📊 Часть 2. Что делать? Методы и подходы изменения рынка

Я не приверженец стратегии "закручивания гаек", наказания, преследования и прочие экзекуции над партнерами)). Моя практика (более 18 лет в ИБ) показывает, что бесполезно давить, штрафовать и учить. Надо менять системную роль подрядчика — из «исполнителя требований» в «субъекта совместной ответственности».

Вот 4 рабочих подхода, которые, по моему мнению, решили бы проблему с подрядчиками.
🔹 Метод 1. Переход от «требований» к «сценариям защиты»
Вместо ТЗ из 500 пунктов («установи антивирус, отключи RDP, веди журнал…») — дайте подрядчику верхнеуровневые бизнес-сценарии: «Мы защищаем панель управления доменной печью. Вот её критичный путь. Разработайте меры ИБ, которые не позволят злоумышленнику дойти до этого пути в наших условиях эксплуатации. Деньги, сроки, ответственность — ваши предложения».
Почему работает: Подрядчик вынужден переключиться из режима «галочки» в режим «решения». У него появляется пространство для профессиональной гордости. Глубинная причина: люди (и компании) стремятся следовать требованиям, которые они создали сами или в которых видят смысл.
🔹 Метод 2. Модель «ИБ на подряде с отложенным бонусом»
Стандартный контракт: 90% оплаты по закрытию актов, 10% — гарантийное удержание на 3 месяца. Это провоцирует халтуру. Что работает: Выносим оценку ИБ на горизонт 12–18 месяцев после сдачи. Пример внедрения:
40% оплаты подрядчику сразу, 30% — после успешного пентеста и закрытия критичных уязвимостей (делает независимая команда, оплачивает заказчик). 30% — через 12 месяцев, если не было инцидентов, связанных с его системой. Результат: Подрядчик начал учиться у заказчика, внедрять мониторинг, проводить внутренние расследования. Почему? Появился долгий горизонт прибыли, появился страх симметричной ответственности. Конечно, это про нормальное планирование и управление проектами у Подрядчика, про долгосрочный бизнес, но это про качество в ИБ и про защищенность критичных ресурсов.
🔹 Метод 3. Создание «Белых пулов подрядчиков» с репутационным капиталом
Рынок сейчас анонимен. Плохой подрядчик исчезает, появляется с новой вывеской. Нужно создать систему, где статус ИБ-подрядчика становится нематериальным активом. Все старо как мир: Заказчики объединяются в отраслевой клуб (не ассоциацию с членскими взносами, а закрытый пул) и ведут рейтинг по строгим критериям: количество успешных отражений атак, скорость реакции на уязвимости, отсутствие штрафов.
Топ-5 подрядчиков получают доступ к преференциальным контрактам (без тендера, прямая цена, аванс 50%).
Глубинная причина: социальное доказательство и статус работают сильнее любых штрафов. Подрядчики начнут бороться за место в топе, потому что потеря доступа к пулу = смерть бизнеса.
🔹 Метод 4. Консультирвоание в ИБ-комплаенсе для подрядчиков (вместо проверок)
Промышленные заказчики тратят 80% времени на аудит подрядчика «после факта». Бесполезно. Нужно перейти в проактивное сопровождение. До начала работ — сессия с руководителем подрядчика и его ИБ-специалистом. Разбираем не требования, а страхи и заблуждения: «Что для вас самое бессмысленное в нашем регламенте?». Пересматриваем регламент под реальность (убираем ритуальные пункты, оставляем критическое). Заказчик при этом обязуется не штрафовать за первые инциденты (кроме критичных), если подрядчик их раскрывает сам. Подрядчик обязуется обучать своих исполнителей. Результат: снижение сопротивления на 70%. Подрядчики перестают врать, начинают звонить и советоваться.