Это не аудит с печатью, а живые метрики
СберКорус и другие представители операторов электронного документооборота и СЭДов приняли участие в практическом мероприятии о безопасных практиках и процессах в ЭДО совместно с отраслевой Ассоциацией РОСЭУ.
Спикером от СберКорус выступил заместитель генерального директора по информационной безопасности (ИБ) компании Иван Дмитриев. Он поделился опытом построения эффективной системы управления киберрисками и метриками ИБ в компании-операторе ЭДО.
Ключевая часть доклада эксперта была посвящена метрикам безопасности как основе для управленческих решений. Выступление сосредоточилось также вокруг ключевого вопроса: «Как правильно оценивать и поддерживать нужный уровень защиты, соблюдая баланс между эффективностью и затратами?». Дмитриев подчеркнул важность комплексной оценки рисков и разработки прозрачных и информативных метрик для мониторинга состояния информационной безопасности организаций.
Основными выводами выступления стали такие тезисы:
- Определение уровня безопасности: Необходимо различать требуемый и оптимальный уровень ИБ, учитывая особенности бизнеса и рыночного окружения.
- Практика оценки рисков: Важно применять риск-ориентированные методы, однако эта стратегия эффективна далеко не везде и зависит от уровня зрелости процессов управления рисками внутри организации.
- Использование подходящих метрик: Эффективные метрики позволяют своевременно выявлять угрозы и предотвращать инциденты, повышая общую защищенность системы.
- Баланс между инвестициями и результатами: Обеспечение высокого уровня информационной безопасности требует значительных вложений, но важно помнить, что чрезмерные расходы снижают рентабельность бизнеса.
Отдельный акцент был сделан на отраслевых рисках: необходимость постоянного обмена информацией об инцидентах и IoC (индикаторы компрометации) через профильные контуры, включая Национальный координационный центр по компьютерным инцидентам (НКЦКИ). А также учёт новых векторов, таких как подмена контента до подписания в ЭДО, что становится доступнее злоумышленникам с развитием новых ИИ-инструментов.
«В Группе Сбер требования к кибербезопасности традиционно высоки. Для нас в СберКорус ИБ — это не издержки, а конкурентное преимущество компании, которое позволяет ей быть ответственным и безопасным поставщиком услуг ЭДО для наших клиентов партнёров», — подчеркнул Иван Дмитриев, заместитель генерального директора по безопасности СберКорус.
Особое внимание в презентации представителя оператора ЭДО также уделялось сравнению подходов к оценке безопасности путем проведения аудиторских проверок и использованием специализированных метрик. Иван Дмитриев объяснил преимущества каждого метода и рекомендовал компаниям комбинировать оба подхода для максимальной эффективности.
В заключение представитель компании подчеркнул важную роль регулярных коммуникаций между подразделениями и менеджерами высшего звена для поддержания культуры безопасности в организации. Использование очевидных, но эффективных инструментов вроде онлайн-таблиц, дашбордов и систем бизнес-аналитики, на начальных этапах позволяет быстро наладить процесс измерения уровня кибербезопасности и эффективно управлять рисками.
О компании
СберКорус – ведущий оператор электронного документооборота, более 20 лет разрабатывающий передовые ИТ-решения. В 2004 году компания первой в России начала внедрять продукты для электронного обмена данными и документами. С 2012 года входит в Группу Сбер. Сегодня СберКорус предоставляет цифровые решения для внешнего электронного документооборота и другие продукты более чем 3 млн клиентам. Миссия компании — создавать удобный цифровой мир для роста бизнеса.