На чем первоочередно должна строиться Стратегия ИБ, чтобы соответствовать реальным потр...
На чем первоочередно должна строиться Стратегия ИБ, чтобы соответствовать реальным потребностям компании? На рисках компании. На практике многие Стратегии ИБ остаются формальными документами, которые не приносят практической пользы компании. Это происходит, когда при их разработке не учитываются цели и задачи компании и наиболее значимые для нее риски. Вместо анализа рисков компании за основу часто берутся текущая ИТ-инфраструктура, требования регуляторов, используемые технологии или перечень уже запланированных инициатив в области ИБ. При этом указанные аспекты также должны учитываться в Стратегии ИБ через оценку связанных с ними рисков, возможных последствий для компании и мер ИБ, направленных на их обработку. В результате формируется перечень мероприятий, но не определяется, какие направления действительно являются приоритетными для компании. При разработке Стратегии ИБ следует отталкиваться от наиболее значимых рисков ИБ, влияющих на достижение целей компании, и определять, какие из них могут быть снижены за счет развития ИБ. Это позволяет связать направления развития ИБ с конкретными потребностями компании. При определении приоритетов развития ИБ необходимо учитывать и возможности самой компании. Один и тот же уровень риска может требовать разных решений в зависимости от зрелости процессов ИБ, состояния ИТ-инфраструктуры, доступного бюджета и кадровых ресурсов. Кроме того, Стратегия ИБ должна учитывать планы развития бизнеса в целом. Изменения в бизнес-модели, запуск новых продуктов, выход на новые рынки, развитие цифровых каналов и увеличение зависимости от внешних поставщиков могут приводить к появлению новых рисков или изменению уровня существующих. Например, компания планирует выйти на новый рынок и передать часть операционных процессов внешнему поставщику. В этом случае возрастает зависимость компании от действий третьей стороны, а нарушение ее работы или недостаточный уровень защиты информации у поставщика могут повлиять на непрерывность ключевых процессов и финансовые результаты компании. Если такой риск является существенным для достижения целей компании, в Стратегии ИБ необходимо предусмотреть развитие подходов к оценке и контролю ИБ поставщиков. При этом важно оценивать и ожидаемый эффект от таких мер, например снижение вероятности утечки информации, финансовых потерь, штрафных санкций или нарушения непрерывности ключевых процессов. Таким образом, при разработке Стратегии ИБ необходимо исходить из рисков компании и определять, какие из них могут быть снижены за счет мер ИБ, какие направления развития ИБ необходимы для этого и какой приоритет им следует установить с учетом возможностей и планов компании.