На языке бизнеса, или Как построить систему управления киберрисками
В первой статье цикла, посвященного управлению рисками, мы рассказали, как перевести киберриски на язык бизнеса с помощью BIA. Когда руководство понимает, во сколько обходится час простоя ключевой системы, финансирование мер защиты приобретает стратегическое значение, а не воспринимается просто как расходная статья.
Но BIA — это инструмент диагностики, а не лечение. Он показывает, «где болит» и «насколько сильно», то есть масштаб проблем, но не отвечает на ключевые вопросы:
- Какие угрозы актуальны именно для вашей IT‑инфраструктуры?
- Какие из сотен выявленных уязвимостей угрожают бизнес‑процессам?
- Как выбрать самые эффективные и экономически обоснованные меры защиты?
Покупка решений «вслепую» или «по наитию» — верный путь к раздуванию бюджета без повышения реальной защищенности. Нужна система, которая превращает разрозненные данные в последовательную и измеримую стратегию.
Требования регуляторов (ПП‑127, 716‑П, 152‑ФЗ) делают оценку рисков обязательной. В этой статье расскажем, как превратить ее из формальной ежегодной галочки в работающий инструмент управления, который приносит бизнесу пользу.
Ключевая задача при управлении рисками — выстроить непрерывный и интегрированный процесс. Регуляторы ожидают не просто разового отчета, а доказательств того, что управление рисками — работающая часть системы корпоративного управления. Это означает:
- синхронизацию циклов оценки киберрисков с циклами управления операционными и стратегическими рисками компании;
- наличие понятных KPI и метрик, которые демонстрируют эффективность мер защиты и снижение уровня риска;
- интеграцию данных из разрозненных источников (активы, уязвимости, инциденты) для формирования единой картины угроз.
Такой подход превращает функцию кибербезопасности в стратегическую, что напрямую влияет на устойчивость и инвестиционную привлекательность бизнеса.
Несмотря на отсутствие явного требования управлять рисками, нормативное регулирование включает ряд элементов, необходимых для этого процесса:
- Оценка значимости объектов КИИ и оценка последствий инцидентов.
В ряде нормативных документах (например, ПП‑127) закреплены процедуры оценки последствий нарушений работоспособности критически важных объектов. Требуется определить наиболее опасные последствия инцидентов для каждого из них. Объекты классифицируются по уровню значимости. Это создает прозрачную систему приоритетов, необходимую для эффективного управления рисками кибербезопасности. - Моделирование угроз и сценариев.
Некоторые правовые акты, в частности документ ФСТЭК России «Методика оценки угроз безопасности информации», описывают создание модели угроз и сценарии их реализации. Моделирование угроз и сценариев напрямую связано с управлением рисками кибербезопасности, так как позволяет предсказывать атаки и готовиться к ним заранее, разрабатывая эффективные стратегии защиты. - Выявление уязвимостей.
В нормативных документах описана необходимость находить и устранять уязвимости. Их выявление тесно связано с управлением рисками кибербезопасности, так как позволяет своевременно находить слабые места в системах, предпринимать необходимые меры и снижать вероятность успешной атаки.
Из-за того, что требование комплексно управлять киберрисками в нормативных документах не прописано в явном виде, организации самостоятельно принимают решение о выборе подходящих методов и инструментов.
На практике CISO и риск‑менеджеры часто сталкиваются с тем, что разрозненной информации много, а целостной картины для принятия решений нет. Мы выделили три основные причины, по которым возникает такая ситуация:
- Информационные разрывы.
Реестр активов — в устаревшей CMDB, уязвимости — в отчете сканера, инциденты — в тикетной системе, а требования регуляторов — в папке на общем диске. Невозможно быстро и точно оценить, как новая уязвимость влияет на выполнение требований 716‑П и какие бизнес‑процессы окажутся под ударом. - Операционная неэффективность.
