Риск-ориентированный и бизнес-ориентированный подходы в ИБ

Эксперт AKTIV.CONSULTING рассмотрел преимущества и недостатки каждого из подходов.

Для формирования долгосрочных и краткосрочных целей, а также перераспределения ресурсов ИБ-руководителю важно выбрать оптимальный подход и соответствующие ему инструменты, которые помогут в принятии стратегических и оперативных решений.

Традиционно таковыми считаются риск-ориентированный и бизнес-ориентированный подходы. Давайте рассмотрим их основные преимущества и недостатки, а также определим, какой из подходов лучше.

Плюсы риск-ориентированного подхода:

• риски ИБ анализируются наравне с другими бизнес-рисками организации;
• при анализе рисков ИБ выявляются наиболее критичные для организации бизнес-процессы с точки зрения возможного ущерба, а также технологические и вспомогательные процессы, обеспечивающие их;
• директору по ИБ становится ясно, какую информацию и в каких системах важно защищать, топ-менеджеры лучше понимают, чем грозит риск ИБ;
• сценарный анализ и анализа влияния на бизнес выявляют уязвимости и слабые места, которые требуют особого внимания, что в дальнейшем помогает сформировать более полную модель угроз;
• на основе анализа рисков и оценки возможного ущерба руководство принимает решение либо о предотвращении рисков и выделении на это средств, либо о принятии рисков (с экономической точки зрения какие-то риски выгоднее принять полностью или частично). Данные решения важно указать в плане действий компании при наступлении рискового события.

Помимо явных преимуществ, как и у любого инструмента, у риск-ориентированного подхода есть недостатки:

• риск-анализ состоит из двух частей: непосредственно оценки рисков и подготовки решений по их снижению. Зачастую специалисты по рискам делают лишь первую половину процесса, но важно понимать, что ценность кроется как раз во второй части, так как топ-менеджмент именно на основании отчета по рискам должен принимать управленческие решения.
• управление рисками — это непрерывный процесс, требующий отдельных ресурсов. Чтобы функция ИБ могла пользоваться всеми преимуществами данного инструмента, важно создать компетенции по рискам.
• при идентификации рисков невозможно их охватить на все 100%. Необходим постоянный мониторинг и наполнение рисковой базы знаний. Источниками информации могут быть СМИ, освещающие крупные инциденты информационной безопасности как в России, так и в мире, аналитические отчеты, которые готовят игроки ИБ-рынка и отраслевые регуляторы. Кроме того, важно общаться с коллегами по отрасли.
• вероятность наступления рисковых событий рассчитывается на основе исторических данных или экспертным путем, что может приводить к его завышению или занижению при оценке рисков.

Несмотря на перечисленные минусы, риск-ориентированный подход признан действительно работающим инструментом и хорошо зарекомендовал себя в сфере информационной безопасности.

В то же время многие организации в процессе повышения своей ИБ-зрелости понимают, что не могут опираться только на риски и начинают ориентироваться на достижение бизнес-целей для развития ИБ.

Прежде чем рассмотреть преимущества и недостатки бизнес-ориентированного подхода, давайте выясним основную разницу между этими двумя подходами. Ключевое отличие бизнес-ориентированного подхода от риск-ориентированного подхода — это мотивирующий фактор. Мотивацией в бизнес-ориентированном подходе служат возможности для развития бизнеса, а не страхи возможного ущерба и потерь.

Плюсы бизнес-ориентированного подхода:

• постановка целей и задач для ИБ формируется на основе целей всей организации;
• складывается единое понимание вклада и роли ИБ в достижении стратегических целей бизнеса;
• объем выделения ресурсов на развитие ИБ определяется, исходя из бизнес-потребностей;
• в случаях, когда ИБ предоставляет новые возможности для роста бизнеса, служба ИБ повышает собственную ценность для организации.

Недостатки бизнес-ориентированного подхода:

• на практике бизнес-ориентированный подход доступен для организаций, достигших определенного уровня зрелости в управлении;
• трудно определить степень влияния информационной безопасности на достижение бизнес-целей.

Из-за указанных сложностей на сегодняшний день бизнес-ориентированный подход не получил широкого распространения, но тенденция на его развитие во многом связана с повышением ИБ-зрелости компаний.

Так что же лучше, бизнес-ориентированный или риск-ориентированный подход?

Именно сочетание в применении данных двух подходов предоставляет возможность найти ту самую «золотую середину» при выделении ресурсов на информационную безопасность. Необходимость в ресурсах нам диктуют страхи риск-ориентированного подхода, а их достаточность определяется на основе потребностей бизнес-ориентированного.