ГК Softline: падение числа инцидентов не равно снижению потенциального ущерба

Директорам по информационной безопасности приходится доказывать, что бюджет на ИБ расходуется не зря. Уменьшение количества инцидентов не должно быть основным доводом.

Виды киберугроз меняются, а вместе с ними меняется и цена ошибки. Потенциальный ущерб от одной успешной атаки на критичные системы может перечеркнуть годы спокойной работы и нанести непоправимый вред бизнесу.

Мы в Softline считаем, что оценивать отдачу от инвестиций в безопасность нужно по трем показателям. Первый – количество инцидентов и их динамика год к году. Второй – размер фактического ущерба в соотношении с выручкой компании и бюджетом на ИБ. Третий фактор –уровень зрелости ИБ по пятибалльной шкале. Эти метрики нужно рассматривать в связке, а не по отдельности.

Компания может успешно отбиваться от массовых атак, но оставаться уязвимой перед лицом целевого воздействия на критичные активы. Если количество зафиксированных инцидентов выросло, это может означать и положительный результат – организация повысила уровень защиты и внедрила проактивный подход, например, использует сервисы киберразведки.

CISO необходимо регулярно актуализировать уровень зрелости ИБ, а оценка эффективности работы профильных служб должна показывать реальное соотношение затрат и предотвращенного ущерба. Кроме того, то, что считалось несколько лет назад передовой защитой, быстро устаревает и может не выдержать давления новых векторов атак. Важно также определить, что даст наибольший эффект от вложений, то есть какие направления наиболее значимы для компании. Для них нужно обеспечить максимальный уровень защиты, чтобы минимизировать риски.