Все компании условно делятся на две категории: продуктоцентричные 🎁 и клиентоцентричные 🤩 Первые, как следует из названия, сосредоточены на создании лучшего на рынке продукта, а клиентоцентричные — на создании лучшего на рынке клиентского опыта. Информационная безопасность в них тоже разная.
 
В продуктоцентричной компании главная цель – защита продукта, и ключевой показатель ИБ в конечном счете сводится к «0 проблем у бизнеса из-за ИБ». В клиентоцентричной компании все несколько сложнее: здесь ключевой показатель «0 проблем клиента, повлиявших на бизнес, из-за ИБ». Поэтому и цели ИБ выглядят иначе.
 
Если перелопатить основные материалы, которые когда-то писали именитые и ныне покинувшие рынок РФ консалтинговые агентства, про People-Centric/Client-Centric Security, то получится такая вот диаграмма. Когда-то я это сделал, и картинка с тех пор нисколько не утратила актуальности.
 
Как оценивать клиентоцентричную безопасность? Всего двумя метриками: длительностью простоя сервисов из-за киберинцидентов (практическая безопасность) и оценкой удовлетворенности клиентов безопасностью сервисов компании (воспринимаемая безопасность)👍