Кибербезопасность — стратегический риск, не ИТ-проблема
Традиционная модель: кибербезопасность — ответственность ИТ-директора. Совет директоров занимается «важными» вещами — стратегией, финансами, M&A. Кибербезопасность делегируется менеджменту с минимальным контролем.
Эта модель устарела. По данным IBM Cost of Data Breach Report 2024, средняя стоимость утечки данных — $4,88 млн. Для крупных компаний — десятки и сотни миллионов с учётом репутационного ущерба, регуляторных штрафов и судебных исков. Акционерная стоимость компаний, переживших значимые кибератаки, в среднем снижается на 8% в течение года после инцидента.
SEC (американский регулятор) в 2023 году ввёл обязательное раскрытие кибератак в течение 4 рабочих дней и требование ежегодного раскрытия компетенций СД в области кибербезопасности. Европейский NIS2 устанавливает личную ответственность членов органов управления за кибербезопасность. Тренд глобальный — регуляторы делают кибербезопасность вопросом персональной ответственности директоров.
Что СД должен знать и контролировать в кибербезопасности
Директора не обязаны быть техническими экспертами по кибербезопасности. Но они обязаны задавать правильные вопросы и понимать ответы.
Уровень риска. Каков наш уровень зрелости кибербезопасности в сравнении с отраслью? (Оцените по NIST Cybersecurity Framework или аналогу.) Какие активы наиболее критичны и уязвимы? Проводился ли независимый пентест за последний год?
Управление инцидентами. Есть ли у нас задокументированный план реагирования на кибератаку? Когда он последний раз тестировался (tabletop exercise)? Кто принимает решение об уплате выкупа в случае ransomware?
Регуляторный комплаенс. Соответствуем ли мы применимым требованиям (152-ФЗ, GDPR для международных операций, отраслевые требования)? Были ли регуляторные проверки за последний год, и каковы их результаты?
Цепочка поставок. Проверяется ли кибербезопасность наших ключевых поставщиков и партнёров? Многие громкие взломы произошли через подрядчиков (SolarWinds, Target).
Страхование. Есть ли у нас киберстрахование? Покрывает ли оно реальные риски — выкуп, восстановление систем, регуляторные штрафы?
Бесплатная диагностика — результат за 5 минут
Построение системы киберустойчивости на уровне совета
Концепция киберустойчивости (cyber resilience) принципиально отличается от традиционной кибербезопасности. Если кибербезопасность фокусируется на предотвращении инцидентов, то киберустойчивость исходит из реалистичной предпосылки: инцидент произойдёт — вопрос в том, насколько быстро компания восстановится и насколько ограничит ущерб.
Фреймворк NIST Cybersecurity Framework 2.0 предлагает пять функций, которые совет директоров может использовать как структуру для контроля: Identify (идентификация активов и рисков), Protect (защитные меры), Detect (обнаружение угроз), Respond (реагирование на инциденты), Recover (восстановление). Для каждой функции СД должен понимать текущий уровень зрелости и целевой показатель. Практика показывает, что компании, регулярно оценивающие себя по NIST CSF, обнаруживают утечки на 74 дня быстрее, чем те, кто не использует структурированных фреймворков.
ISO 27001 — международный стандарт управления информационной безопасностью — всё чаще становится обязательным требованием в контрактах с крупными клиентами и государственными заказчиками. Сертификация по ISO 27001 демонстрирует партнёрам и регуляторам, что компания системно управляет информационной безопасностью. Для российских компаний дополнительно актуален ГОСТ Р 57580 — стандарт безопасности финансовых операций.
Российский контекст: 152-ФЗ и ФСТЭК. Федеральный закон 152-ФЗ «О персональных данных» устанавливает обязательные требования к защите персональных данных, включая локализацию хранения на территории России. Нарушения караются штрафами до 18 млн рублей (с 2024 года значительно увеличены), а в перспективе — оборотными штрафами. ФСТЭК России регулирует требования к защите критической информационной инфраструктуры (КИИ) — категории, к которой относятся многие промышленные и финансовые компании. Совет директоров должен убедиться, что компания проходит аттестацию информационных систем в соответствии с требованиями ФСТЭК.
На практике мы рекомендуем совету директоров ежеквартально получать «кибер-дашборд» — краткий отчёт, содержащий: количество и критичность инцидентов за период, статус устранения выявленных уязвимостей, результаты последнего тестирования на проникновение, обновления регуляторных требований. Этот дашборд не требует технических знаний для интерпретации — он использует «светофорную» систему и фокусируется на бизнес-рисках, а не на технических деталях.