#лучшиепрактики Давайте поговорим о фейлах при выборе ИБ систем.

15 лет назад я бы из этого списка сделал для себя чеклист✅ что нужно проверить, а затем переделал его в отчёт для СД о моей работе 😋

Этот рассказ-обучение в полном варианте я делал на КодИБ-Профи, и в сокращённом на CISO-Forum. Материала много, буду выкладывать в нескольких частях.

❇️ Блок про выбор системы, вендора, интегратора.

• Не определить цели зачем нужна ИБ система, а сразу начать выбор.
Это «база». Выбор ПО без понимания цели для этого ПО обычно приводит к таким результатам:
- быстрый пилот и очень долгое согласование закупки. Потому что ЛПР или его руководство не понимает выгоды от внедрения и какие «боли» будут «закрыты», и соответственно, не хочет платить денег, а сейл видит, что пилот прошёл быстро и гладко и не понимает почему нет оплаты.
- бесконечный пилот. Потому что требования к системе меняются и появляются в процессе пилотирования; возникают новые вопросы на основании прошлых ответов; пляшут туда-сюда запросы в КП.
- 100500 вопросов и запросов после покупки. С просьбами о доработках и донастройках.
- у заказчика в эксплуатацию попадёт система требоания к котрой будт не из задач бизнеса, а натянутые на возможности системы.
- недовольству руководства, т.к. деньги потратили, а результат может быть «не в фокусе».

Опять же, не забудем другую базу: «Без внятного ТЗ – результат ХЗ». Так что, если не понимать «какую боль» лечим – мы останемся болеть, но, возможно, уже без денег.

• Не определить «папа» и «мама» для ИБ системы.
«Папа» - это бизнес заказчик; тот, кто говорит какие цели нужно достигнуть; тот, кто будет спрашивать метрики.
«Мама» - это подразделение которое будет ответственное, что система «доступна, целостна, конфиденциальна»; тот, кто запросит сколько ресурсов нужно для системы; тот кто будет обслуживать систему; с кого будут спрашивать, если сервис будет недоступен.
В итоге, скорее всего, систему будут стараться не брать на баланс и обслуживание, видя в ней только трату времени. Возможны неожиданные тормоза и зависания системы из-за несогласованности или неверных ресурсов. Очень возможно, не будет целей и метрик для системы.