ИБ-стратегия на основе бизнес-рисков: гайд CISO

Понедельник, 9:15 утра. Производственная компания на 2 000 сотрудников: SOC фиксирует массовые алерты от EDR - файловые серверы шифруются, ERP недоступна, конвейер стоит. Бэкап-процесс выстроен - за четыре дня данные восстановлены. Но к этому моменту простой производства, штрафы по SLA с тремя ключевыми заказчиками и расходы на incident response суммарно перевалили за 40 млн рублей.

Тремя месяцами ранее компания прошла аудит на соответствие 152-ФЗ без замечаний. Compliance был. ИБ-стратегии, привязанной к бизнес-рискам, - не было.

По данным Verizon DBIR 2025, 68% утечек связаны с человеческим фактором, а по IBM X-Force 2025 среднее время между публикацией CVE и устранением в организации - 29 месяцев. Разрыв между "формально защищены" и "реально устойчивы" измеряется десятками миллионов. Закрыть его можно только через risk-based security подход.

Compliance против risk-based: почему чеклисты не закрывают бизнес-риски кибербезопасности​

Compliance отвечает на вопрос "Соответствуем ли мы стандарту?". Risk-based подход - "Какие потери мы можем понести?". Пересечение между ними - процентов 40. Подробнее - в нашем материале про зрелость программы кибербезопасности.

Типичная картина: компания закрыла требования ФСТЭК по 187-ФЗ (КИИ), прошла аудит ISO 27001, формально выполняет контроли NIST SP 800-53 по семействам AC (Access Control), AU (Audit and Accountability), IA (Identification and Authentication). Зрелость на бумаге - выше средней. А реестр рисков - таблица в Excel на 200 строк, обновлённая к прошлому аудиту. Без привязки к бизнес-процессам, без квантификации, без detection mapping.

Что упускает compliance-подход:

• Контекст бизнеса. Закон одинаково требует защищать ПДн клиентской базы и маркетинговую рассылку. Risk-based подход различает: утечка клиентской базы - оборотные штрафы плюс потеря клиентов; утечка рассылки - репутационный шум с минимальным финансовым ущербом.
• Приоритизацию. Compliance требует "закрыть всё". Бюджет конечен. Без приоритизации по ущербу ресурсы размазываются ровным слоем - критичные системы защищены не лучше тестовых стендов.
• Динамику угроз. По CrowdStrike Global Threat Report 2025, доля вторжений через действительные учётные данные - Valid Accounts (T1078, Initial Access / Persistence / Privilege Escalation) - достигла 75%. Большинство compliance-чеклистов покрывают этот вектор формально: контроль сложности паролей. Мониторинг аномального использования легитимных аккаунтов и скомпрометированных хостов остаётся за рамками аудита.

Построение ИБ-стратегии через бизнес-риски: пошаговый процесс​

ARO для производственной компании среднего размера с текущим уровнем защиты - оценка на основе отраслевой статистики и данных CTI: ~0,15 (один инцидент раз в 7 лет).

ALE = 76,3 * 0,15 = 11,4 млн Р/год.

Откуда брать ARO - вопрос, который задают всегда. Три источника: исторические данные о собственных инцидентах; CTI-отчёты по отрасли (Group-IB в своём блоге описывает, как Cyber Threat Intelligence помогает мониторить TTPs активных группировок и конвертировать активность в частоту); отраслевые бенчмарки от страховщиков киберрисков. Ни один не даёт точности до второго знака - но даже грубая оценка лучше интуиции.

Аргумент для CFO: инвестиции в снижение ARO на 50% (с 0,15 до 0,075) через EDR на критичных хостах, сегментацию сети и hardening публичных сервисов обойдутся в 8 млн рублей в год. ALE снижается с 11,4 до 5,7 млн. ROI положительный уже в первый год.

Шаг 3 - Приоритизация через risk appetite и управление киберрисками бизнеса​

Risk appetite - не абстракция. Это зафиксированное решение руководства: "Мы принимаем остаточный риск до X млн рублей по категории Y". Без этого документа CISO не может объяснить, почему одни риски закрываются, а другие - нет.


Третья строка - про insider threat через Valid Accounts (T1078). И вот тут risk-based подход помогает не только тратить, но и НЕ тратить. Residual risk (5,1 млн) укладывается в appetite с минимальным превышением. Вместо полноценного UBA-стека за 12 млн достаточно ужесточить мониторинг привилегированных учёток в SIEM: baseline нормального поведения плюс алерт на аномалию.

