Иван Миленкович, вицепрезидент „Технологии за управление на риска“ за региона EMEA в Qualys, обяснява как ръководителите по сигурността могат да изградят икономически модел, който да подкрепи техните решения с финансови показатели. Той предлага да се започне с няколко сценария за загуби, след което да се слезе до активите, които ги предизвикват.
Той разглежда как да се подреждат корекциите по стойност под риск, какво очакват да видят финансовите директори (CFO) и как да се покаже стойността на инцидентите, които никога не са се случили. Той също така анализира как един модел може да служи както на борда на директорите, така и на застрахователите на кибер рискове.
Икономическият модел съществува, за да подкрепи решение относно стойността. Повечето модели за сигурност, които съм виждал, никога не стигат толкова далеч. Те започват с оценка и завършват с нея: това наред ли е и трябва ли първо да отстраним червените? Поздравяваме се за усилията, а бордът не научава нищо за това колко са стрували тези усилия.
Кредитирането е полезно сравнение. Оценката на кредитора се базира на въпрос за пари: какъв е шансът този кредитополучател да не върне тази сума или да не я върне навреме? Има много интелигентно моделиране около този въпрос, но в основата му е функция на стойността. Математиката е принципала и оценката означава нещо, защото е закотвена към потенциална загуба.
Повечето оценки на сигурността нямат такава котва. Прекарахме години в измерване на това колко е сложна технологията и колко е трудно да сме в крак с нея, но прекарахме много малко време в остойностяване на това какво причиняват тези проблеми на бизнеса с течение на времето. Ето къде грешат първоначалните модели: те започват с десет хиляди констатации и се опитват да стигнат до парите.
Предлагам директорите по сигурността (CISO) да обърнат реда и да посочат шепата сценарии, които наистина биха навредили: платформата за плащания да не работи в продължение на три дни, писмо от регулатор относно клиентски данни, зловреден софтуер от тип ransomware в цял регион или каквото е приложимо за вашата организация. Поставете диапазон на загубите за всеки от тези сценарии, след което слезте до активите и излаганията на риск, които ги предизвикват.
Първата версия ще бъде погрешна. Ранните кредитни модели също бяха погрешни и те се подобриха, защото хората продължиха да ги захранват с реални резултати. Вашият ще се подобри по същия начин, при условие че данните идват директно от системите. моето правило от годините ми като CISO все още важи: ако числото е било докоснато от човек, не му вярвам.
Това се превръща в политически въпрос, защото доказателствата на масата са технически, а техническите аргументи рядко решават битка за бюджет. Всеки екип по сигурността е познавал ситуации около това какво е „правилно“ да се направи и е нямал бюджета или хората да го направи. Когато това се случи, е изкушаващо да обвиняваме бизнеса, че не слуша. По-добрият въпрос е какво дадохме на борда, за да вземе решение, и защо то не ги убеди?
Моделът трябва да се произнася относно стойността под риск или по-просто казано – какво имате да губите? Колко би добавило това конкретно излагане на риск към вероятна бъдеща загуба? Сериозен недостатък на тестови сървър, който никой не използва, не добавя почти нищо. Умерен недостатък в система, свързана с интернет и генерираща приходи, може да добави много, особено ако атакуващите вече го експлоатират. Веднъж работих с бизнес звено, класирано като най-лошото в своята група точно по тази причина. Купчина сървъри, откачени от приходите, пълни с CVE, получиха същата оценка като шлюза за плащания и екипът прекарваше часовете си в инсталиране на корекции за сигурност на грешните машини.
Математиката за моделиране на всичко това съществува, въпреки че разчита на прогнози. Това, от което се нуждаете, е лек модел, който дава бърз и защитим поглед върху две неща: потенциалната загуба от риск и ползата от предприемането на действия, включително какво оправомощава корекцията в търговски план. Един главен изпълнителен директор (CEO) използва такъв тип информация за всяко друго решение в компанията.
Също така си струва да разгледате колко подробности предоставяте. Контекстът на ниво актив и на ниво уязвимост трябва да захранва модела, защото там тестовият сървър се отделя от шлюза за плащания по отношение на приоритет и бизнес въздействие. Бордът обаче не трябва да спори за отделни CVE. Техният въпрос е дали нашите контроли се мащабират в цялото предприятие спрямо това, което имаме да губим. На този въпрос става все по-трудно да се отговори поради ефекта, който изкуственият интелект оказва върху откриването на уязвимости. Само един водещ модел разкри повече от 6000 потенциални дефекта с висока или критична сериозност в над 1000 проекта с отворен код. Никой не коригира всичко това. Отговорът сега е да се каже кои проблеми имат значение и да се постави подпис до проблемите, които сте преценили да оставите.
Финансовият директор прави това по цял ден: той притежава застрахователните и капиталовите резерви и планира за лоши дни. Кибер загубите са само един вид загуба, която той трябва да вземе предвид. Техният въпрос относно всеки риск е прост: предвид нашето излагане на риск, може ли една загуба да надхвърли нашите лимити и да удари наличните ни парични средства?
