Переход на ущерб-ориентированный подход
Многим компаниям вне зависимости от размера кажется, что обеспечение безопасности и непрерывности бизнеса требует больших инвестиций, оценить целесообразность которых трудно. Так, средний бизнес часто считает, что решения кибербезопасности (КБ) стоят дорого и не являются обязательными, ведь основная цель злоумышленников — большие компании. Крупный бизнес, обладающий высоким уровнем зрелости, сталкивается с другой сложностью: руководство не всегда четко понимает, как именно кибербезопасность влияет на устойчивость компании и как оценить эффективность инвестиций на понятном для бизнеса языке. У этих на первых взгляд разных парадигм одна общая проблема: безопасность существует отдельно от бизнеса.
Ущерб‑ориентированный подход позволяет перестать оперировать часто оторванными от операционной деятельности рисками КЦД
В статье разберем:
- как обычно устроено управление кибербезопасностью и рисками, а также почему это не устраивает ни бизнес, ни КБ‑подразделение;
- что меняется при внедрении ущерб‑ориентированного подхода;
- зачем нужен BIA и что он показывает;
- как внедрить ущерб‑ориентированный подход.
Классический подход к управлению кибербезопасностью
Большинство компаний опираются на следующую связку стандартов:
- ISO 31000 задает общие принципы, фреймворк и процесс управления для любых рисков.
- ISO/IEC 27001 задает требования к системе управления кибербезопасностью.
- ISO/IEC 27005 и IEC 31010 являются основной методик оценки рисков кибербезопасности.
У классического подхода есть преимущества: это привычная, формализованная методика, соответствующая ISO/IEC 27001. Она учитывает уязвимости, меры защиты, мотивацию и возможности нарушителя, поэтому вероятность реализации угрозы оценивается довольно объективно.
Тем не менее у такого подхода есть недостатки:
- Бизнес не понимает язык кибербезопасности. Риски описываются через нарушение КЦД, без прямой связи с потенциальными потерями для компании. Без понятного сравнения затрат и потенциального ущерба руководство не видит прямой связи между инвестициями в кибербезопасность и снижением потенциальных потерь для бизнеса. Это вызывает трудности при принятии взвешенных решений.
- Ценность активов определяется субъективно. Одни подразделения считают актив критичным, другие — второстепенным. Также бизнес может переоценивать критичность некоторых продуктовых систем и при этом недооценивать элементы IT‑инфраструктуры, хотя именно они могут стать точкой входа для злоумышленников и причиной серьезных потерь.
- Приоритизировать риски сложно. Реестр рисков содержит сотни строк, каждая из которых важна. Закрыть всё разом невозможно: это потребует значительных ресурсов и времени. При этом для построения эффективной системы защиты надо выделять наиболее актуальные для конкретной компании риски, чтобы в первую очередь закрывать их. Но оценка приоритетности часто оказывается субъективной.
В комплексе эти причины не позволяют назвать классический подход оптимальным для компаний.
Бизнес и кибербезопасность: основные проблемы
- Нет КБ‑отдела, его функции — часть обязанностей IT‑специалистов.
- Не регламентирован процесс управления непрерывностью бизнеса.
- Есть уверенность, что крупные сбои и атаки касаются в первую очередь банков и корпораций.
- Существует представление, что «настоящая» кибербезопасность — это про дорогие системы, SOC, сертификации и бюджеты уровня корпораций.
Средний бизнес считает себя слишком незначительным, чтобы стать целью злоумышленников, и слишком простым для глобальных внутренних сбоев, способных надолго парализовать деятельность компании. При этом организации среднего размера часто завязаны на нескольких ключевых бизнес‑процессах, формирующих основную выручку. Их остановка даже на пару дней способна повлечь кассовый разрыв, рост задолженностей или нарушение договорных обязательств с последующими санкциями, а также потерей доверия клиентов и партнеров.
- Внедрены СМК
, СМИБ , процессы оценки рисков и реестр рисков. - Ежегодно проводятся оценки и аудиты.
- Используется классический подход из стандарта ISO/IEC 27005.
- Растет количество контролей и размер затрат, а реальная управляемость рисков не меняется.
