнес видит, что ИБ нивелировала пять попыток утечки данных, это гораздо убедительнее списка обновленных сигнатур.
Ошибка №4. Дорожная карта без «быстрых побед»
Стратегию разумно писать на 3 года, а не на 5-10, так как ландшафт угроз меняется слишком быстро. Но если вы будете молчать все три года, бизнес и команда потеряют фокус. Вводите квартальную отчетность.
Прозрачность = доверие!
Создайте дашборд (хотя бы простой) или делайте регулярные презентации. Показывайте прогресс: что достигнуто, где блокирующие факторы (например, зависимость от IT-департамента). Прозрачность мотивирует команду и лоббирует дальнейшую поддержку стратегии у руководства.
Ошибка №5. Презентация, которую никто не понял
Слайды со схемами архитектуры и компьютерной метрики не работают. Нужна четкая структура:
Риски: Какие есть риски сейчас и сколько они стоят (в деньгах или сроках).
Цена вопроса: Сколько стоит внедрение и снижение этих рисков.
Последствия: Что будет с компанией, если ничего не делать.
Вывод: вы должны «жить стратегией»
Недостаточно просто принести документ. Нужно прийти с готовым решением и уверенностью. Покажите совету директоров, какой станет компания через три года, и защита стратегии будет гарантирована.
📌 Для всех участников эфира по промокоду "МАРТ11" до конца недели действует скидка 10% на годовой образовательный курс Директор по кибербезопасности 8.0, а также на первый модуль Стратегия ИБ под новую реальность.
Подробности у Руководителя проекта Татьяны Кайсаровой.