Сколько стоит неслучившийся инцидент: как считать экономический эффект от ИБ
Информационная безопасность редко приносит выручку напрямую — её экономический эффект в другом: компания меньше теряет деньги, время, данные и ресурсы. Считать окупаемость всей ИБ одной цифрой почти бессмысленно: внутри слишком разные задачи и риски.
Расчет экономического эффекта от ИБ не обязательно должен заканчиваться одной итоговой цифрой. Чем сложнее проект, тем больше значение имеют исходные допущения и качество данных.
Хорошая модель должна отвечать на несколько вопросов: ▪️какой риск компания рассматривает, ▪️какова его потенциальная стоимость, ▪️насколько выбранная мера может изменить вероятность инцидента или его последствия, ▪️сколько стоит внедрение и эксплуатация защиты, ▪️на каких предположениях строится расчет.
В таком виде экономическая оценка помогает перевести разговор об ИБ на язык бизнеса: у компании есть конкретный риск с определенным потенциальным ущербом, есть способ его снизить и понятная стоимость этого снижения.
Практический смысл расчета именно в этом — понять, что компания защищает, какие потери пытается сократить и сколько готова заплатить за снижение конкретного риска.
Подробнее в нашей статье.
