Эксперт Чащин: информационная безопасность становится частью экономики бизнеса, а не «страховкой на чёрный день»
изображение: grok
Виктор Чащин, директор по стратегическому развитию МУЛЬТИФАКТОР, прокомментировал для CISOCLUB попытки бизнеса оценивать эффективность инвестиций в кибербезопасность через ROI и финансовые показатели. По его словам, главный сдвиг сегодня связан не столько с конкретными цифрами, сколько с изменением отношения компаний к самой роли ИБ.
«Если смотреть на ситуацию изнутри отрасли, то главный сдвиг заключается не в цифрах, а в самом подходе к безопасности. ИБ перестаёт быть „страховкой на чёрный день“ и становится частью экономики компании, такой же, как, например, операционные расходы», — отметил Виктор Чащин.
Эксперт считает, что вместе с этим меняются и требования к специалистам по информационной безопасности. Теперь их задача заключается не только в технической защите инфраструктуры, но и в способности объяснить бизнесу реальную ценность внедряемых мер.
«Теперь важно не просто защищать, а объяснять, как именно защита влияет на устойчивость бизнеса.», — заявил он.
По словам Виктора Чащина, положительной стороной нового подхода становится более глубокое понимание компаниями собственных рисков и уязвимостей. При этом универсальных моделей оценки эффективности ИБ, по его мнению, не существует.
«Сильная сторона такого тренда в том, что он заставляет компании лучше понимать собственные риски. А вот слабая сторона в том, что универсальных моделей не существует», — подчеркнул эксперт.
Он отметил, что даже компании из одной отрасли могут сталкиваться с совершенно разными сценариями угроз, последствиями атак и стоимостью простоев. Именно поэтому механический перенос чужих моделей ROI зачастую оказывается бесполезным.
«У двух компаний из одной отрасли профиль угроз, стоимость простоя и последствия инцидентов могут кардинально отличаться», — рассказал Виктор Чащин.
По его словам, на практике наиболее успешными оказываются организации, которые не пытаются формально доказать окупаемость безопасности через громкие показатели, а выстраивают понятную систему управления рисками.
«На практике выигрывают те, кто не пытается доказать окупаемость безопасности, а строит понятную для бизнеса модель и ставит перед собой вопросы: где мы уязвимы, какие сценарии для нас критичны и как конкретные меры уменьшают этот риск», — отметил эксперт.
Виктор Чащин считает, что настоящая ценность информационной безопасности для бизнеса заключается не в красивых метриках, а в способности компании контролировать последствия возможных инцидентов.
«В этом смысле ценность ИБ не в громких метриках, а в предсказуемости и управляемости последствий» — заключил он.
