Управление рисками в проектах по информационной безопасности

Сергей Сугоняев, эксперт AKTIV.CОNSULTING, рассмотрел два типовых риска в консалтинговых проектах по ИБ, с которыми на практике сталкиваются руководители проектов.

Непредоставление заказчиком всей полноты данных.

Любой консалтинговый проект начинается с изучения состояния ИБ в компании заказчика. Обследование проводится путем анкетирования, интервьюирования, наблюдений и других инструментов. При предоставлении информации заказчик может случайно или намеренно не указать некоторые данные, к примеру, сведения по филиальной сети. В дальнейшем это способно привести к риску срыва сроков проекта, ведь работа с новыми вводными может занять дополнительное время.

Если в ходе реализации проекта вы столкнулись с данным риском, необходимо оперативно проинформировать заказчика о новых условиях, а также запросить недостающие данные.

На основе полученных уточнений следует оценить трудозатраты и принять решение:

• можно ли без значительных потерь включить эти данные в план?
• потребуется ли уплотнять другие задачи?
• получится ли сделать проект в срок?
• или же нужно подписать дополнительное соглашение с заказчиком на работы по существенно изменившимся условиям?

На стартовых этапах проекта можно минимизировать данный риск на вводных совещаниях. Необходимо разъяснить заказчику, что чем полнее и достовернее сведения, тем лучше будет результат в соответствии с требованиями заказчика.

Недостаток специфических компетенций исполнителей проекта или представителей заказчика.

Как мы писали выше, каждый консалтинговый проект начинается с обследования. На данном этапе выявить искомый нами риск поможет внимательность к степени полноты предоставляемых данных. Если есть пробелы в заполнении анкеты или заказчик затрудняется ответить на уточняющие вопросы, то мы получаем тот самый риск недостатка компетенций. Команда консультантов с удовольствием помогает заказчику разобраться в его процессах и системах безопасности, но, к сожалению, на это требуется дополнительное время и ресурсы исполнителя.

Обратная ситуация: после анализа данных заказчика выясняются особенности, с которыми мы, как исполнитель, ранее не сталкивались. Соответственно нам требуется время на расширение собственных компетенций.

Как можно бороться с данным риском:

• заложить дополнительное время на консультации заказчика;
• разделить в договоре риск с заказчиком на случай несвоевременного предоставления данных в полном объеме;
• заложить дополнительное время на повышение собственной квалификации;
• привлечь в помощь к консультанту более опытных коллег либо сторонние ресурсы.

В следующих статьях разберем другие наиболее влиятельные и существенные риски в проектах по ИБ.