Минимизация рисков в проектах по ИБ: порядок действий

Эксперт AKTIV.CОNSULTING Сергей Сугоняев рассмотрел три возможных риска в проектах по ИБ и рассказал, что делать в каждом случае.

Недостаток ресурсов для реализации проекта из-за пересечения с другими проектами

Бывают ситуации, когда на запланированные ранее работы неожиданно накладывается крупный проект. Его источником может стать распоряжение руководства, регуляторика, крупный инцидент, случившийся на предприятии или в отрасли. В данном случае чаще всего организация начинает перераспределение ресурсов с ранее запланированных проектов.

Так как всегда есть вероятность столкнуться с таким риском на практике, стоит заранее предусмотреть меры по его предотвращению.

Возможные варианты действий:

• поддерживать ресурсный план в актуальном состоянии;
• закладывать 5-10% запас ресурсов в план;
• высчитывать коэффициент неопределенности и оставлять резерв на непредвиденные ситуации;
• рассмотреть возможность передачи части задач на аутсорсинг (для экономии времени рекомендуем держать в актуальном состоянии список подрядчиков);
• в крайних случаях согласовать переработки для сотрудников;
• пожертвовать некоторыми задачами в менее приоритетных проектах.

Увольнение или болезнь сотрудников

Данный риск может оказать существенное влияние на проектную деятельность. На старте проекта формируется команда, в которую могут войти эксперты, обладающие специфическими компетенциями в своей предметной области. В ходе реализации проекта такие специалисты будут трудно заменимы, а их отсутствие может сказаться на сроках и результате.

Чаще всего ответственным за данный риск назначается непосредственный руководитель сотрудника или высшее звено руководящего уровня, в подчинении которого находятся все участники команды. Именно он будет решать возникшую проблему и реализовывать меры, предусмотренные в реестре рисков на стадии инициации проекта.

Варианты минимизации описанного риска:

• определить замену каждому участнику команды;
• вести постоянную работу по сокращению зависимости проекта от конкретных сотрудников (т.н. «BUS-фактор»);
• осуществлять подбор и развитие компетенций новых сотрудников, разрабатывать программы онбординга в проект;
• постоянно контролировать количество ресурсов;
• рассмотреть возможность передачи части задач на аутсорсинг (для экономии времени рекомендуем держать в актуальном состоянии список подрядчиков).

​​Невыполнение подрядчиком по информационной безопасности своих обязательств

Рано или поздно любая компания может столкнуться с необходимостью привлечения ИБ-ресурсов со стороны. Двумя основными причинами этого являются:

1. Недостаточное количество собственных ресурсов для закрытия потребности в реализации новых идей и функций.
2. Отсутствие специфических компетенций внутри своей команды, а также дороговизна и длительность взращивания таких ресурсов (в сравнении с обращением к профессионалам, предлагающим нужные услуги).

Казалось бы, простой и очевидный путь закрыть свои потребности — обратиться в аутсорсинговую компанию. Но что, если подрядчик окажется недобросовестным и не сможет реализовать задуманное в обозначенные сроки, чем сорвет, например, дальнейшие планы компании?

Как застраховать себя и свести к минимуму риск такой ситуации:

• обратить внимание на репутацию компании, изучить портфолио выполненных работ;
• скрупулезно подойти к составлению договора, жестко прописать ответственность каждой стороны;
• назначить руководителя проектов, который будет отвечать за общение с подрядчиком и контролировать его действия;
• разбить весь проект на мелкие этапы и следить за их выполнением через ответственного;
• сразу эскалировать проблемы или задержки по проекту на руководителя компании-подрядчика.

В следующих статьях продолжим разбирать существенные риски в проектах по ИБ, с которым на практике могут столкнуться компании.

Подведем краткие итоги: для минимизации описанных рисков в проектах по информационной безопасности полезно, в первую очередь, предусмотреть все возможные риски ещё до начала проекта.

Также важную роль в проектах играет команда, поэтому стоит поддерживать ресурсный план в актуальном состоянии и даже закладывать небольшой запас, вести постоянную работу по сокращению зависимости проекта от конкретных сотрудников, а ещё заниматься развитием компетенций работников.

Если же компания столкнулась с необходимостью передать часть функций на аутсорсинг, важно тщательно подойти к выбору подрядчика, подробно прописать ответственность сторон, следовать намеченному плану и контролировать точность его выполнения.

Про иные важные риски в проектах по информационной безопасности вы можете прочитать в других наших статьях:

Неготовность к изменениям в устоявшихся процессах со стороны команды заказчика

Непредоставление заказчиком всей полноты данных

Недостаток специфических компетенций исполнителей проекта или представителей заказчика