Почти все умные стандарты по кибербезопасности говорят о том, что для успеха ИБ нужна поддержка топ-менеджмента. Но никто не говорит, как эту поддержку получить. А в других умных книжках говорится, что с бизнесом надо говорить на его языке. Но опять же мало где учат этому языку. Можно пойти, конечно, на курсы MBA или EMBA, но это долго и дорого. Да и не всегда полезно с точки зрения получения знаний (нетворкинг, да, штука полезная). Иногда хочется быстро, в режиме блиц, получить знания, которые помогут, если не говорить с бизнесом на равных, то хотя бы понять его чаяния, его боли, его задачи, и приблизить к ним кибербезопасность.
И вот тут, как мне кажется, очень хорошо может зайти такое понятие, как бизнес-модель. Я много лет назад наткнулся на книжку, в которой, конечно же в картинках, описывался процесс построения бизнес-модели любого предприятия — как частного, так и государственного. Как и любая модель, этот процесс был достаточно упрощен, чтобы не глубоко погружаться во все детали, и достаточно конкретен, чтобы не грести всех под одну гребенку. А самое главное, что с помощью этого подхода можно гораздо лучше разобраться в том, чем живет ваш бизнес, и понять, как ИБ может ему помочь, а не мешать.
Идея этой книги проста — любой бизнес строится на основе 9-ти блоков:
- Потребительский сегмент или клиенты. Это те, для кого работает ваша компания и кто приносит вам деньги (если вы компания частная). Вы можете работать на массовый рынок или только для VIP-клиентов, ваша целевая аудитория — это только юридические лица или физическим у вас тоже есть что предложить. Если вы работаете на «физиков» и средний чек составляет для вас 1000 рублей, то вряд ли вы готовы будете тратить больше этой суммы на безопасность, что ограничивает вас в выборе защитных средств и мер. С другой стороны, фокусируясь на VIP-клиентах, каждый из которых вам приносит десятки миллионов рублей в год, вы можете раскошелиться и на более серьезные меры противодействия угрозам.
- Ценностное предложение. Это то, почему клиенты понесут вам деньги и почему вы в их глазах предпочтительнее конкурентов. И это то, на что могут быть нацелены противоправные действия хакеров, нанятых вашими конкурентами. Допустим, ваша ценность в конфиденциальности ваших услуг (вы помогаете выводить денежные средства за рубеж или вы интим-шоп). Очевидно, что раскрытие данных по вашим клиентам (утечка информации) нанесет крупный удар по вам и вашему бизнесу и вам надо этому противопоставлять какие-то защитные меры.
- Каналы сбыта. Это то, как вы продаете свои продукты и услуги клиентам. Банальный пример — если вы Интернет-магазин и все клиенты к вам приходят через Интернет, то вам в первую очередь нужно думать о доступности сайта и его защите от DDoS-атак, чем задумываться об установке PAM-решений.
- Взаимоотношения с клиентами. Как вы общаетесь с клиентами? Это персональное обслуживание или автоматизированное? Это самообслуживание или работа через сообщества? Как можно нарушить эти взаимоотношения? Удалить личный кабинет клиента или замедлить работу онлайн-кассы? А как тогда их защищать?
- Потоки поступления доходов. За что клиенты платят и как? Продажа активов или интеллектуальной собственности? А может вы продаете подписки или лицензии? Сдаете вы свои продукты в аренду/лизинг или отдаете в бессрочное пользование? Что будет, если кто-то украдет генератор лицензий на ваш флагманский продукт или взломает систему приема платежей, подменив скрипт на сайте (реальный кейс)? Допустим, вы продаете подписку на музыку на вашей платформе, но кто-то ее взломал и выкачал весь ваш аудиоархив, выложив его в открытый доступ. Вы не сможете больше продавать доступ к нему, но будете обязаны выплачивать заранее оговоренные роялти авторам и композиторам. Вы готовы к защите каналов поступления денег или будете тратить всю энергию на выполнение ФЗ-152?
- Ключевые ресурсы. Что позволяет вам создавать ваши продукты и услуги? Люди? Материальные и интеллектуальные ресурсы? Финансы? Что если злоумышленник выведет из строя цифровую подстанцию, что приведет к останову вашего производства? А если он прервет цепочку поставок и вы не сможете вовремя поставить произведенный товар покупателю, попав не только на штрафные санкции, но и на снижение лояльность клиентов?
- Ключевые виды деятельности. Это те действия, без которых невозможно функционирование бизнес модели. Разработка ПО, управление отношения с поставщиками, логистика, разрешение проблем, функционирование платформы… Примеров таких видов достаточно много и на каждый из них можно повлиять в информационном пространстве, что потребует вашего пристального внимания.