Любое изменение в IT‑инфраструктуре требует ручного пересчета десятков риск-сценариев в Excel. Подготовка отчета превращается в многодневный марафон по сбору и консолидации данных. - Тактическая разобщенность.
Команда по управлению рисками не видит данных аудита, а у специалистов по непрерывности бизнеса нет актуальной информации о критических рисках. Ресурсы компании тратятся на дублирующие или даже противоречащие друг другу мероприятия.
В итоге CISO не может ответить на простые вопросы топ‑менеджеров, например «Насколько мы стали безопаснее за последний квартал?» или «В какую защиту инвестировать в первую очередь и какая будет отдача от этого?».
Стандартный подход к управлению рисками подразумевает:
- определение границ оценки рисков;
- сбор и анализ данных для качественного анализа рисков на основе сценариев;
- выявление и документирование потенциальных угроз и уязвимостей;
- оценку текущих средств защиты и их эффективности против выявленных угроз и уязвимостей;
- определение вероятности возникновения угрозы, ее потенциального воздействия и уровня риска для организации;
- фиксацию выявленных рисков и рекомендаций по их устранению;
- создание документации для формализации подхода по управлению рисками КБ.
Эксперты BI.ZONE Consulting разработали собственный подход к управлению киберрисками, который основан на стандарте ISO 27005:2022. Его суть не в том, чтобы провести аудит и выдать заказчику кипу документов. Мы помогаем построить работающую систему, которая становится частью операционного цикла компании. Наш подход не отменяет, а дополняет и расширяет стандартный процесс, добавляя глубину анализа, стратегический взгляд и практическую ориентированность на конкретные задачи бизнеса.
Отличительные черты нашей методологии:
- Ориентация на результаты BIA.
Мы оцениваем риски не изолированно, а в контексте их влияния на бизнес‑процессы. Все расчеты ведутся в понятных бизнесу категориях последствий: финансовые потери, репутационный ущерб, операционные простои. - Интеграция в систему управления компанией.
Мы не создаем «вещь в себе». Наша система управления киберрисками становится частью общекорпоративной системы управления рисками (ERM). Это означает:- общую шкалу оценки критичности;
- синхронизацию циклов оценки и отчетности;
- понятные KPI для высшего руководства, отражающие вклад кибербезопасности в общую устойчивость бизнеса.
- Resilience-подход и интеграция с управлением непрерывностью.
Риски не существуют сами по себе. Мы используем результаты BIA, чтобы построить планы обеспечения непрерывности бизнеса (BCP) и аварийного восстановления (DRP), создавая замкнутый контур устойчивости. - Автоматизация.
Мы используем готовые инструменты для автоматического формирования сценариев угроз, что помогает оперативно выявлять потенциальные риски и не оставляет неучтенных угроз.
В нашем подходе мы используем трехлетний цикл управления рисками.
Сначала задаем параметры, в том числе риск‑аппетит, шкалу критичности ущерба, цели управления рисками.
В начале цикла выявляем высокоуровневые (стратегические) риски кибербезопасности. Затем каждый год:
- выявляем и переоцениваем актуальные сценарии реализации стратегических рисков;
- проводим работу с контрмерами, чтобы последовательно снизить уровень рисков по актуальным сценариям реализации.
По достижении трехлетнего цикла оцениваем достижение целей и корректируем параметры управления циклом.
Риск-аппетит
Риск-аппетит утверждается руководством организации и задается в виде лимитов ущерба или целевого уровня негативных последствий на основе шкалы критичности ущерба. В соответствии с риск‑аппетитом определяется допустимый/приемлемый уровень остаточного риска кибербезопасности.
Шкала критичности ущерба
Перед началом работы со стратегическими рисками разрабатываем шкалу критичности ущерба. Ущерб классифицируем по нескольким типам: финансовый, репутационный и т. д. У каждого типа есть шкала, определяющая уровень значимости ущерба. При выявлении стратегических рисков указываем тип и уровень потенциального ущерба (негативного последствия).
