Практические рекомендации для CISO Павел Мельников, Pointlane

1. Психология внедрения нового.
Правила общения с руководителями бизнеса
при внедрении новых проектов по
обеспечению ИБ
Круглый стол «Эффективное управление
информационной безопасностью»
22 августа 2013
Практические рекомендации для CISO
Павел Мельников, Pointlane

2. 2www.pointlane.ru
• Этапы принятия нового
• Методики обоснования затрат
• Основные правила обоснования затрат
• Типы руководителей и особенности работы с ними
• Разбор бизнес-кейсов
О чем будем говорить

3. 3www.pointlane.ru
• 16 лет в информационной безопасности
• Более 7 лет в банках (Альфа-банк, Societe Generale,
HSBC, JP Morgan)
• Создал службу ИБ «с нуля»
• Директор по развитию Pointlane
• CISSP, CISA
Обо мне

4. 4www.pointlane.ru
• Неприятие
• Отрицание и агрессия (не слушают и отмахиваются)
• Торг
• Отстаивание собственных интересов (ну тогда вы
нам…)
• Апатия
• Безразличие или вялый интерес (делайте что угодно)
• Принятие
• Где же ты раньше был (у всех уже есть DLP, а мы только
пилотный проект сделали???)
Этапы внедрения нового

5. 5www.pointlane.ru
• Неприятие
• Дать максимум информации и выждать
• Торг
• Есть пожелания? Отлично! Удовлетворяем!
• Апатия
• Самый главный момент для максимально активных
действий
• Принятие
• Иметь все необходимое для обоснования своей позиции
Этапы внедрения нового: что делать?

6. 6www.pointlane.ru
• Необходимость продиктована требованиями
регуляторов в конкретной отрасли
• Замечания внутреннего аудита/контроля
• Требования головной организации
• Требования законодательства
• Сокращение расходов
• Усиление контроля
• Хочется самому CISO
Проекты/инициативы/активности

7. 7www.pointlane.ru
• TCO (Total Cost of Ownership)
• Прямые затраты:
• Стоимость лицензий на программное обеспечение
• Стоимость аппаратного обеспечения
• Стоимость пилотного проекта
• Стоимость внедрения
• Стоимость инфраструктуры (электроэнергия,
кондиционирование, каналы, резервирование, мониторинг)
• Стоимость поддержки
• Поддержка вендора
• Поддержка внутренними ресурсами
• Обучение (+командировочные расходы)
• Управление
• Вывод из эксплуатации
Финансовые модели оценки

8. 8www.pointlane.ru
• TCO (Total Cost of Ownership) (продолжение)
• Косвенные затраты:
• Время пользователей на обучение
• Простои в работе пользователей в результате
нежелания обучаться/читать инструкции службы ИБ
• Вывод: общая стоимость владения средством
защиты в 3-5 раз превышает стоимость, которую
транслирует вендор
Финансовые модели оценки

9. 9www.pointlane.ru
• ALE (Annual Loss Expectancy)
Ежегодно ожидаемые потери
ALE = SLE x ARO
SLE=AV x EF
• SLE (Single Loss Expectancy)
• ARO (Annualized Rate of Occurance)
• AV (Asset Value)
• EF (Exposure Factor)
Финансовые модели оценки

10. 10www.pointlane.ru
• Gartner TVO (Total Value of Opportunity)
• ROIROSI
• Система сбалансированных показателей
• И т.д.
Финансовые модели оценки

11. 11www.pointlane.ru
• Легко считаются:
• Антиспам
• Identity Management
• Удаленный доступ
• Web-filtering
• Шифрование переносных носителей
• Сложно
• SIEM
• SDLC
• DLP
• ПДн
• Повышение осведомленности (IS Awareness)
Проекты, которые легко обосновать