По данным CrowdStrike, 75% вторжений используют действительные учётные данные. Скомпрометированный легитимный хост неотличим от "нормального" без baseline поведения - а построить baseline в существующем SIEM дешевле, чем разворачивать отдельную UBA-платформу. Detection тут дешевле prevention.

Обоснование бюджета ИБ перед советом директоров​

One-pager для CFO: шаблон защиты инвестиций в ИБ​

CFO не читает 40-страничные отчёты. Работает одна страница:

1. Заголовок: "Инвестиции в ИБ: снижение годового ожидаемого ущерба на 38 млн P при затратах 14 млн P"
2. Текущая экспозиция (3 строки): топ-3 риска с ALE и совокупный ALE
3. Предлагаемые меры (таблица): мера - стоимость - снижение ALE - ROI
4. Что будет без инвестиций (2 строки): оборотные штрафы за утечку ПДн; медианный выкуп ransomware по Verizon DBIR 2025 - $46 000, максимальный зафиксированный - $75 млн
5. Запрос (1 строка): сумма, срок, ожидаемый результат

Типичные возражения и ответы с циф"ами:

KPI для ИБ-стратегии в языке бизнеса​

SOC-метрики - MTTD, MTTR, количество алертов - бесполезны для совета директоров без трансляции. Задача CISO - привязать каждый показатель к финансовому результату.

CISO roadmap: от реестра рисков к detection-метрикам в SIEM​

Реестр рисков без привязки к SOC - декоративный артефакт. Каждый бизнес-риск должен иметь detection mapping: какие алерты сигнализируют о начале реализации именно этого риска. Без этого SOC генерирует тысячи алертов и не может приоритизировать - потому что не знает, какие из них угрожают бизнес-критичным процессам.


Правило корреляции для precursor'ов ransomware, привязанное к бизнес-риску #1 (простой ERP, ALE 11,4 млн ₽):
В risk-based подходе это правило работает иначе, чем обычная Sigma-корреляция. При срабатывании алерт эскалируется не только дежурному аналитику SOC, но и владельцу бизнес-процесса из карты шага 1. Playbook incident response включает решение бизнес-уровня: заморозить транзакции до подтверждения scope инцидента.

Модель зрелости информационной безопасности - скелет roadmap:


Для компании на уровне 2 бессмысленно строить SOC 24/7 - сначала нужен risk register с detection mapping. Для компании на уровне 4 основная задача - автоматизация: SOAR-playbook'и, снижение false positive rate, сокращение MTTR. Перескочить уровень нельзя - каждый следующий опирается на артефакты предыдущего.

По NIST CSF 2.0, функция Govern (GV) стоит первой среди шести - Govern, Identify, Protect, Detect, Respond, Recover - и явно включает привязку кибербезопасности к бизнес-стратегии и коммуникацию CISO с топ-менеджментом. Без governance функции Detect и Respond работают вслепую: SOC генерирует алерты, но не может ранжировать их по бизнес-ущербу.

За последние три года я участвовал в защите бюджетов ИБ для компаний с выручкой от 500 млн до 15 млрд рублей. Закономерность одна и та же: если CISO приходит к руководству с ALE-расчётом и one-pager'ом на языке финансов - бюджет утверждается за две итерации. Если приходит со списком "нам нужен EDR, SIEM, DLP, WAF" - получает 30% от запрошенного и задание "обосновать подробнее".

Проблема не в руководстве, которое «не понимает ИБ». Индустрия привыкла говорить на языке угроз, а бизнес говорит на языке рисков. "APT может скомпрометировать сеть" - абстрактный страх. "Мы потеряем 76 млн рублей и получим оборотный штраф" - строка в отчёте о прибылях и убытках.

С введением оборотных штрафов за утечки ПДн у CISO впервые появился числовой аргумент, который финансовый директор не может проигнорировать. Через два-три года штрафы станут рутиной, эффект новизны исчезнет. Не использовать это окно - стратегическая ошибка.

Ещё одно наблюдение: компании, где risk register привязан к SIEM-алертам, обнаруживают инциденты в 3-4 раза быстрее тех, где эти процессы живут параллельно. 11 дней медианного dwell time по Mandiant M-Trends 2025 - это метрика для организаций, где detection и risk management существуют в разных вселенных. Если интересно, как другие команды выстраивают эту связку - на codeby.net есть тред, где обсуждают схемы привязки ALE к SIEM-алертам и разбирают типовые ошибки при квантификации рисков.