Обожаю формулировку «бюджет на ИБ успешно освоен». В ней столько оптимизма, что даже неудобно спрашивать, стало ли кому-нибудь безопаснее. Не чувствовать – работать. Деньги ведь потратили. Не обратно же их теперь зарабатывать

Представим: компания купила систему резервного копирования. Договор подписан, акты закрыты, проект «зеленый». Еще немного - и его можно подавать на премию за цифровую устойчивость. Я бы в этот момент предложил восстановить CRM из резервной копии. Не слайд о продажах - сами продажи

И тут выясняется: бизнес не может выделить время на проверку, ИТ не согласовало порядок восстановления, владельца процесса вообще никто не позвал. Зато система умеет присылать красивые отчеты. К отчетам претензий нет, они восстанавливаются прекрасно

Ответственный, конечно, всегда найдется - CISO. Ему же поручили обеспечить устойчивость бизнеса и выдали очень, очень важные полномочия: писать письма, напоминать о письмах и объяснять одним начальникам, почему другие на письма не отвечают. В случае инцидента к этому богатому набору добавится право присутствовать на разборе, где будут выяснять, почему деньги выделили а ответственного за результат не купили

Я не против дорогих высокотехнологичных супермультиагентных систем. Я против ожидания, что вместе с лицензией и «железом» в компанию приедут ответственность, полномочия и способность руководителей договариваться и отвечать за результат. У поставщика этого нет даже в максимальной комплектации

Поэтому до следующей закупки я бы предложил занятие посложнее тендера: решить, сколько времени продажи могут «стоять» без «пробоя» амбиций совета директоров (то есть риск-аппетита), кто выделит ресурсы на проверку и кто подтвердит, что рабочий процесс действительно восстановлен. Причем подтвердит испытанием, а не отчетом с выражением уверенности на лице и шикарной улыбкой

Для меня результат здесь - способность восстановить бизнес в заранее установленный срок. Если на практической тренировке не получилось - нужны решения: что меняем, кто и что делает и когда тенируемся снова

Шаблон презентации можно пока не трогать. Освоенный бюджет я бы оставил в отчете об исполнении бюджета. Пусть хотя бы один документ в этой истории отвечает ровно на тот вопрос, который нам задавали. Хотя в конечном счете этот ответ пользы никому не принесет

😺 Security Show в Telegram · в Max · 👍 Школа управления ИБ