Десять миллионов — это много? А сто? А пятьсот?
Эти вопросы регулярно задают себе как CISO, так и собственники бизнеса. Давайте попробуем найти на него ответ.
Первая мысль — никакая система защиты информации не может стоить больше, чем сама информация.
Разумеется, здесь речь идет не только о стоимости информации как актива, но и об утрате информации, нарушении ее целостности и полноты, простое предприятия, штрафах регуляторов, а также любых других сценариях в информационной инфраструктуре, которые приводят к негативным последствиям.
В общем случае принять решение об адекватности стоимости мер защиты можно, посмотрев на формулу:
p × q – Z, где
Z — совокупная стоимость мер защиты,
p — вероятность негативного сценария,
q — денежные потери при реализации этого сценария.
Дальше все просто — если в результате расчета получилось больше нуля, совокупная стоимость мер защиты приемлемая. Если меньше нуля — не очень.
Однако чем больше смотришь на эту формулу, тем отчетливее понимаешь, что что-то не так.
Что же именно?
Ответ простой — никакая защита не дает 100% гарантии защиты от негативных последствий.
Поэтому наша формула должна, скорее, выглядеть так:
p1 × q – (Z + p2 × q), где
p1 — вероятность негативного сценария до реализации мер защиты,
p2 — вероятность негативного сценария после реализации мер защиты.
Очевидно, что p2 должна быть меньше, причем существенно меньше, чем p1.
И тут возникает важный вопрос — если Z и q посчитать достаточно легко, так как любой бизнес знает стоимость своих потенциальных потерь, а стоимость мер защиты посчитает любой надежный партнер по информационной безопасности, то как можно измерить — это в идеале, но хотя бы просто попытаться — это самое изменение вероятности?
В этом могут помочь проведение экспертных аудитов и тестов на проникновение.
А вы что думаете? Оцениваете риски и вероятности негативных событий?
