Кибербезопасность — стратегический риск, не ИТ-проблема
Традиционная модель: кибербезопасность — ответственность ИТ-директора. Совет директоров занимается «важными» вещами — стратегией, финансами, M&A. Кибербезопасность делегируется менеджменту с минимальным контролем.
Эта модель устарела. По данным IBM Cost of Data Breach Report 2024, средняя стоимость утечки данных — $4,88 млн. Для крупных компаний — десятки и сотни миллионов с учётом репутационного ущерба, регуляторных штрафов и судебных исков. Акционерная стоимость компаний, переживших значимые кибератаки, в среднем снижается на 8% в течение года после инцидента.
SEC (американский регулятор) в 2023 году ввёл обязательное раскрытие кибератак в течение 4 рабочих дней и требование ежегодного раскрытия компетенций СД в области кибербезопасности. Европейский NIS2 устанавливает личную ответственность членов органов управления за кибербезопасность. Тренд глобальный — регуляторы делают кибербезопасность вопросом персональной ответственности директоров.
Что СД должен знать и контролировать в кибербезопасности
Директора не обязаны быть техническими экспертами по кибербезопасности. Но они обязаны задавать правильные вопросы и понимать ответы.
Уровень риска. Каков наш уровень зрелости кибербезопасности в сравнении с отраслью? (Оцените по NIST Cybersecurity Framework или аналогу.) Какие активы наиболее критичны и уязвимы? Проводился ли независимый пентест за последний год?
Управление инцидентами. Есть ли у нас задокументированный план реагирования на кибератаку? Когда он последний раз тестировался (tabletop exercise)? Кто принимает решение об уплате выкупа в случае ransomware?
Регуляторный комплаенс. Соответствуем ли мы применимым требованиям (152-ФЗ, GDPR для международных операций, отраслевые требования)? Были ли регуляторные проверки за последний год, и каковы их результаты?
Цепочка поставок. Проверяется ли кибербезопасность наших ключевых поставщиков и партнёров? Многие громкие взломы произошли через подрядчиков (SolarWinds, Target).
Страхование. Есть ли у нас киберстрахование? Покрывает ли оно реальные риски — выкуп, восстановление систем, регуляторные штрафы?
Бесплатная диагностика — результат за 5 минут
Оцените зрелость кибербезопасности вашей компании
Чек-лист кибербезопасности для совета директоров: 40 вопросов, которые выявят ключевые уязвимости в вашей системе защиты.
Скачать чек-лист