Обґрунтування інвестицій у кібербезпеку вимагає пошуку балансу між технічною експертизою та мовою бізнесу. Окупність інвестицій (ROI) у кібербезпеці базується на чотирьох основах: скороченні операційних витрат, дотриманні нормативних вимог, зниженні ризиків та нових можливостях для бізнесу. Хоча оптимізація витрат і дотримання комплаєнсу підсилюють аргументацію, справжня цінність виникає тоді, коли заходи зі зниження ризиків узгоджуються із загальною стратегією компанії. Керівникам напряму безпеки необхідно взаємодіяти з топ менеджментом, прагматично оцінювати потенційні наслідки та позиціонувати безпеку як стратегічний актив, а не як центр витрат.
Виклики ROI в ІТ безпеці
Спеціалісти з кібербезпеки мають необхідність обґрунтовувати витрати на безпеку. Бюджети на IT здебільшого не зростають. До того ж часто доводиться перерозподіляти вже виділені кошти, щоб адаптуватися до мінливих потреб бізнесу. Водночас топменеджмент і члени рад директорів усе гостріше усвідомлюють сучасні кіберризики та ціну ігнорування цих питань. Вони очікують, що ІТ-команди та лідери з інформаційної безпеки нададуть конкретні дані, які дозволять ухвалювати максимально ефективні рішення щодо інвестицій у захист.
Саме на цьому етапі багато компаній стикаються з несподіваною перешкодою. Десятиліттями сфера ІТ загалом та інформаційна безпека зокрема, розглядалися як суто технічні дисципліни, а на керівні посади призначали провідних технічних спеціалістів. Такі фахівці здатні детально розібрати будь-яке складне технологічне питання, але не всі з них володіють «мовою бізнесу». Це ускладнює взаєморозуміння та заважає обом сторонам діалогу ухвалювати продуктивні рішення.
Іншим викликом для багатьох ІТ-керівників є брак фактичних даних, на які можна спиратися. Технологічна сфера базується на фактах та оперує точними, обґрунтованими показниками. Наприклад, завжди можна надати звіт про кількість інцидентів за певний період або про час, витрачений на встановлення патчу на вразливий сервер. Проте як продемонструвати очікувану окупність інвестицій у безпеку, не переходячи в площину припущень та ймовірностей? Така ситуація виводить багатьох ІТ-фахівців із зони комфорту.
Фахівці з Netwrix проаналізували наявні підходи та практики у цій сфері.
Чотири складові ROI
Під час обговорення інвестицій у безпеку (чи то в персонал, процеси, чи в технології) ключовим завжди залишається одне питання: як саме це окупиться? Відповіді можуть суттєво відрізнятися, проте загалом їх можна звести до однієї або кількох із чотирьох категорій:
- Ця інвестиція заощадить кошти шляхом зниження поточних витрат.
- Ця інвестиція забезпечить дотримання договірних зобов’язань, а також галузевих чи державних регуляторних вимог.
- Ця інвестиція знизить ризики для бізнесу (шляхом зменшення ймовірності інцидентів, їхніх наслідків або обох факторів одночасно).
- Ця інвестиція дозволить реалізувати нові можливості для бізнесу.
Усі чотири елементи є вагомими аргументами на користь фінансування. Проте яке місце займає кожен із них у загальному діалозі та як об’єднати їх у цілісну стратегію? Доцільно проаналізувати кожен елемент окремо.
Скорочення операційних витрат
Економія коштів є одним із найочевидніших показників ROI, особливо у випадках, коли обов’язки із забезпечення захисту покладено на директора ІТ або керівника ІТ-підрозділу. Якщо проєкт дозволяє зменшити обсяги зберігання даних, раціоналізувати використання ліцензій або оптимізувати витрати часу та ресурсів завдяки автоматизації, очікувану рентабельність можна розрахувати з високою точністю.
Головне застереження полягає в тому, що фінансова вигода ніколи не повинна бути єдиним мотивом для інвестування. Основна мета інформаційної безпеки – мати змогу керувати ризиками, тому реалізація будь-якого проєкту без урахування цього фактора як відправної точки є стратегічною помилкою. Водночас оптимізація витрат слугує чудовим додатковим аргументом на користь рішень, які мінімізують критичні для бізнесу ризики.
Комплаєнс
Організації чудово розуміють, що виконання відповідних вимог комплаєнсу є обов’язковою базовою умовою для ведення бізнесу. Багато команд з інформаційної безпеки цим користуються, позиціонуючи нові безпекові ініціативи як необхідність для забезпечення комплаєнсу. У професійних спільнотах або на профільних конференціях нерідко можна почути пораду на кшталт: «використовуйте комплаєнс для фінансування ініціатив із кібербезпеки».
Загалом, нормативні акти дійсно намагаються встановити мінімальні стандарти для захисту певних типів даних або напрямів діяльності. Однак жоден регламент не здатен запропонувати універсальної інструкції щодо захисту конкретного бізнесу від актуальних загроз у будь-який визначений момент часу.
Комплаєнс може бути ефективним інструментом для ініціювання діалогу про ROI та привернення уваги в організаціях із нижчим рівнем зрілості, де топменеджмент недостатньо усвідомлює масштаб реальних ризиків. Однак це досить небезпечний шлях: вкрай важливо не піддаватися хибному відчуттю безпеки, яке виникає після формального виконання всіх пунктів у регуляторних чеклістах.
Ще одна пастка, якої слід уникати, це формування стереотипу, нібито команда з ІТ безпеки є «необхідним злом», яке вище керівництво змушене терпіти та фінансувати, але з радістю ліквідувало б за першої ж нагоди.