- Ключевые партнеры. Кто ваши поставщики и кто партнеры? Благодаря кому вы снижаете риски, получаете ресурсы или оптимизируете свои бизнес-модели? Например, вы разрабатываете ПО и вам точно нет смысла еще и самостоятельно разрабатывать ПО для сборки, компиляции, тестирования исходников. Вы, скорее всего, возьмете какой-нибудь MS Visual Studio. А что если он вам стал недоступен по причине блокирования доступа к облаку Microsoft? А если вы не хотите хранить все ваши данные у себя в ЦОДе (потому что у вас его нет) и заключаете договор с облачным провайдером, которого взломают?
- Структура издержек. Это расходы, связанные с функционированием вашего бизнеса. Все, что описано выше, требует расходов, которые надо снижать. Допустим вы лоукостер и ваше преимущество в том, что ваши пассажиры долго не ждут в аэропорту, не тратят время на регистрацию багажа и нахождение в залах ожидания, сразу проходя в самолет и улетая в точку назначения. Это позволяет экономить на издержках, не платить аэропортам и т.п. Но что если хакеры вывели из строя систему регистрации пассажиров? У вас сразу увеличивается время ожидания, издержки растут и вы начинаете нести убытки, которые снижают вашу прибыль.
Да, этому не учат в институте и тем более не описано в документах наших (да и любых) регуляторов. Но это именно то, что стоит изучать в первую очередь, приходя на новое место работы или желая заручиться поддержкой бизнеса и поднять свой статус в его глазах. Тогда вам придется изучать не 378-й приказ ФСБ, ГОСТ 57580.1 или Указ Президента №250, а то, как функционирует ваш бизнес, на чем он зарабатывает, и, самое главное, что ему может помешать в информационном пространстве, за устойчивость функционирования которого вы и отвечаете как ИБшник.
А самое интересное, что ровно по той же модели работает и киберпреступность, о чем мы поговорим в следующих заметках. Да и сама служба ИБ подчиняется этой же схеме — у нее есть свои потребители (клиенты и сотрудники) и свои ключевые партнеры (например, ИТ и юристы), свои ключевые виды деятельности (например, защита от DDoS и повышение осведомленности) и свои ценностные предложения (удобство или конфиденциальность), своя структура издержек (бюджет-то вы считаете) и свои потоки поступления доходов (вот тут с оговорками и зависит от используемой модели функционирования ИБ) и т.п. Иными словами, изучение бизнес-моделей — вещь полезная и, самое главное, незанимающее много времени.
Так что берите нижеприведенный шаблон и попробуйте его заполнить применительно и к своему работодателю и к своей службе ИБ — вас ждет увлекательнейшее занятие и гораздо лучшее понимание вашего бизнеса и места ИБ в нем.
В этот раз перегружено текстом.
Но в целом неплохо
Давайте по простому, без этого пафоса и надувания щек, который уже порядком надоел. Зачем кибербезопаснику знания бизнес-моделей? Конечно, чтобы ползать перед биг боссом на карачках, доказывая свою необходимость. Для этого надо ему все как следует рассказать , пояснить на языке биг-босса, кто это тут такой интересный нарисовался. Биг босс же не вдупляет, кто все эти люди и что они тут делают. Пышь, пышь, трах-тибидох и они внезапно возникли в его компании (какой то вредитель открыл вакансию на ХеХе и притащил). Биг боссу важно что бы делались бабки, идеально чтобы прямо из воздуха возникали и падали на карман, но так не получается. Приходится содержать штат дармоедов, самые злобные это которые не учавствуют в изготовлении бабла напрямую, а занимаются непонятными для Биг-босса делишками за его важной спиной. Поэтому вооружившись шаманскими атрибутами в виде страшных графиков потенциальных убытков, зверскими оттоками обиженных клиентов, оплеванными рейтингами компании, нужно исполнить ритуальный танец на очередной сходке Биг-босса, изобразив Вангу прорицательцу денно и нощно бьющуюся со силами ЗЛА, дабы драгоценное бабло Биг-босса не пропало и не утекло как вода в песок.
Ну ИБшники и занимаются непонятными для бигбосса вещами. И нанимают их, чтобы «было» и потому что «у всех же есть».
Ещё рекомендую такой инструмент как Opportunity Canvas. Автор Jeff Patton.
https://jpattonassociates.com/opportunity-canvas/
За основу он взял Business Model Canvas, но для описания не всего бизнеса или подразделения, а новой системы или функции у существующего ПО. Помогает на kick-off встрече фасилитировать, получить верхнеуровневый взгляд на предлагаемое решение и проблему и т.п. Помогает при онбординге нового человека. И во многих других случаях полезная вещь. Использую в работе постоянно.
В исходном виде она может быть не очень интересна, но с опытом её применение даёт долнительные вопросы, которые надо уточнить.