Ключевые киберриски, которые советы директоров должны учитывать для обеспечения устойчивости бизнеса

Советы директоров должны учитывать четыре ключевых киберриска

Эксперты в области кибербезопасности подчеркивают, что корпоративные советы директоров должны уделять первоочередное внимание четырём ключевым киберрискам для обеспечения непрерывности бизнеса в эпоху, когда кибератаки становятся всё более неизбежными. По словам Стива Дербина, эти риски нельзя оставлять на уровне "фоновых шумов", если организации стремятся выжить и преуспеть даже после успешных атак.

Необходимость обеспечения устойчивости бизнеса

Современный ландшафт кибербезопасности определяется суровой реальностью: предотвращение каждой атаки больше не представляется возможным. Вместо этого акцент сместился на обеспечение непрерывной работы бизнеса даже в случае успешных атак. Этот подход требует от советов директоров проактивной позиции, интеграции киберустойчивости в стратегические процессы принятия решений.

Четыре риска, которые советы директоров не могут игнорировать

Хотя в оригинальной статье не указаны четыре риска подробно, специалисты по безопасности выделяют следующие критические области, требующие внимания на уровне совета директоров:

1. Программы-вымогатели и атаки с целью вымогательства

   • Распространение моделей ransomware-as-a-service (RaaS) и тактик двойного вымогательства сделало эти атаки более частыми и разрушительными. Советы директоров должны оценить готовность своей организации к подобным инцидентам, включая целостность резервных копий, планы реагирования на инциденты и финансовые резервы для выплат выкупа (там, где это разрешено законом).

2. Уязвимости цепочки поставок

   • Сторонние поставщики и партнёры часто становятся точками входа для злоумышленников. Масштабные инциденты, такие как атаки на SolarWinds (CVE-2020-10148) и Kaseya (CVE-2021-30116), подчёркивают необходимость строгого управления рисками цепочки поставок. Советы директоров должны требовать постоянного мониторинга безопасности третьих сторон и соблюдения контрактных обязательств по стандартам кибербезопасности.

3. Внутренние угрозы и человеческий фактор

   • Внутренние угрозы, будь то злонамеренные или случайные, остаются постоянным риском. Советы директоров должны обеспечить внедрение в организациях архитектур с нулевым доверием (zero-trust), строгих механизмов контроля доступа и программ обучения сотрудников для снижения этих рисков. Кроме того, мониторинг аномального поведения может помочь в раннем обнаружении потенциальных внутренних угроз.

4. Нарушения регуляторных требований и соответствия

   • Несоблюдение постоянно меняющихся нормативных актов (например, GDPR, CCPA, NIS2) может привести к серьёзным финансовым штрафам и репутационным потерям. Советы директоров должны быть в курсе изменений в регуляторной среде и обеспечивать проактивную стратегию соответствия, включая регулярные аудиты и оценку рисков.

Анализ последствий: почему эти риски важны

Игнорирование этих рисков может привести к катастрофическим последствиям, включая:

• Нарушение операционной деятельности: Длительные простои из-за программ-вымогателей или атак на цепочку поставок могут парализовать бизнес-процессы, приводя к потере доходов и оттоку клиентов.
• Финансовые потери: Помимо выплат выкупа, организации сталкиваются с затратами на реагирование на инциденты, юридические издержки, штрафы регуляторов и восстановление репутации.
• Репутационный ущерб: Одна крупная утечка данных может подорвать доверие клиентов и инвесторов, негативно сказавшись на долгосрочной прибыльности.
• Стратегические неудачи: Советы директоров, не уделяющие должного внимания этим рискам, могут поставить свои организации в невыгодное конкурентное положение, особенно в отраслях, где киберустойчивость является ключевым фактором дифференциации.

Рекомендации для советов директоров

Для эффективного управления этими рисками советам директоров следует:

1. Требовать регулярной отчётности по киберрискам

   • Обеспечить интеграцию метрик кибербезопасности и данных о киберугрозах в обсуждения на уровне совета директоров. Это включает отслеживание ключевых показателей эффективности (KPI), таких как среднее время обнаружения (MTTD) и среднее время реагирования (MTTR).

2. Выделять ресурсы на обеспечение устойчивости

   • Инвестировать в технологии и процессы, повышающие устойчивость, такие как неизменяемые резервные копии, системы обнаружения и реагирования на конечных точках (EDR) и платформы оркестровки, автоматизации и реагирования на инциденты (SOAR).

3. Формировать культуру осведомлённости о безопасности

   • Поощрять подход "сверху вниз" к кибербезопасности, где руководство демонстрирует приверженность лучшим практикам, а сотрудники получают возможность сообщать о потенциальных угрозах.

4. Проводить сценарное планирование

   • Регулярно организовывать тренинги и учения для моделирования сценариев кибератак, чтобы совет директоров и руководство были готовы эффективно реагировать.

5. Сотрудничать с коллегами по отрасли

   • Участвовать в инициативах по обмену информацией (например, ISACs, Совместная группа по киберзащите CISA) для получения актуальной информации об угрозах и стратегиях их смягчения.

Заключение

В условиях, когда кибератаки становятся вопросом "когда", а не "если", советам директоров необходимо сместить фокус с предотвращения на обеспечение устойчивости. Уделяя первоочередное внимание четырём критическим рискам, описанным выше, организации смогут лучше подготовиться к неизбежным угрозам и обеспечить непрерывность бизнеса в условиях неблагоприятных обстоятельств. Время для действий советов директоров настало — до того, как эти риски превратятся в кризисы.