Согласно исследованию McKinsey, по мере своего развития классический подход к безопасности влечет за собой увеличение количества контролей и затрат без значительного снижения рисков. В противовес ему ущерб‑ориентированный подход позволяет заметно повысить эффективность управления кибербезопасностью без увеличения бюджета.
Преимущества ущерб-ориентированного подхода
Ущерб‑ориентированный подход не заменяет классический риск‑ориентированный, а достраивает его до уровня бизнеса. Точкой отсчета становятся не угрозы или уязвимости, а потенциальные негативные последствия для компании: потеря средств, клиентов, репутации, а также проблемы комплаенса и т. д.
Среднему бизнесу проще перейти на ущерб‑ориентированный подход, потому что у него:
- меньше старых устоявшихся процессов и контролей;
- меньше внутренних бизнес‑процессов, поэтому проще собрать ключевых сотрудников, а также проанализировать возможные последствия и сценарии их реализации.
Средний бизнес может использовать подход как основу для последующего развития процессов управления устойчивостью и кибербезопасностью либо интегрировать его в планируемую систему менеджмента качества. Крупный бизнес, в свою очередь, может с помощью подхода «перевести» уже существующую систему кибербезопасности на понятный язык последствий и затрат, провести ревизию реестра рисков, убрать лишние контроли, перераспределить бюджет.
Важно отметить, что ущерб‑ориентированный подход не обязует выполнять все применимые контрмеры для снижения итогового уровня риска до приемлемых значений, например из ISO/IEC 27002. Наоборот, подход позволяет снижать риск не только за счет уменьшения вероятности его реализации, но и за счет управления масштабом ущерба.
С помощью анализа бизнес‑процессов и подготовки планов осуществления деятельности при сбоях компания может уменьшить негативные последствия простоя во времени. Это повышает RTO
Например, вместо реализации дорогих решений по горячему резервированию возможно разработать план обеспечения непрерывности BCP
Проведение BIA
Основной инструмент ущерб‑ориентированного подхода — BIA, который описан в ISO/TS 22317:2021 и встроен в ISO 22301 как базовый процесс управления непрерывностью. BIA позволяет сузить круг до наиболее вероятных и опасных сценариев реализации риска, определить первоочередные мероприятия, а также сфокусировать ресурсы.
В рамках ущерб‑ориентированного подхода специалисты кибербезопасности должны понимать, что важно бизнесу в первую очередь. Для этого нужно поговорить с руководителями бизнес-процессов и высшим руководством.
Вот примеры вопросов:
- Какие процессы представляют для компании наибольшую ценность?
- От каких активов (в том числе нетехнических) зависят процессы?
- Что с нами будет, если конкретный процесс остановится?
- Сколько средств будет потеряно из‑за остановки процессов?
- По каким причинам процесс может остановиться?
Так руководство погрузится в вопросы кибербезопасности и начнет оценивать потенциальные последствия, а также риски их реализации для бизнеса. После проведения BIA компания получит следующие результаты:
- Разработана шкала оценки критичности негативных последствий. Она согласована с руководством, является общей системой ценностей для всей компании, учитывает контекст, бизнес-цели и заинтересованные стороны.
- Создан перечень ключевых бизнес‑процессов, активов, а также продуктов и услуг. Список приоритизирован по общему уровню критичности потенциальных негативных последствий, максимально допустимому периоду сбоя или объему потери данных и т. д.
- Обоснованы требования и целевые показатели к обеспечению непрерывности бизнеса. RTO, RPO
, MAС и т. д., в зависимости от потребностей компании. - Создан список ситуаций, в которых текущие меры по обеспечению непрерывности бизнеса не удовлетворяют его требованиям. Например, если та или иная система критична для бизнеса и ее простой в течение определенного времени может привести к серьезным убыткам. Но при этом IT‑отделу для восстановления ее работоспособности нужно больше времени.
- Провели BIA: определили критичные продукты и услуги, допустимые периоды простоя, минимально допустимую производительность и прочие важные целевые показатели.
- Определили потенциальные риски реализации негативных последствий.
- Прописали планы реагирования и восстановления, назначили ответственных, закрепили роли.
- Интегрировали систему управления непрерывностью.
- Регулярно проводили обучения сотрудников.
- Опирались на ущерб‑ориентированное управление рисками: направили ресурсы на обеспечение безопасности и устойчивости в первую очередь туда, где рост ущерба во времени влечет наиболее значительные последствия для компании и заинтересованных сторон.