Застраховането и ковчежничеството използват същия тип моделиране, за да определят лимити и резерви, а актюерите зад вашия брокер вече го прилагат и за вашата ИТ организация. Разликата е, че те знаят по-малко за вашия остатъчен кибер риск, отколкото вие. От финансова гледна точка вашата работа е да намалите вероятната бъдеща загуба, използвайки вашия екип, вашите контроли за сигурност и вашите инвестиции, докато шансът за нарушаване на тези финансови защити се озове в рамките на лимитите, поставени от бизнеса.
„Нищо не се случи“ никога няма да се изправи като самостоятелно доказателство и не трябва. Вие също така не правите „нищо“, така че тези контроли трябва да бъдат – да ме простите за каламбура – осчетоводени. Финансите уважават измеримата промяна, така че докладвайте какво се е преместило:
- Колко време критичното излагане на риск е оцеляло в системите зад вашите сценарии за загуби през това тримесечие спрямо последното.
- Колко вероятна загуба се съдържа в излагания на риск, които са преминали крайния си срок за отстраняване.
- Дали контролите са издържали при тестване: например възстановяване, което е проработило, или учение на червен екип (red-team), спряно на границата на сегментиране.
- Какво мисли пазарът. Застрахователите вече определят цените на кибер контролите в по-големи подробности, така че по-добрите условия при подновяване са външна оценка на вашата програма.
Никой от тези сигнали не е перфектен сам по себе си. Това, което трябва да гледате, е представянето във времето, така че вашите сигнали трябва да бъдат последователни, извлечени от системи и усъвършенствани всяко тримесечие, по същия начин, по който финансите усъвършенстват своите собствени прогнози. Ето как сигурността си извоюва място в разговорите, където се разпределят пари.
Финансовите директори искат число, което могат да сложат в електронна таблица, с диапазон около него и прикрепено решение.
Ръководителите по сигурността говорят с думи от сигурността: уязвимости, заплахи, средно време за реакция и така нататък. Под този речник стои двоичен модел, при който нещо или е защитено, или не е. Финансовият директор работи с пари, проценти и вероятности, където много малко неща са черно-бели, и тази пропаст разочарова много директори по сигурността.
Полезно е да не забравяме, че не сме единствените експерти по риска в организацията. Финансовият директор (CFO), главният директор по риска (CRO) и ковчежникът са определяли цената на несигурността през цялата си кариера, така че научете техния език и го използвайте. Бордовете и финансовите директори са много по-грамотни в технологично отношение отпреди десет години, но преводът все пак остава ваша задача.
На практика носете четири неща при всеки разговор с финансовия директор:
- Сценарият за загуби в парично изражение като диапазон.
- Колко вероятна е загубата през следващите дванадесет месеца и на какво се основава тази оценка.
- Какво предлагате да похарчите и доколко се променя диапазонът, ако го похарчите.
- Какво се случва, ако не го направите, включително кой трябва да се подпише за оставянето на този въпрос във вида, в който е.
Последното е това, което главните директори по информационна сигурност (CISO) забравят най-често. Финансовият директор не може да одобри или отхвърли риск, който никой не притежава. След като лицето, чийто бюджет поема загубата, трябва да подпише приемането на риска, разговорът бързо се променя. Можете да проследявате тези сценарии тримесечие по тримесечие, така че финансовият директор да вижда тенденцията.
Може да имате един модел, но трябва да докладвате пред две аудитории. Ако бордът чува една история, а застрахователят – друга, имате по-голям проблем от самото представяне. Всичко, което казвате на застрахователя, трябва да остане в сила и в деня, в който предявите претенция.
Това, което се променя, е какво вижда всяка аудитория: съветите на директорите не трябва да слушат дискусии за количествено определяне на киберриска, те се нуждаят от информация, за да вземат решения или да разберат защо е взето дадено решение въз основа на тази финансова информация. Обикновено те са предварително запознати с решенията за капитала, преди да влезете в стаята, така че вашата задача е да внесете обоснован мотив за това какво сте решили. Застрахователите искат доказателствата под това: зрялост на контролите, прозорци на експозиция, колко бързо очаквате да се възстановите. Застрахователните компании подхождат все по-детайлно към контролите, експозицията на поверителността и нововъзникващия риск от изкуствен интелект (AI), така че същите данни, които захранват вашия модел, трябва да бъдат включени и във вашата заявка.
Ето как би могло да изглежда едно актуализиране за борда:
„Моделите на Frontier AI откриват уязвимости в мащаб, който не сме виждали досега, и нашият архив от изостанали задачи (backlog) нарасна с 200% през второто тримесечие. Инвестираме в подпомагано от AI отстраняване на уязвимости и очакваме да се върнем към нивата отпреди Mythos до края на следващото тримесечие. Прегледахме нашите лимити с управлението на риска под ръководството на финансовия директор и следващия месец се срещаме с нашите брокери, за да ги увеличим. Моментът е подходящ: пазарът е благоприятен („мек“), така че очакваме да добавим покритие срещу скромно увеличение на премията.“
Вижте какво има вътре: причина, число, решение, дата и връзка към собствените инструменти на финансовия директор.
Точката за подходящия момент заслужава внимание. Ценообразуването на киберзастраховането в Обединеното кралство остана благоприятно („меко“) през второто тримесечие на 2026 г., с по-добри условия за купувачи, които могат да удостоверят силни контроли. Специализираните застрахователи вече предупреждават за преломна точка тази година. Организациите с честен модел ще получат най-добрите условия, докато те са в сила.