«Мы уже купили защиту»: как понять, что ИБ-бюджет потрачен не зря

Михаил Редишев,
директор Департамента информационной безопасности РУСАЛа:

«Оценивать эффективность бюджета на информационную безопасность только количеством внедрённых средств защиты или отсутствием крупных инцидентов, на мой взгляд, неправильно. Отсутствие инцидентов ещё не означает, что компания хорошо защищена, а рост числа выявленных атак иногда, наоборот, говорит о повышении качества их обнаружения.

Ключевой критерий эффективности инвестиций в ИБ — насколько они снижают реальный риск для бизнеса. Поэтому наряду с техническими показателями (критическими уязвимостями, скоростью обнаружения и реагирования, покрытием средствами защиты) важно оценивать потенциальные последствия. Например, простой производства, финансовые потери, нарушение технологических процессов, утечки значимой информации.

При этом у ИБ нет неограниченного бюджета, а полностью исключить киберриски невозможно. Задача CISO — определить, какие из них действительно критичны и где инвестиции дадут наибольший эффект.

Далеко не всегда ответом должна быть покупка нового средства защиты. Иногда изменение архитектуры, процессов или существующих настроек позволяет снизить риск эффективнее и дешевле. В конечном счёте зрелость функции ИБ определяется не размером освоенного бюджета и количеством внедрённых систем, а способностью объяснить бизнесу, какие риски компания принимает, какие снижает, сколько это стоит и какой эффект дают эти инвестиции».

Владислав Котусов,
исполнительный директор ГК Softline:

«Эффективность расходов на ИБ оцениваем по трём основным показателям:

• количество инцидентов и их динамике год к году,
• размер фактического ущерба в соотношении с выручкой компании и бюджетом на ИБ, 
• уровень зрелости ИБ по пятибалльной шкале.

Важно смотреть на них комплексно: уменьшение числа инцидентов не всегда означает снижение размера потенциальных потерь. Нужно регулярно актуализировать уровень зрелости ИБ. То, что считалось несколько лет назад передовой наивысшей защитой, быстро устаревает и нам опять нужно брать новые вершины для того, чтобы отвечать современным угрозам».

Иван Синецкий,
заместитель директора по информационной безопасности РТК-ЦОД:

«Факт закупки средств защиты информации не является показателем эффективности применяемых мер. Основным, на мой взгляд, всегда был и остаётся риск-ориентированный подход. Прежде всего необходимо определить, от каких угроз мы защищаемся, оценить связанные с ними риски и только после этого выбирать решения для их минимизации.

К основным метрикам эффективных затрат на ИБ относятся общее количество кибератак, количество предотвращённых и успешных атак (критических инцидентов ИБ, которые не удалось предотвратить), а также скорость реагирования».

Пресс-служба Банка НОВИКОМ:

«Бюджет ИБ составляет ежегодно примерно 10% бюджета ИТ и позволяет обеспечивать достаточный уровень информационной безопасности в НОВИКОМе. Среди основных критериев при его составлении:

• сбалансированность расходов,
• соразмерность трат задачам бизнеса,
• соответствие законодательству и нормативным документам Банка России,
• приоритезация.

При составлении бюджета на ИБ НОВИКОМ применяет риск-ориентированный подход, отдавая приоритет защите инфраструктуры и информационных систем, для которых кибератаки наиболее критичны.

Эффективность расходов на информационную безопасность банк оценивает с учётом соотношения между достигнутым результатом и использованными ресурсами. В качестве метрик используются КПУР (контрольные показатели уровня риска) и КИР (ключевые индикаторы риска), установленные Правлением НОВИКОМа. Они дополняют друг друга, но имеют разные задачи. Так, КПУР задают «уровень» допустимого риска, а КИР помогают избежать его превышения, вовремя замечая «тревожные сигналы».

Для эффективного управления рисками ИБ требуется комплексный подход, ориентированный на формализованные КПУР и гибкие КИР, которые учитывают специфику конкретной организации. Требования к КПУР и КИР закреплены в Положении Банка России № 716-П и стандартах ГОСТ Р 57580. Кредитные организации обязаны регулярно рассчитывать фактические значения КПУР, сравнивать их с целевыми показателями и при необходимости инициировать реагирование».

Дмитрий Бабчук,
руководитель направления ИБ и ИТ-инфраструктуры «Флаувау»:

«Главная задача информационной безопасности в нашей компании — действовать на опережение и превентивно закрывать любые риски, до того как они затронут пользователей или сотрудников. Чем быстрее команда обнаружит и нейтрализует угрозу, тем меньше область поражения и ниже финансовые потери для компании. Именно поэтому прямая эффективность ИБ определяется тремя метриками:

• количеством произошедших инцидентов,
• долей уязвимостей, найденных самостоятельно,
• скоростью реакции на них.

