Softline: когда ИТ и ИБ работают по разным правилам, бизнес рискует больше

ИТ-подразделение отвечает за стабильность инфраструктуры, служба информационной безопасности — за ее защиту. Но изменения в одной системе могут затронуть десятки связанных процессов, а оценить последствия заранее удается не всегда.

ГК Softline рассказывает о методике, которая помогает выявлять такие зависимости и определять приоритеты для ИТ и ИБ.

Почему ИТ и ИБ не всегда понимают друг друга

Одна из причин разногласий заключается в разных целях подразделений. ИТ-команды ориентируются на доступность сервисов, производительность и выполнение соглашений об уровне обслуживания. Специалисты по безопасности оценивают уязвимости, угрозы и соблюдение требований защиты.

Различаются и методологии. Для управления ИТ используются ITIL, COBIT и ISO 20000, для информационной безопасности — ISO 27001 и NIST Cybersecurity Framework. В результате подразделения могут работать с разными показателями эффективности и по-разному оценивать приоритетность задач.

Наши эксперты Softline предупреждают: проблема становится заметнее, когда внутренние процедуры недостаточно описаны. ИТ-служба может вносить изменения без полного понимания последствий для защиты, а специалисты ИБ — вводить ограничения без учета связей между процессами.

Как работает карта взаимосвязей

Для решения одной из практических задач эксперты группы компаний Softline разработали карту воздействия ИТ-процессов. Она показывает, какие процедуры зависят друг от друга, как изменения передаются между ними и где нарушение может создать наиболее серьезные последствия. Методика включает четыре этапа.

Сначала процессы описывают с помощью модели SIPOC. Она фиксирует поставщиков данных, входящую информацию, сам процесс, результаты его работы и получателей. Например, управление изменениями связано с управлением конфигурациями, непрерывностью, обращениями и обновлениями.

Затем формируют матрицу связей между ИТ и ИБ. В проекте Softline она включала более 50 процессов. Для каждого учитывали входящие и исходящие зависимости, а также связи с процессами, критичными для эксплуатации и информационной безопасности.

На третьем этапе эксперты проверили полноту регламентов и сопоставили их с рекомендациями COBIT 2019. Этот подход охватывает 40 процессов управления корпоративными информационными технологиями, распределенных по пяти направлениям.

Последний этап — расчет значимости процессов. В оценку входят их важность для эксплуатации, влияние на кибербезопасность, количество и характер связей с другими процедурами, а также полнота документирования.

Такая методика позволяет определить порядок изменений с учетом нескольких факторов, а не ориентироваться исключительно на количество взаимосвязей или мнение отдельного подразделения.

Что это дает бизнесу

Карта помогает согласовать приоритеты ИТ и ИБ, определить наиболее чувствительные процессы и распределить ограниченные ресурсы на их формализацию.

Для компании это возможность сосредоточиться на процедурах, от которых зависит стабильность инфраструктуры и устойчивость к киберугрозам. При этом сам инструмент можно обновлять по мере изменения процессов: в описанном проекте расчеты выполнялись в Excel.

Предложенная Softline методика может стать отправной точкой для компаний, которые хотят перейти от разрозненных правил ИТ и ИБ к согласованному управлению.

Практическая ценность подхода заключается в прозрачности приоритетов. Вместо попытки одновременно перестроить десятки процедур бизнес получает обоснованный порядок действий и понимание того, какие изменения способны повлиять на непрерывность работы.