Как понять, что вообще нужно защищать в компании

В кибербезопасности часто хочется выкрутить все на максимум. Поставить дорогие защиты, закрутить все политики, заблокировать все, что движется. Подход красивый, но дорогой и неэффективный. Правильнее идти от бизнес-рисков. Базовый документ для этого, модель угроз. В нем фиксируются ключевые активы и процессы, которые надо защищать в первую очередь, недопустимые события, которые могут с ними произойти, и средства защиты под каждый риск. Дальше включается логика. Если у компании есть сайт-визитка без форм и без базы, ну взломают его, день не поработает, ничего страшного. Тратить на его защиту большие деньги бессмысленно, хватит базового уровня. Но есть критичные активы, простой которых означает потерю выручки, штрафы и репутационные удары. Вот здесь защиту имеет смысл выкручивать, даже в ущерб удобству. А где-то наоборот, для бизнеса важнее, чтобы отдел продаж быстро работал и общался с клиентами без барьеров. Тогда задача не закрутить гайки, а грамотно изолировать систему, настроить копирование данных и реагирование на инциденты, и дать людям спокойно работать. Часть рисков можно даже сознательно принять. «Да, мы понимаем, что так может случиться, мы знаем, что делать, идем дальше». Это нормально, это и есть зрелый подход к ИБ. Вячеслав Макович, директор по маркетингу АБП2Б Продукты АБП2Б: АБП2Б (пентесты, аудиты ИБ, категорирование КИИ) https://abp2b.com/ Менеджер паролей ОдинКлюч https://одинключ.рф/ SSH/SFTP/RDP/VNC-клиент МС22 https://мс22.рф/ Платформа для инвентаризации ИТ-активов ОдинХаб https://одинхаб.рф/Opus 4.7 Extra