12. 12www.pointlane.ru
• Потеря ноутбука с персональными данными о 120 000
клиентов (Международный банк):
• Штраф от FSA (Financial Services Authority): 4 200 000 £
• Уведомить каждого клиента
• Письмо каждому клиенту: 4,5 x 120000 = 540 000 £
• Перевыпуск карт (80%): 7 x 96000 = 672 000 £
ИТОГО: 5,4 млн £
Плюс: отток клиентов в течении года, выраженный в
снижении темпов роста количества клиентов
Бизнес-кейс:
Международный банк (утеря ноутбука)

13. 13www.pointlane.ru
• Решение по шифрованию жестких дисков
• Лицензии: 40 x 6 000 = 240 000 £
• Пилотный проект: 50 000 £
• Внедрение: 150 000 £
• Поддержка: 180 000 £
ИТОГО: 0,62 млн £
0,62 млн £ и 5,4 млн £
Разница очевидна
Бизнес-кейс:
Международный банк (утеря ноутбука)

14. 14www.pointlane.ru
• Заглянем правде в глаза
• Без поддержки руководства данные методики не
работают
• Основное что надо сделать – сделать так, чтобы
руководство доверяло CISO.
• Для CISO со стажем это не сложно
• А что делать тому, кто только начал работу на
новом месте?
Посмотрим на реальную ситуацию

15. 15www.pointlane.ru
• Стратегия бизнеса
• Стратегия ИТ
• Стратегия ИБ
• У кого уже есть?
• У кого учитывает стратегию бизнеса и ИТ?
Стратегия ИБ

16. 16www.pointlane.ru
• Подкомитет комитета по операционным рискам
• Основная цель: создать инструмент периодического
коллегиального обсуждения ИБ организации
• Как создавать?
• Заручиться поддержкой
• Описать регламент его работы
• Согласовать и внедрить
• Дальше будет уже проще
• Ежемесячное обсуждение и приоритезация задач
• Выработка решений
Комитет по рискам ИБ

17. 17www.pointlane.ru
• Кого включить в комитет
• Представители ключевых бизнес-подразделений
• Юристы
• Внутренний контроль (аудит) / СБ
• IT
• Отдел кадров
• Финансисты
• Что обсуждать
• Отчеты по метрикам
• Текущие задачи
• Вносить инициативы/проекты, рассказывать о новых
угрозах
Комитет по рискам ИБ

18. 18www.pointlane.ru
• Регуляторные требования
• Негативный или позитивный опыт других игроков
рынка
• Исследования рынка
• IDC, Gartner, PWC, E&Y
• Громкие утечки и годовые отчеты по ним
• RSA, Verizon
• GroupIB
• Делаем ИБ для клиентов бизнеса
Как сделать переворот в сознании

19. 19www.pointlane.ru
• На примере банка
• Руководство очень внимательно относится к
конфиденциальности информации о размере своей
компенсации
• Сотрудники начинают по другому смотреть на
многие вещи, если они преподносятся через
концепцию «моя информация» и «мои деньги», а не
компании.
Как сделать переворот в сознании

20. 20www.pointlane.ru
• Нацеленность на задачи бизнеса
• Поднятие престижа подразделения в глазах бизнеса
• Максимальная прозрачность
• Метрики, KPI
• Выход за рамки организации
• Повышение осведомленности клиентов
• Проверка обработки ваших данных у контрагентов
(3rd Party Security Reviews)
Стратегия получения доверия

21. 21www.pointlane.ru
• Пилотная DLP & Content filtering
• Достаточно для увольняющихся
• Mobile office
• Пилотный pentest
• Либо для демонстрации текущего уровня защищенности
• Либо в цикле:
• Внедрение быстрых контролей и процедур
• Повторный pentest
• Программа повышения осведомленности
Быстрые победы

22. 22www.pointlane.ru
• Общие проблемы есть у всех
• Кто-то что-то уже сделал!
• Общение и обмен информацией
• Можно начать прямо сейчас
• Главное - начать
В заключении

23. Спасибо за внимание!
23www.pointlane.ru
Павел Мельников
Москва, ул. Ильинка, д 4
Тел +7 (495) 233-65-08
p.melnikov@pointlane.ru