Содержание
Читайте в Telegram
|
При планировании информационной безопасности компании нужно ответить на два вопроса: какие требования она обязана выполнить и какие события могут нанести бизнесу недопустимый ущерб.
От ответов зависят состав мер защиты, очередность их внедрения и бюджет. В Softline мы рекомендуем рассматривать эти вопросы вместе.
Для этого используются два подхода: комплаенс-ориентированный и риск-ориентированный — первый строится вокруг соответствия требованиям, второй опирается на оценку рисков. Мы в Softline считаем наиболее обоснованным их сочетание: обязательные нормы задают рамки, а риски помогают определить приоритеты внутри них.
Соответствие требованиям дает понятную основу для проверки
Комплаенс-подход предполагает выполнение применимых к компании требований: законодательства о персональных данных и критической информационной инфраструктуре, предписаний регуляторов, договорных обязательств и отраслевых стандартов.
Задача компании состоит в том, чтобы выявить эти требования, сравнить с ними текущее состояние защиты, устранить несоответствия и контролировать результат. Соответствие нужно уметь подтвердить перед регулятором или контрагентом. В Softline мы рассматриваем этот подход как основу для решения обязательных задач, у него есть понятный ориентир: установленное требование и подтверждение его выполнения.
Однако формальные требования не всегда учитывают особенности конкретных бизнес-процессов. В отраслях со сложным регулированием их выполнение может требовать значительных ресурсов, поэтому мы в Softline предлагаем дополнить проверку соответствия оценкой того, какие угрозы наиболее существенны именно для компании.
Оценка рисков связывает защиту с возможным ущербом
Риск-ориентированный подход начинается с определения событий, недопустимых для бизнеса. Затем компания разбирает сценарии их возникновения, оценивает вероятность и последствия, выбирает меры реагирования.
Для нас в Softline преимущество такого подхода заключается в прямой связи информационной безопасности с деятельностью компании. Приоритеты определяются с учетом важности активов и возможного воздействия инцидента на бизнес.
Количественная оценка рисков позволяет сопоставить возможный финансовый ущерб с затратами на защиту. Руководству становится понятнее, почему одни меры нужно внедрить раньше других и чем обоснован запрашиваемый бюджет. При этом работа с риском не всегда сводится к его снижению: компания может принять риск, избежать связанной с ним деятельности или передать его. Мы в Softline считаем, что такие решения требуют участия руководства: именно оно определяет допустимый уровень риска и распределяет ресурсы.
Оценку необходимо пересматривать: меняются угрозы, инструменты защиты, накапливается статистика инцидентов и собственный опыт компании. Риск-ориентированный подход позволяет учитывать эти изменения при корректировке мер безопасности.
Различаются приоритеты, а многие действия совпадают
Оба подхода требуют выстраивать процессы, внедрять организационные и технические меры, контролировать их выполнение. Анализ угроз, оценка рисков и проверка соответствия могут присутствовать в обоих случаях.
В Softline мы предлагаем различать подходы прежде всего по основанию для принятия решений. При комплаенс-подходе компания выясняет, что нужно сделать для выполнения требования. При риск-ориентированном подходе определяет, какой риск необходимо обработать и каким способом.
Различается и роль руководства. В комплаенс-модели его участие чаще ограничивается утверждением документов и контролем исполнения. Управление рисками предполагает более активное участие: выбор стратегии, принятие рисков и выделение ресурсов. По нашей позиции в Softline, эти решения должны быть связаны с управлением бизнесом.
Обязательные нормы и оценку рисков стоит объединить
Риск-ориентированный подход дает больше свободы при выборе мер защиты, но не отменяет обязательных требований. Поэтому мы в Softline рекомендуем гибридную модель: выполнять применимые нормы и одновременно оценивать риски, чтобы учитывать особенности компании и обосновывать приоритеты.
Если собственной команде не хватает опыта и компетенций, можно рассмотреть управление и обеспечение ИБ как сервис. Такая модель может снизить стоимость достижения нужного результата. Мы в Softline рассматриваем ее как способ организации работы, который также должен отвечать требованиям и рискам конкретной компании.
Выбор стратегии ИБ не стоит сводить к противопоставлению проверки и защиты бизнеса. Нормы определяют обязательства компании, оценка рисков помогает распределить ресурсы, а руководство принимает решения о допустимых последствиях. Именно такое распределение задач мы в Softline считаем основой управления информационной безопасностью.