Цели управления рисками
Формулируем ожидаемые в среднесрочной перспективе результаты по снижению или удержанию негативных последствий в пределах установленного риск‑аппетита, что позволяет организации оставаться в рамках допустимых уровней ущерба.
Стратегические риски
На начальном этапе мы выявляем стратегические риски, возникающие в основных бизнес‑процессах. По ним проводим BIA и выявляем негативные последствия, которые могут реализоваться в бизнес‑процессах. Эти последствия связываем с группами угроз, которые актуальны для организации.
Таким образом, получается связка «бизнес‑процесс — последствие — группа угроз», что и представляет собой стратегический риск.
Карта актуальных угроз
Строим ее для каждого актива по разработанному алгоритму, используя следующие сведения:
- Полный перечень угроз из таблицы А.10 в приложении А стандарта ISO/IEC 27005:2022 (может быть использован другой перечень — NIST, ФСТЭК России и т. д.).
- Актуальная модель угроз и нарушителей (если есть).
- Определенный по методологии тип актива.
Перечень характерных признаков и технологических характеристик актива.
Выявление уязвимостей
Чтобы определить перечень возможных уязвимостей, нужно отнести IT‑актив к одному из предопределенных в методологии типов. Мы сформировали и апробировали для них типизированные перечни применимых уязвимостей на основе рекомендаций из таблицы А.11 приложения А стандарта ISO/IEC 27005:2022.
Моделирование методом сценарного анализа
Логика проведения сценарного анализа рисков рассматривает комбинации четырех основных факторов риска: актив, угроза, уязвимость, нарушитель. Каждый из них может содержать диапазон возможных значений — от нескольких единиц (в основном 3–6) до нескольких десятков (как правило, 15–20, в некоторых случаях до 50). Таким образом, алгоритм обеспечивает систематизированную проверку всех возможных путей реализации риска, но требует формировать, анализировать и оценивать огромное количество отдельных сценариев.
Мы разработали инструменты, которые позволяют автоматизированно выполнять последовательность операций анализа.
Общая формула оценки уровня рисков
Оценка вероятности рисков
Вероятность риска мы оцениваем по следующим составляющим:
- Вероятность реализации угрозы — оцениваем меры защиты от угрозы для IT‑актива.
- Вероятность возникновения угрозы — определяем с учетом оценки потенциала нарушителя.
Определение последствий рисков
Последствия определяем на этапе идентификации стратегических рисков.
Наша методология основана на нескольких ключевых принципах, которые позволяют превратить разрозненные данные об угрозах в работающую систему управления. Рассмотрим, как эти принципы реализуются на практике.
Представьте, что ваша компания сталкивается с постоянными DDoS‑атаками. Технические специалисты традиционно видят в этом только проблему доступности сервисов. Но благодаря интеграции с системой операционных рисков эта угроза получает новое измерение.
Когда вы начинаете анализировать DDoS‑атаку не как технический инцидент, а как бизнес‑риск, появляются реальные цифры:
- 2 миллиона рублей стоит каждая минута простоя из-за остановленных сделок.
- 15% клиентов уходят из‑за утраты доверия к сервису.
- В 5 миллионов рублей штрафа обходится нарушение SLA с ключевыми партнерами.
Такая оценка позволяет перевести проблему из технической плоскости на уровень стратегических решений руководства.
Возьмем в качестве примера производственное предприятие, на котором внедрили управление непрерывностью бизнеса.
Когда происходит реальный кризис — кибератака или физическое повреждение инфраструктуры, компания не останавливается:
- Критические процессы продолжают работать на резервных мощностях.
- Данные не теряются благодаря продуманной схеме репликации.
- Персонал знает, как действовать по отработанным сценариям.
В результате вместо многомиллионных убытков от простоя компания сталкивается лишь с незначительными временными затратами на переключение между режимами работы.