Внедрение ущерб-ориентированного подхода: роадмап
Специалисты по кибербезопасности в рамках ущерб‑ориентированного подхода должны спрашивать сам бизнес (а не вынужденно придумывать): что ему важно защитить, какие процессы представляют для компании наибольшую ценность, от каких активов (в том числе нетехнических) зависят процессы? При первом подходе это может оказаться достаточно объемным процессом (в зависимости от размеров компании), но достаточно простым, поскольку руководители бизнес‑процессов и так знают свои риски, а высшее руководство всегда держит в голове риски для бизнеса. И даже этот шаг уже является ценным, так как бизнес начинает погружаться в вопросы безопасности на достаточном и понятном ему уровне, оценивая потенциальные последствия, риски их реализации и связь с кибербезопасностью.
Цель: убедить топ‑менеджмент, что кибербезопасность — это инструмент сохранения стоимости бизнеса, а не «формальные расходы».
1. Организовать стартовую встречу с топ‑менеджментом: CEO, финансовым и операционным директорами, руководителями КБ- и IT‑подразделений:
- Определить миссию компании и стратегические цели (показатели роста и устойчивости, которых нужно достигнуть).
- Зафиксировать (хотя бы примерно) аппетит к ущербу: какие уровни потерь готова принять компания по финансам, клиентам, простоям, KPI.
- Закрепить, что по итогам реализации проекта основой принятия решений будет оценка возможных последствий.
2. Определить рабочую группу и драйверов проекта из числа топ‑менеджмента, получить необходимые ресурсы:
- Создать документ с целями и ожиданиями от проекта.
- Сформулировать предварительный список продуктов, услуг и бизнес‑процессов для анализа.
Цель: понять, что необходимо бизнесу и что именно нужно защитить в первую очередь.
1. Установить границы работ:
- Выделить ключевые продукты и услуги, которые формируют основную ценность для компании. Можно начать с одного или нескольких продуктов/услуг и протестировать внедрение ущерб-ориентированного на них, прежде чем распространять его на всё.
- Определить основные и поддерживающие процессы, которые обеспечивают предоставление продуктов, услуг или сервисов.
- Определить ключевых сотрудников и владельцев процессов.
2. Проработать шкалу оценки критичности негативных последствий (при поддержке со стороны отделов финансов, маркетинга и рисков, а также юристов):
- Сформировать перечень возможных последствий: ущерб финансам, клиентам, репутации, комплаенсу, а также причинение вреда людям и экологии.
- Согласовать шкалу оценки уровня критичности по каждому виду последствий.
- Закрепить критерии достижения уровней критичности: где находятся границы между «приемлемо», «существенно», «критично» и «недопустимо».
Ниже приведен пример уровней критичности и критерии достижения того или иного уровня, чтобы итоговая шкала не была занижена или завышена.
3. Провести интервью с владельцами бизнес‑процессов и ключевыми специалистами, чтобы собрать информацию о процессах:
- Описать процессы: этапы, операции, результат, метрики и ключевые показатели.
- Зафиксировать используемые активы: IT‑системы, данные, специалисты, подрядчики, инфраструктура.
- Определить потенциальные последствия инцидента в рамках бизнес‑процессов и их уровни по разработанной шкале.
- Определить взаимосвязи с другими процессами, от которых зависят основные бизнес‑процессы.
- Проанализировать, насколько критично влияние недоступности активов и возможных утечек.
- Определить критичность активов в соответствии с потенциальными последствиями и шкалой оценки критичности негативных последствий.
- Сформировать целевые показатели обеспечения непрерывности: RTO, RPO, MAC, MTPD
, MTLD .
Рекомендуем определять целевое время и точку восстановления, исходя из уровней критичности и риск‑аппетита компании. Например, если недоступность актива с течением времени влечет финансовые потери и по расчетам через 4 часа уровень последствий достигнет уровня «критично», а через 24 часа — «недопустимо», то показатель RTO — 4 часа, а MTPD — 24 часа.
4. Проанализировать и упорядочить полученные данные:
- Построить таблицы воздействия сбоев на процессы и ресурсы с течением времени.
- Классифицировать активы и процессы по уровню критичности.
