Если выбрать одно действие, с которого безопасность компании становится управляемой, я бы выбрал такое: в компании должен появиться человек, который напишет план работ по ИБ и будет вести его месяцами и годами. Когда отдельного руководителя по безопасности нет, этим человеком часто оказывается ИТ-директор.
Человек с планом
Средства защиты, подрядчики, аудиты — инструменты этого плана. Без него они превращаются в набор разовых покупок.
Идеальный вариант — найти специалиста по ИБ и выстроить работу с внешними компаниями, которые умеют оказывать услуги по безопасности. Пока его нет, роль стоит закрепить явно, с полномочиями и временем на неё. Если ответственность записана на ИТ-службу, а плана и времени под неё нет, безопасностью занимаются урывками, от инцидента к инциденту.
Требования ИБ как инструмент стабильности
Я смотрю на требования ИБ как на инструмент стабильности ИТ: со временем они заметно снижают нагрузку на ИТ-службу — становится меньше инцидентов и срочных восстановлений.
Когда в компании появляется отдельный руководитель ИБ, ему нужен дипломатический навык: быть в постоянном диалоге с ИТ, без вражды и конкуренции. Вместе проще расставить приоритеты и в первую очередь закрыть уязвимости с самым высоким риском. Если ИБ и ИТ пока в одних руках, приоритеты согласовать проще. Тем полезнее время от времени звать внешнего аудитора: проверять собственную работу всегда сложнее.
Безопасность участвует в изменениях
Одного специалиста, чтобы закрыть все риски внутренней и внешней инфраструктуры, мало — у нас в штате их несколько. И им важно участвовать в основных бизнес-процессах: в разработке, запуске новых продуктов и сервисов, планировании крупных изменений инфраструктуры. Заложить защиту в проект дешевле, чем достраивать её после запуска.
Руководству компании здесь отводится особая роль: быть готовым к внедрению процессов безопасности, соблюдать общие правила самому и вдохновлять на это коллектив.
Три первых шага
Если начинать с минимума, я бы сделал три шага:
1. Закрепить ответственность за ИБ за конкретным человеком, с полномочиями и временем на эту работу.
2. Провести инвентаризацию активов и понять, какие риски для компании критичны.
3. Составить план работ с приоритетами и решить, что делать своими силами, а что поручить внешним компаниям.
Отправная точка
Задайте себе вопрос: «Кто в вашей организации несёт ответственность за информационную безопасность?» Ответ на него и есть отправная точка для того самого плана. На интенсиве каждый участник получает по своей компании карту рисков, список первоочередных мер и план развития ИБ.