Представьте крупную IT‑компанию, в которой управление рисками стало не отдельной функцией, а естественной частью каждого стратегического решения.
Как это выглядит на практике:
- При запуске нового продукта автоматически оцениваются киберриски.
- Инвестиции в IT‑инфраструктуру согласуются с риск‑аппетитом компании.
- Показатели киберустойчивости становятся частью KPI топ‑менеджеров.
Итог: безопасность перестает быть только статьей расходов и становится конкурентным преимуществом.
Рассмотрим на примере крупного инфраструктурного проекта, в котором необходимо учесть сотни факторов риска.
Наш подход позволяет:
- выявить не только очевидные технические угрозы;
- учесть репутационные, регуляторные и операционные риски;
- спрогнозировать каскадный эффект, когда одна проблема провоцирует другие.
Для анализа последствий рисков мы используем PESDTREL‑анализ
Расширенный анализ показывает:
- как инцидент повлияет на отношения с регуляторами;
- какие политические последствия могут возникнуть;
- как изменится позиционирование компании на рынке;
- какие правовые последствия могут проявиться через месяцы.
PESDTREL-анализ позволяет действовать на опережение, а не просто реагировать на уже случившиеся инциденты. В результате организация получает не просто список рисков, а систему взаимосвязанных сценариев с понятными механизмами управления.
Участились атаки на информационные системы предприятий, которые входят в группу компаний. Пробелы в понимании уровня и природы рисков создавали угрозу для стабильной работы технологических объектов.
- Нет формализованного учета рисков кибербезопасности.
- Не выстроена стратегия оценки и реагирования на угрозы.
- Недостаточно данных о воздействии рисков на производственные процессы.
- Необходимо создать эффективные механизмы противодействия новым угрозам.
В рамках проекта настроили параметры управления рисками:
- Определение риск‑аппетита:
- Установлены лимиты ущерба для различных категорий активов.
- Определен целевой уровень негативных последствий.
- Формализован приемлемый уровень рисков.
- Глубокий анализ контекста:
- Проведен всесторонний анализ внутреннего контекста организации.
- Выявлены критические активы и бизнес‑процессы.
- Оценено текущее состояние защищенности.
- Разработка контрмер:
- Сформирован комплекс мер защиты на основе оценки рисков.
- Приоритизированы мероприятия по эффективности и стоимости.
- Создана дорожная карта внедрения.
Заказчик получил реестр актуальных рисков для оперативной идентификации и контроля угроз, содержащий:
- полную картину актуальных рисков;
- детали проявления каждой угрозы;
- механизмы мониторинга динамики устранения рисков.
Разработан план обработки рисков, включающий:
- информацию о действующих мерах защиты;
- планируемые доработки и улучшения;
- процедуры постепенной адаптации мер защиты.
- Количество инцидентов кибербезопасности сократилось на 60%.
- Налажено эффективное взаимодействие подразделений по вопросам киберрисков.
- Предотвращены финансовые потери на сумму свыше 50 миллионов рублей.
- Эффективность управления рисками повысилась в 2 раза.
- Обеспечена стабильность промышленного комплекса и уверенность руководства в защищенности от современных угроз.
Система продолжает развиваться и адаптироваться к новым вызовам, обеспечивая устойчивое развитие холдинга в условиях цифровой трансформации.
Управление рисками — это не разовая акция по подготовке отчета для регулятора. Это непрерывный цикл, который делает работу CISO прозрачной, измеримой и стратегически значимой. Способность экономически обосновать инвестиции в кибербезопасность и объяснить руководству влияние киберрисков на бизнес‑процессы переводит CISO на новый уровень влияния в компании.
В заключительной статье цикла мы расскажем, как автоматизировать систему управления рисками с помощью BI.ZONE GRC и связать ее со смежными направлениями — от управления уязвимостями до обеспечения непрерывности бизнеса, создав единый и автоматизированный контур киберустойчивости.