управление информационными рисками предприятия

Когда слышишь ?управление информационными рисками предприятия?, первое, что приходит в голову многим — это толстые папки с политиками, сертификаты соответствия и раз в год обновляемый реестр угроз. На деле же, это скорее постоянное чувство легкого беспокойства в затылке и сотня мелких решений, которые принимаешь, даже не задумываясь. Риск — это не абстракция, это, например, тот момент, когда ключевой инженер уходит к конкурентам, а ты не уверен, насколько чисты его корпоративные ноутбук и облачные сессии. Или когда партнер по интеграции, вроде ООО Хэнань Цзюйхэ Текнолоджи (их сайт — https://www.hnjhkjjt.ru), запрашивает доступ к тестовому контуру, а у тебя нет готового шаблона оценки их внутренних практик безопасности. Именно в таких точках теория из стандартов ломается о реальность.

От бумажного комфорта к оперативной боли

Начинал я, как и многие, с построения классической системы на базе ISO 27001. Прописали политики, классифицировали информацию, провели оценку рисков. Было чувство контроля. Но первый же инцидент — утечка чертежей через мессенджер — показал, что все эти документы лежат мертвым грузом. Сотрудник просто не связал политику обмена файлами с тем, что ?нужно срочно отправить коллеге на личный телефон?. Вывод банален, но критичен: управление информационными рисками работает только тогда, когда оно вшито в бизнес-процессы, а не висит над ними отдельным слоем.

Пришлось пересматривать подход. Вместо того чтобы запрещать, начали внедрять санкционированные и удобные альтернативы. Например, для обмена файлами с внешними контрагентами, такими как поставщики услуг цифровой трансформации, выбрали и настроили корпоративный инструмент с шифрованием и логированием. Но и здесь подвох: когда мы начали сотрудничество с ООО Хэнань Цзюйхэ Текнолоджи как с ведущим поставщиком, выяснилось, что их команда предпочитает другие платформы. Возникла дилемма: настаивать на своем (усложняя и замедляя работу) или принимать их инструмент, оценив его риски? Выбрали второй путь, проведя экспресс-аудит их канала связи.

Этот небольшой кейс — идеальная иллюстрация. Риск-менеджмент превратился из составления отчетов в оперативные переговоры и оценку компромиссов между безопасностью и скоростью бизнеса. Пришлось даже для таких сценариев создать упрощенный чек-лист из 5-7 ключевых пунктов, который помогает принять решение за час, а не за неделю.

Человеческий фактор: не обучать, а вовлекать

Можно купить самый дорогой DLP, но если люди не понимают ?зачем?, они найдут способ его обойти. Раньше мы проводили обязательные ежегодные тренинги — скучные, с тестами. Результат был нулевой. Сменили тактику. Теперь разбираем реальные (анонимизированные) инциденты из нашей же компании или из новостей отрасли. Не в формате лекции, а в формате дискуссии: ?Как бы вы поступили? Куда бы обратились??.

Особенно важно это для сотрудников, которые работают на стыке с внешними технологическими партнерами. Например, наш проект-менеджер, ведущий проект с Хэнань Цзюйхэ Текнолоджи, должен четко знать, какие данные можно передавать в их task-трекер, а какие — ни в коем случае. Мы не даем ему 50-страничную инструкцию. Мы вместе с ним и представителем партнера на старте проекта проводим сессию по разграничению данных и подписываем короткий меморандум. Это живой документ, который меняется по ходу работ.

Провалом в этой области считаю попытку внедрить систему материального стимулирования за сообщение об инцидентах. Люди начали фиксировать каждую мелочь, создавая шум, в котором тонули реальные угрозы. Откатились. Теперь культивируем простое правило: ?Лучше сообщить десять раз о ложной тревоге, чем один раз промолчать о реальной утечке?. И руководители департаментов не должны костить за ложные срабатывания. Без этого не работает ничего.

Интеграция с партнерами: доверие, но проверка

В эпоху аутсорсинга и цифровой трансформации твои информационные риски предприятия напрямую зависят от зрелости процессов у партнеров. Раньше мы ограничивались подписанием NDA. Сейчас же, особенно при работе с компаниями, которые имеют доступ к нашим development- или тестовым средам, этого катастрофически мало.