Це зовсім не означає, що питання комплаєнсу слід оминати під час обговорення бюджетів. Навпаки, глибоке розуміння поточних та майбутніх нормативних вимог у відповідній галузі та юрисдикції є абсолютно необхідним. Однак, як і у випадку зі скороченням операційних витрат, надмірне покладання на комплаєнс як на головний інструмент обґрунтування інвестицій у безпеку буде стратегічною помилкою.
Зменшення ризиків
Головна мета будь-якого підрозділу з інформаційної безпеки полягає в управлінні ризиками та їх мінімізації. Однак розуміння природи ризиків буває неочевидним. Наприклад, чи становить щойно виявлена вразливість реальну небезпеку для конкретної організації? Чи доцільно реагувати на повідомлення про діяльність угруповань APT, що підтримуються на державному рівні (як-от Lazarus)?
Ключовим завданням є узгодження інтересів інформаційної безпеки із загальною корпоративною стратегією управління ризиками для бізнесу. Оборонні чи фінансові установи зазвичай мають зрілу та налагоджену стратегію, яка нерідко передбачає окрему посаду директора з управління ризиками (Chief Risk Officer). За наявності такого фахівця в компанії, його досвід варто переймати в першу чергу. Водночас відповідні стратегічні рішення ухвалюються в будь-якій структурі на постійній основі, і найчастіше ця відповідальність покладається на фінансового та генерального директорів (CFO та CEO). Саме їхня експертиза є критично важливою для розробки послідовної та узгодженої стратегії на рівні всього підприємства.
Ігнорування цього підходу призводить до додаткового навантаження та може залишити бізнес вразливим до реальних загроз, які ІТ-підрозділ може недооцінити через недостатню взаємодію з керівництвом.
Для оцінки потенційних фінансових втрат, рівня загроз та ефективності їх мінімізації доцільно спиратися на експертну думку. Однак це не означає, що розрахунки мають базуватися виключно на здогадках. Уникнути припущень допоможе комплексний підхід:
- Внутрішній аналіз. Варто вивчати наявні корпоративні процеси управління загрозами та забезпечувати узгодженість із ними. Для цього необхідно налагодити взаємодію з вищим керівництвом (C-suite), адже саме їхня оцінка потенційних збитків є критично важливою для правильних розрахунків.
- Зовнішній досвід. Корисно долучатися до профільних спільнот чи форумів керівників з інформаційної безпеки (CISO), щоб переймати практики інших організацій. Ще одним цінним джерелом є галузеві дослідження, як-от щорічний звіт «Cost of Data Breach Report» від Ponemon Institute за підтримки IBM.
Процес не варто надмірно ускладнювати – достатньо затвердити єдиний підхід і послідовно його застосовувати. Уже за кілька кварталів з’явиться можливість відстежувати (та аргументовано доводити) певні тенденції, а за необхідності – вчасно коригувати обрану стратегію.
Можливості для бізнесу
Протягом останніх років на різноманітних галузевих заходах активно обговорюється концепція «безпеки як рушійної сили бізнесу». Хоча більшість експертів погоджується з перспективністю цієї ідеї, далеко не всім організаціям вдається успішно втілити такий підхід на практиці.
Як і з іншими аспектами розрахунку ROI, критичне значення тут має комунікація. Необхідно вибудовувати зв’язки та підтримувати постійний контакт із вищим керівництвом і лідерами окремих напрямів бізнесу. Це дасть змогу інтегрувати питання кіберзахисту в обговорення кожного нового проєкту, роблячи їх невіддільною частиною плану впровадження ще на початкових етапах.
Оскільки служба безпеки зазвичай не виступає власником нових бізнес-проєктів, точна оцінка їхньої загальної рентабельності лежить поза її компетенцією. Проте це і не вимагається. Подібні ініціативи доцільно використовувати як вагомий аргумент під час обговорення ROI, не намагаючись при цьому оперувати конкретними фінансовими показниками.
Висновок
Практичне оцінювання ROI у сфері кібербезпеки починається з експертного аналізу. Рівень зниження загроз від кожної інвестиції доцільно визначати на основі наявної інформації. Оскільки досягти абсолютної точності не завжди можливо, доводиться приймати певну частку невизначеності. Якщо компанія вже володіє експертизою з управління ризиками в інших підрозділах, варто вивчати та застосовувати затверджені внутрішні методи. Крім того, оцінювання має підкріплюватися доступними інструментами, ретроспективними даними та галузевою аналітикою.
Керівникам напряму безпеки також необхідно спілкуватися мовою бізнесу. Інформаційна безпека вже давно не є виключно технічним питанням. Тісна співпраця з фінансовим директором (CFO), директором з управління ризиками (CRO) та генеральним директором (CEO) дозволяє ІТ-команді краще осягнути специфіку загроз для бізнесу. Водночас такий діалог допомагає вищому керівництву сформувати чіткіше розуміння кібербезпеки. Комплексна програма управління ризиками, що охоплює фінансові, репутаційні, операційні та аспекти безпеки, здатна зміцнити позиції компанії одразу в кількох напрямах.
Не менш важливою є відкрита комунікація з лідерами всіх бізнес-підрозділів. Витрати на системи захисту можуть і часто повинні закладатися в нові проєкти та перспективні бізнес-можливості. Залучення фахівців із безпеки на ранніх етапах значно полегшує позиціювання цього напряму як стратегічної ініціативи, а не просто як статті витрат.
Підсумовуючи, усі чотири аргументи щодо обґрунтування ROI слід застосовувати збалансовано. Мінімізація ризиків завжди повинна залишатися відправною точкою. Однак кожну інвестицію доцільно також оцінювати крізь призму її здатності забезпечувати комплаєнс, знижувати операційні витрати та відкривати нові можливості для бізнесу.
