Киберриска не существует

Есть слова, которые делают вид, что помогают понять суть вещей, а на деле переводят мысль обратно в туман. «Киберриск» - из этой семьи

Стоит произнести это слово, и разговор мгновенно уходит туда, где живут специалисты по кибербезопасности, а не туда, где принимают решения. Риск как будто существует сам по себе, в отдельной вселенной, со своей отчетностью, своим бюджетом и своим ответственным. Главное - подальше от бизнес-модели

Никаких кибер-рисков нет.

Есть бизнес-риск: потеря выручки, утрата актива, уход клиента, удар по репутации. Киберинцидент - лишь одна из причин, по которой этот риск может реализоваться. А может и не реализоваться - если инцидент предотвращен или локализован достаточно быстро, чтобы бизнес его не заметил

Отсюда простое следствие. Считать надо не вероятность «кибератаки невиданного масштаба», а последствия остановки того, на чем держатся деньги

Допустим, платформа продаж лежит сутки. Это уже разговор, который можно вести с финансовым директором: столько-то заказов не оформлено, столько-то ушло к конкуренту, столько-то придется вернуть по договорным условиям. Здесь появляются цифры, а не тревожные прилагательные

И самое неприятное для любителей слова «киберриск»: причина в этой формуле почти не важна. DDoS, шифровальщик, блэкаут, кривая раскатка конфигурации маршрутизатора в пятницу вечером - для отчета о прибылях и убытках разница косметическая. Бизнес интересует длительность недоступности и возможность восстановления, а не название угрозы в презентации

Как только риск сформулирован через бизнес, немедленно выясняется, что владелец у него - не служба ИБ. Владелец - тот, кто отвечает за продажи, производство или обязательства перед клиентами. А ИБ - тот, кто помогает сократить вероятность и время реализации. Это, кстати, единственная причина, по которой нас вообще стоит держать на работе

Поэтому я бы начинал не с матрицы угроз, а с вопроса: сколько часов простоя каждого критичного процесса компания переживет без необратимых потерь? Ответ на него полезнее любого реестра киберрисков и, что приятно, понятен без переводчика

Слово «киберриск» дает приятное ощущение владения темой. Оно же гарантирует, что тему не поймет никто, кроме тех, кто ее и так знает

😺 Security Show в Telegram · в Max ·👍Школа управления ИБ ·🤖Дайджест про ИБ в ИИ и наоборот