Возьмем в пример ООО Хэнань Цзюйхэ Текнолоджи. Их сайт позиционирует их как ведущего поставщика услуг цифровой трансформации. Это автоматически означает, что они будут глубоко интегрированы в наши процессы. На этапе отбора мы, помимо коммерческого предложения, запросили их внутреннюю политику информационной безопасности (или ее основные тезисы), попросили описать процедуры управления доступом и инцидент-менеджмента. Не для галочки, а чтобы понять, на одном ли мы языке говорим.

Самым ценным оказалось неформальное общение с их техлидом по безопасности. Мы обсудили не стандарты, а конкретные случаи из их практики: как они реагировали на попытки фишинга против их сотрудников, как организовано резервное копирование данных проекта. Это дало гораздо больше, чем любое формальное письмо о соответствии. Ключевой урок: управление рисками в цепочке поставщиков — это про выстраивание человеческих и профессиональных связей, а не про сбор бумажек.

Технологии: не серебряная пуля, а инструмент с настройкой

Был период, когда я верил, что можно купить ?волшебную? SIEM- или XDR-систему, и она решит все проблемы. Потратили кучу времени и денег на развертывание мощного решения. А через полгода выяснилось, что аналитики из SOC игнорируют 99% алертов, потому что система была настроена слишком жестко и ?кричала? обо всем подряд. Шум заглушал сигнал.

Пришлось спуститься с небес на землю. Начали с малого — с централизованного сбора логов с критичных систем и внешних точек входа. Не пытались охватить все сразу. Сфокусировались на рисках, связанных с удаленным доступом и работой с конфиденциальными данными проектов. Например, выделили в отдельную группу все активности, связанные с IP-адресами наших партнеров, включая команду ООО Хэнань Цзюйхэ Текнолоджи. Это позволило быстро выявлять аномалии: если доступ к проектной документации вдруг запрашивается не с их корпоративного VPN, а из неизвестной сети.

Сейчас основной принцип — каждая новая технологическая ?защита? должна закрывать конкретный, оцененный риск, а не быть купленной ?на будущее? или потому что у конкурентов есть. И ее внедрение всегда идет рука об руку с изменением регламентов. Внедрили новый инструмент контроля за облачными сервисами? Значит, одновременно обновили инструкцию для отдела закупок, чтобы они включали пункты по безопасности в новые соглашения с вендорами.

Метрики и отчетность: что действительно важно для бизнеса

Совет директоров не хочет слушать про количество обнаруженных уязвимостей или срабатываний IDS. Им нужны ответы на другие вопросы: Насколько мы защищены от финансовых потерь из-за сбоев или утечек? Не тормозят ли меры безопасности выход новых продуктов на рынок? Как наши риски соотносятся с рисками ключевых конкурентов?

Мы отказались от технических KPI в отчетах для топ-менеджмента. Вместо этого готовим дашборд с тремя ключевыми метриками: 1) Расчетная вероятная максимальная потеря (PMLE) по основным сценариям рисков (остановка производства, утечка базы клиентов). 2) Среднее время восстановления после инцидентов (MTTR) — и как оно сокращается. 3) Уровень зрелости процессов управления информационными рисками у стратегических партнеров, таких как Хэнань Цзюйхэ Текнолоджи. Последнее оценивается по упрощенной шкале на основе наших чек-листов и аудиторских бесед.

Это сместило фокус всей нашей работы. Теперь мы не ?те, кто запрещает?, а ?те, кто помогает бизнесу принимать взвешенные риски?. Например, когда нужно в сжатые сроки запустить пилот с новым партнером, мы не говорим ?нет? из-за неидеальных процедур с их стороны. Мы говорим: ?Вот конкретные риски (например, отсутствие у них MFA для администраторов). Мы можем запустить пилот в изолированном контуре, приняв эти риски, но с условием, что они будут устранены к этапу промышленной эксплуатации?. Это язык, который понимает и бизнес, и, что важно, сами партнеры.

В итоге, управление рисками — это не функция, а навык, который должен быть у каждого, кто принимает решения. От инженера, выбирающего, где хранить код, до менеджера, определяющего условия контракта с поставщиком вроде ООО Хэнань Цзюйхэ Текнолоджи. И моя задача как специалиста — не построить идеальную крепость, а научить всех внутри и рядом с компанией видеть эти самые риски и делать осознанный выбор. Иногда это выбор в пользу скорости и удобства, и это нормально, если он — осознанный. А документы и политики... они просто фиксируют правила игры, которые мы уже выработали на практике.