Монетизация инцидентов ИБ — оценка финансового воздействия на бизнес

Как обосновать ценность информационной безопасности бизнесу, когда «всё и так работает»?

Типичная ситуация: служба кибербезопасности функционирует, инцидентов нет, недопустимые события не наступают — и именно поэтому бизнес не понимает, за что платит: нет языка, на котором можно объяснить ценность того, что не случилось.

Мы разработали методику расчета потерь от инцидента ИБ — подход, который переводит работу ИБ в понятные бизнесу цифры.

Любой инцидент развивается по цепочке техник — от первого шага до недопустимого события. В 95% случаев существующие меры защиты обрывают эту цепочку на том или ином этапе. Место разрыва — точка включения SOC — и есть наша точка отсчёта: именно отсюда мы начинаем строить варианты потенциального развития цепочки в случае ее непредотвращения.

После регистрации события в SOC, как правило, ему присваивается техника MITRE ATT&CK. На основе этой информации формируется ТОП наиболее распространенных техник, для определения начальной техники killchain.

Данные техники используют злоумышленники (APT-группировки, инсайдеры), применительно к Вашему бизнесу.

RoSI (return on security investment) — показатель возврата инвестиций в безопасность, который характеризует экономическую эффективность систем защиты информации.

Как правило, показатель RoSI используется для обоснования финансовых вложений в СЗИ. В модели монетизации инцидентов показатель RoSI демонстрирует эффективность вложений в ИБ для предотвращения инцидентов

Для расчета показателя RoSI используется формула:

Где:
ARO – annualized rate of occurrence, среднее количество инцидентов в год
SLE – single loss expectancy, ожидаемые разовые потери, т.е. «стоимость» одного инцидента
MF – mitigation factor, фактор снижения угрозы с помощью СЗИ
TCO – total cost of ownership, совокупная стоимость владения СЗИ