L — LEVERAGE: ПРОВЕРЯЕМ, ДЕРЖАТ ЛИ ВАШИ РЫЧАГИ НАГРУЗКУ РОСТА В SLEM-5 LEVERAGE измеряет не наличие контролей, а их зрелость × покрытие × независимость.
Если L < S (скорость) — вы едете быстрее, чем ваши тормоза могут остановить.
📊 Почему это важно: когда компания растёт, она добавляет системы, данные, доступы. Но контроли редко растут вместе с ней. Результат: 80% защищено, 20% — «ну, пока нормально». И именно в этих 20% случается инцидент
🛠️ Проверьте у себя за 20 минут: Выберите 3 критичных актива (например: база данных клиентов, кодовая база, финансовые данные)
Для каждого ответьте на 3 вопроса: 1. Зрелость: насколько контроль внедрён? 1 — Нет контроля 2 — Есть ad-hoc решение («как-то настроили») 3 — Есть политика, но не внедрена 4 — Внедрено, есть документация 5 — Автоматизировано, мониторится, регулярно проверяется
2. Покрытие: какую долю актива контроль защищает? 1 — <20% 2 — 20–40% 3 — 40–60% 4 — 60–80% 5 — >80%
3. Независимость: работает ли контроль без ручного вмешательства? 1 — Только ручной запуск 2 — Частично автоматизировано 3 — Автоматизировано, но требует проверки 4 — Автоматизировано, self-healing 5 — Автономно, с алертами и отчётностью Считайте среднее по каждому активу. Затем среднее по всем трём. 4–5 = зелёная зона. 3 = жёлтая. 1–2 = красная
⚠️ Что важно понимать: эта оценка покажет, где вы сейчас. Но не покажет, что случится через 6 месяцев, когда добавится ещё 50 человек и 2 новых сервиса. Контроли, которые «нормально работали», начинают давать сбои под нагрузкой - и вы узнаёте об этом только после инцидента
Статистически, 65% компаний среднего бизнеса имеют LEVERAGE в жёлтой зоне: контроли есть, но покрытие и независимость не тянут рост. Самый частый слепой угол: клиентские данные — зрелость 4, покрытие 2, независимость 1. То есть DLP-система внедрена, но работает на трети endpoint'ов, и админ должен вручную проверять логи.
🔻Комментарий SLEM: Мы проводим аудит с LEVERAGE не по бумагам, а по факту: проверяем, работают ли контроли на реальных данных, покрывают ли они новые системы, которые добавились после последнего аудита. CEO получает не «у нас есть бэкапы», а «бэкапы покрывают 40% критичных данных, и восстановление занимает 8 часов вместо требуемых 2». Это цифра, с которой можно идти к инвестору или к страховщику киберрисков.
❓ Какой у вас самый зрелый контроль — и какой самый слабый?
