На практике многие Стратегии ИБ остаются формальными документами, которые не приносят практической пользы компании. Это происходит, когда при их разработке не учитываются цели и задачи компании и наиболее значимые для нее риски. Вместо анализа рисков компании за основу часто берутся текущая ИТ-инфраструктура, требования регуляторов, используемые технологии или перечень уже запланированных инициатив в области ИБ. При этом указанные аспекты также должны учитываться в Стратегии ИБ через оценку связанных с ними рисков, возможных последствий для компании и мер ИБ, направленных на их обработку. В результате формируется перечень мероприятий, но не определяется, какие направления действительно являются приоритетными для компании.

При разработке Стратегии ИБ следует отталкиваться от наиболее значимых рисков ИБ, влияющих на достижение целей компании, и определять, какие из них могут быть снижены за счет развития ИБ. Это позволяет связать направления развития ИБ с конкретными потребностями компании.

При определении приоритетов развития ИБ необходимо учитывать и возможности самой компании. Один и тот же уровень риска может требовать разных решений в зависимости от зрелости процессов ИБ, состояния ИТ-инфраструктуры, доступного бюджета и кадровых ресурсов. Кроме того, Стратегия ИБ должна учитывать планы развития бизнеса в целом. Изменения в бизнес-модели, запуск новых продуктов, выход на новые рынки, развитие цифровых каналов и увеличение зависимости от внешних поставщиков могут приводить к появлению новых рисков или изменению уровня существующих.

Например, компания планирует выйти на новый рынок и передать часть операционных процессов внешнему поставщику. В этом случае возрастает зависимость компании от действий третьей стороны, а нарушение ее работы или недостаточный уровень защиты информации у поставщика могут повлиять на непрерывность ключевых процессов и финансовые результаты компании. Если такой риск является существенным для достижения целей компании, в Стратегии ИБ необходимо предусмотреть развитие подходов к оценке и контролю ИБ поставщиков. При этом важно оценивать и ожидаемый эффект от таких мер, например снижение вероятности утечки информации, финансовых потерь, штрафных санкций или нарушения непрерывности ключевых процессов.

Таким образом, при разработке Стратегии ИБ необходимо исходить из рисков компании и определять, какие из них могут быть снижены за счет мер ИБ, какие направления развития ИБ необходимы для этого и какой приоритет им следует установить с учетом возможностей и планов компании.

#Викторины