В денежном эквиваленте этот результат выражается в объёме предотвращенного ущерба.

При этом косвенным, но важным показателем выступает влияние защиты на бизнес-процессы. Грамотно выстроенная информационная безопасность работает бесшовно и не тормозит продуктовые релизы. При таком раскладе компания без задержек выпускает новый функционал и продолжает зарабатывать».

Пресс-служба ФГ «Финам»:

«Оценивая эффективность затрат на кибербезопасность, «Финам» смотрит на несколько критериев. Во-первых, соответствие регуляторным требованиям. Во-вторых, операционные метрики: скорость обнаружения и устранения угроз, а также предотвращённый ущерб — объём потерь, которых удалось избежать благодаря инвестициям в киберзащиту. Но главный критерий для брокера — доверие клиентов».

Ахметжан Махмутов,
заместитель генерального директора АО «Петербургский нефтяной терминал»:

«Защита — это не товар, который можно купить и поставить на полку. Это процесс, и оценивать его нужно по тому, насколько он снижает реальные риски, а не по тому, сколько денег освоено. В первую очередь организации должны смотреть на финансово-экономические показатели. Но не в смысле «сколько потратили», а «сколько сэкономили». Например, ROI от внедрения средств защиты — это отношение предотвращённого ущерба к затратам. Если вы тратите 10 миллионов, а предотвращаете ущерб на 100 миллионов, это эффективно. Другой параметр — TCO, совокупная стоимость владения, включая обслуживание, обучение персонала, обновления. Часто забывают, что после покупки лицензии нужно ещё платить за её поддержку и людей.

Технические метрики более привычны для ИТ-служб. Это, прежде всего, MTTD (среднее время обнаружения инцидента) и MTTR (среднее время реагирования). Чем они ниже, тем лучше. Также важно количество выявленных и закрытых уязвимостей, доля критических уязвимостей, которые удалось устранить в срок. Регулярные пентесты и сканирования показывают реальную картину. Но если пентест не находит проблем, это не всегда значит, что их нет — возможно, тестирование было поверхностным.

Организационные метрики часто недооценивают. А зря. Человеческий фактор — по-прежнему главная причина утечек. Поэтому ключевой критерий — результаты фишинг-тестов и киберучений. Если сотрудники кликают на подозрительные ссылки в 30% случаев, никакие технические средства не спасут. Также важна зрелость процессов: есть ли регламенты, кто отвечает за ИБ, как быстро информация доходит до руководства. Отдельно стоит сказать о регуляторных метриках. Для российских организаций критично соответствие 152-ФЗ, 187-ФЗ о КИИ, требованиям ФСБ и ФСТЭК. Отсутствие штрафов — это тоже показатель, но не главный. Важнее — реальная защищённость, а не бумажки.

Наконец, стратегические метрики. Насколько бюджет на ИБ помогает достигать бизнес-целей? Если компания выходит на новые рынки или запускает цифровые сервисы, защита должна быть встроена в эти процессы. Оценка киберрисков должна быть частью корпоративного риск-менеджмента».

Пресс-служба Ozon Банка:

«Эффективность расходов на информационную безопасность важно оценивать не только по объёму вложений, но и по конкретным результатам. Например, один из показателей — выполнение всех регуляторных требований в установленные сроки, включая необходимые изменения в процессах, инфраструктуре и организации работы подразделений ИБ.

Ещё один показатель эффективности — реальные результаты работы системы защиты. После устранения причин критичные технические инциденты не должны повторяться. При этом приоритет стоит отдавать мерам, которые позволяют предотвращать угрозы, а не только выявлять их после того, как атака уже произошла.

Важно оценивать и обоснованность закупок оборудования, информационных систем и услуг. Приобретаемые технические средства должны иметь необходимую поддержку или обеспечиваться достаточной внутренней экспертизой. В части услуг внешний консалтинг целесообразно привлекать там, где требуется независимая оценка или отсутствуют необходимые компетенции внутри компании. Если же решение в дальнейшем можно развивать и поддерживать собственными силами, такую возможность стоит учитывать при планировании внутренней разработки.

В целом при оценке эффективности бюджета необходимо учитывать долгосрочные риски: зависимость от конкретных поставщиков, риски информационной безопасности при передаче функций на аутсорс, а также несоответствие стоимости внедряемых решений актуальной модели угроз. В таком подходе эффективность расходов на ИБ определяется не количеством приобретённых продуктов и сервисов, а тем, насколько инвестиции позволяют одновременно выполнять обязательные требования, снижать риски и сформировать устойчивую систему защиты без необоснованного увеличения затрат».