Дискуссия
Управление киберриском

💬 Дмитрий Гадарь, Тинькофф
В РФ не принято делиться информацией о киберинцидендах

Классический подход у расчету рисков нужно расширить от вероятности риска к реализуемости в инфраструктуре конкретной организации

Многие хакерские группировки идут по Kill Chain, и, зная эти цепочки, можно понимать, как они будут действовать дальше

Управление рисками должно быть ключевым при составлении стратегии ИБ

💬 Сергей Демидов, Московская биржа
Управление риском:
- выявить, где основной риск и воздействовать теми инструментами, которые есть
- управлять внештатными ситуациями

Нужно научиться переводить риски на язык денег и показывать, что вы умеете считать модели

Нужно оцифровывать киберриски

Нужна отчетность и прозрачность отчетов.

Скрытность количества инцидентов в ИБ усложняет количество рисков

💬 Александр Кондратенко, Росбанк
Делать оценку рисков не раз в год, а на постоянной основе: в каждой активности, в каждом комитете

Нужно оперировать не столько языком уязвимостей и Kill Chain, а переходить на язык бизнеса

Важно развивать историю комьюнити. Нужен обмен информацией об инцидентах внутри отрасли.
Для оценки рисков информация об инцидентах крайне важна. Важно, чтобы регулятор тоже взял на себя эту роль по обмену информацией об инцидентах

Все, что делает ИБ, привязывать к конкретным сценариям

💬 Алексей Юдин, Киви Банк
Появились угрозы регуляторного уровня - должны репортить по инцидентам не одному регулятору, а трем

Проблема несовместимости ряда требований от разных регуляторов.
Нужно межрягуляторное общение и большая согласованность требований

Для киберрисков нет единой методологии, приходится использовать зарубежные подходы

Внутренний контроль и аудит помогает в управлении рисками

💬 Ольга Цихмистрова, Сбербанк

Нам повезло, что руководство банка сильно вовлечено в вопросы кибербезопасности.

От каждого бизнес-блока назначены ответственные за процесс управления рисками по более чем 20 метрикам

Важная часть - это взаимодейсктвие с ИТ по устранению рисков киберуязвимостей