Проблема: Руководство не видит прямой корреляции между затратами на ПО и снижением рисков. Текущий процесс управления рисками — разрозненные Excel-файлы, субъективные оценки, отсутствие метрик для аудиторов и регуляторов (ФСТЭК, ЦБ).
Причины:
1. Нет единой базы активов и угроз: Оценка рисков не привязана к реальной инфраструктуре (IP, хосты, ПО).
2. Ручной расчет ущерба: Невозможно быстро смоделировать финансовые потери от реализации угрозы (RTO/RPO не учитываются).
3. Дублирование усилий: Данные о уязвимостях из NGFW, SIEM, сканеров не консолидируются в единую картину рисков.
Решение:
1. Формула ROI для руководства:
`ROI = (Снижение стоимости инцидентов — Затраты на платформу) / Затраты на платформу 100%`
Пример расчета: Платформа (2 млн руб/год) автоматически выявляет 5 критических активов с риском утечки данных. Средняя стоимость инцидента — 10 млн руб. Предотвращение 2 инцидентов за год = 20 млн руб экономии. ROI = (20-2)/2 100% = 900%.
2. Юридическая обоснованность:
Ссылка на Приказ ФСТЭК №21 (п. 10, 14): необходимость "автоматизации процессов оценки и управления рисками".
152-ФЗ "О персональных данных" (ст. 18.1): оператор обязан "оценивать вред, который может быть причинен субъектам ПДн". Платформа предоставляет количественную шкалу (низкий/средний/высокий) с доказательной базой (логи расчетов).
3. Техническая интеграция (легально):
Загрузите в демо-версию платформы структуру активов через API (REST) из собственного CMDB или Qualys/Tenable.
Команда для теста: `curl -X GET "https://ваша_платформа/api/v2/risks?status=critical&last_updated=2024-01-01" -H "Authorization: Bearer TOKEN"` — покажите, что платформа ранжирует "критические" риски, которые были проигнорированы вручную.
4. Метрика для отчета:
До: 200 активов → 20 неоцененных (10% риск-слепых зон).
После: Платформа охватывает 100% активов, генерируя Heatmap с топ-5 активов для немедленного апдейта патчей.
Поддержите автора и задайте вопрос экспертам
Вступайте в нашу группу ВКонтакте, чтобы поддержать проект и получить консультацию экспертов по этой теме
Содержание темы
Ответы (0)
Пока нет ответов. Станьте первым, кто ответит!