- Выявить разрывы между «как надо бизнесу» и «как есть». Например, исходя из риск‑аппетита, в случае сбоя производство должно быть восстановлено не позже 4 часов с момента остановки, а фактически восстановление может занять до 24 часов.
- Подготовить перечень критичных процессов и активов, которые должны быть восстановлены в первую очередь.
Цель: перевести существующий риск‑менеджмент и управление кибербезопасностью на язык последствий и сделать результаты этих процессов прозрачными для бизнеса.
1. Актуализировать реестр рисков, отталкиваясь от перечня стратегических рисков по результатам BIA:
- Точка отсчета — список стратегических рисков по результатам BIA, описанных через связку «негативное последствие и уровень критичности — бизнес‑процесс — актив — сценарий реализации негативного последствия (недоступность актива, нехватка сотрудников и т. д.) — критерий наступления».
- Для каждого риска должен быть зафиксирован уровень ущерба по шкале оценки критичности.
2. Связать BIA с классической оценкой рисков:
- Определить вероятность реализации рисков, используя ISO/IEC 27005 и IEC 31010.
- Провести ущерб-ориентированную оценку рисков КБ и определить его актуальный уровень, который складывается из оценки реализации контрмер, применимых для рассматриваемой угрозы и уязвимости. Оценка учитывает уровень негативных последствий, вероятности возникновения угроз и уязвимостей, вероятность их реализации.
- Приоритизировать портфель рисков и планируемых к реализации контрмер.
В первую очередь нужно сосредоточиться на рисках, актуальный уровень которых превышает риск‑аппетит. По данным McKinsey, перераспределение бюджета, основанное на принципе критичности влияния на бизнес, помогает снизить риски в 7,5 раза без увеличения трат. Бюджет сохраняется за счет отказа от универсального применения контролей и фокуса на критичных активах.
3. Обновить цели и KPI для направлений IT и кибербезопасности:
Ввести показатели по RTO/RPO, простоям критичных активов, доле рисков выше риск‑аппетита.
Цель: интегрировать ущерб‑ориентированный подход в существующую систему управления или заложить основу для ее последующего развития.
- Описать процесс проведения BIA, определения критичности процессов и активов.
- Описать процесс ущерб‑ориентированной оценки рисков.
- Включить пересмотр BIA, реестра рисков и процессов управления непрерывность в ежегодный цикл.
- Формализовать систему оценки эффективности и планирования за периоды (3 месяца, год, 3 года и т. д.).
- Выстроить единый язык для бизнеса, IT и КБ в связке: последствия — пороговые значения — риски — планирование КБ- или IT‑проектов.
- Какие из них нанесут максимальный ущерб бизнесу в случае остановки на один день?
- От каких систем, сотрудников, поставщиков зависят эти процессы?
- Какие ресурсы критичны для функционирования процессов?
- Сколько выручки вы потеряете за день простоя?
- Сколько клиентов уйдет, если прекратить обслуживание или предоставление услуги? Вернутся ли они?
- Какие договорные или регуляторные штрафы возможны?
- Простой процесса боле 4 часов — существенно.
- Потерять данные за месяц — недопустимо.
- Отказ работы интернет‑магазина на 1–2 часа в прайм‑тайм — критично.
После внедрения ущерб‑ориентированного подхода компания получит следующие результаты:
- Снижение рисков без увеличения бюджета.
- Прозрачность и управляемость кибербезопасности.
- Связь кибербезопасности с непрерывностью и устойчивостью.
- Единая методология управления.
- Упрощение принятия решений.
Выводы
Ущерб‑ориентированный подход позволяет объединить разрозненные процессы по управлению непрерывностью и безопасностью бизнеса в единую систему. Чтобы ее построить, в первую очередь необходимо провести BIA. Анализ показывает, что может произойти с выручкой, клиентской базой и обязательствами в случае простоя конкретного бизнес‑процесса или актива во времени, а также куда следует направить ресурсы, чтобы минимизировать последствия. В этом и заключается суть ущерб‑ориентированного подхода: защищать не абстрактные активы, а конкретные ценности бизнеса.
Мы написали гайдбук «Путь к цифровому лидерству. Business impact analysis в управлении непрерывностью бизнеса», в котором поделились опытом, подсветили частые трудности и пути их решения, а также рассказали о дополнительных сферах, которым может быть полезен ущерб‑ориентированный подход.