Осень. Бизнес «считает
цыплят» - сколько заработали и планируем заработать (если повезет), ИБ – бюджет: сколько потратили и будем тратить (чтобы не рассчитывать только на везение)
И прямо сейчас половина коллег ходит по вендорским презентациям, выбирает новые игрушки и складывает сметы на следующий год. Все по-взрослому: обоснование, расчет, ожидаемый результат
Открываю раздел «результат» и читаю: снижение плотности уязвимостей, увеличение объема покрытия, уменьшение числа нарушений. Вопрос простой: а это результат для кого?
Это результат для службы ИБ. Красивый, измеримый, удобный в отчёте. Только компания в таких категориях не живет
Компания, или "бизнес" - это люди. И людям от этой компании нужно ровно две вещи. Заработать деньги - если это сотрудники, и тем более если это акционеры. И потратить их на то, что нужно им - если это клиенты. В обоих случаях сделать это удобно и безопасно, с уверенностью в своих действиях и в завтра. Вот это и есть результат. Все остальное - промежуточные показатели, которые объясняют, как мы к нему шли. Но для большинства ИБ-шников связать одно с другим все равно, что скрещивать ежа с ужом
Дальше вторая половина задачи, которую почти никто не делает. Чтобы попросить денег, надо понимать финансовое состояние компании и его прогноз на следующий период. Выручка, маржа, долговая нагрузка, планы по инвестициям. Не в общих словах - в цифрах, которые "бизнес" сам себе поставил
Как правило ИБ чужды эти материи, и часто бывает так: компания последний сапог без соли доедает, режет косты по всем направлениям, а к ней приходят с запросом на половину годовой выручки под новую супер пупер ИИ платформу безопасности. Отказ в такой ситуации - не непонимание важности ИБ. Это здравый смысл
Приемлемые для бизнеса затраты - это не абстракция и не «сколько дадут». Это конкретная сумма, которая видна из финансовой модели. Ее надо знать до того, как заходить в кабинет на защиту
Перед защитой бюджета попробуйте сделать одну вещь. Напишите на листе, что изменится для сотрудника, акционера и клиента, если вам дадут эти деньги. И что изменится, если не дадут. Покажите коллегам из смежных подразделений. Если формулировки получаются честные и без сложных конструкций, непонятных коллегам, но с понятным им результатом - можно идти
Удачи нам всем
Security Show в Telegram · в Max ·
Школа управления ИБ
