ИТ нашли высокий риск и не могут устранить его три месяца

Содержание

ИТ нашли высокий риск и не могут устранить его три месяца. Кто должен принимать решение о продолжении работы компании?

В компании без CISO задачи информационной безопасности могут быть распределены между несколькими функциями:

1. ИТ отвечает за технические меры.
2. Специалисты по управлению рисками оценивают возможные последствия для бизнеса.
3. Комплаенс и юристы проверяют соблюдение обязательных требований.

Проблема возникает, когда риск нельзя устранить сразу.

Например, в важной системе обнаружена критическая уязвимость. Но её исправление затронет ключевые бизнес-процессы и потребует серьёзных изменений в инфраструктуре. Провести такие работы без подготовки невозможно, поэтому устранение может занять три месяца.

ИТ предлагает временные защитные меры. Специалисты по управлению рисками оценивают возможные последствия. Комплаенс и юристы проверяют, какие обязательства затрагивает ситуация.

Но кто решает, допустимо ли компании продолжать работу с остаточным риском? Если полномочия заранее не определены, даже при понятном распределении задач решение может остаться без ответственного.

Кто за что отвечает

В распределённой функции ИБ полезно разделять четыре вида решений.

1. Технические. Какие защитные меры можно применить и насколько они снизят риск. Это зона экспертизы ИТ и ИБ.
2. О соблюдении требований. Какие законодательные, договорные и внутренние обязательства необходимо выполнить и какие ограничения нельзя обойти простым принятием риска. Здесь участвуют комплаенс, юристы и ИБ.
3. О принятии риска. Допустимо ли временно продолжать работу после применения доступных мер. Такое решение должен принимать руководитель с соответствующими полномочиями.
4. О выделении бюджета. Какие ресурсы необходимо приобрести для устранения проблемы, потребуется ли изменение архитектуры или временное ограничение работы системы, что может сказаться на запланированном получении прибыли. Это управленческое решение.

Такое распределение — пример практической модели, а не классификация NIST. При этом NIST CSF 2.0 отдельно рассматривает управление киберрисками, включая определение ролей, ответственности и полномочий.

Где возникает разрыв

Если ИТ самостоятельно выявляет риск, выбирает защитные меры и решает, что оставшийся риск допустим, технический исполнитель фактически принимает решение за бизнес.

Но и запись в реестре рисков сама по себе проблему не решает. Нужно понимать, какие защитные меры уже действуют, насколько они эффективны и кто вправе согласовать временное исключение.

Поэтому компании стоит заранее определить:

• кто оценивает риск и предлагает меры;
• кто проверяет обязательные требования;
• кто и в каких пределах вправе принять остаточный риск;
• в каких случаях решение передаётся руководству;
• кто контролирует выполнение мер и пересматривает принятое решение.

Внешняя ИБ-команда может провести оценку и предложить меры. Но решение о принятии допустимого бизнес-риска остаётся за уполномоченными лицами внутри компании.

При этом универсальная схема подходит не всем. Указ Президента РФ № 250 устанавливает специальные требования к выстраиванию процессов по ИБ для определённого круга организаций, включая госорганы, государственные корпорации, стратегические и системообразующие предприятия, а также юридических лиц — субъектов КИИ.

Проверка для руководства

ИТ сообщает о высоком риске, устранение которого займёт три месяца.

Кто вправе согласовать продолжение работы на этот период? Какие временные меры обязательны? Когда решение нужно передать вышестоящему руководству и кто проверит, что риск устранён?

Если ответы приходится искать уже после обнаружения проблемы, компании необходимо формализовать порядок принятия решений, а не только распределение технических задач.

Защита персональных данных в компании регулируется 152-ФЗ в 2026 году — колонка компании «Б-152»:

• Суд оштрафовал клинику за утечку медицинских данных, ссылка на хакеров не помогла
• Заказчик запросил SBOM: команда впервые выясняет, из чего собран продукт
• Все статьи колонки "Персональный вопрос — колонка компании «Б-152»"