Чек-лист «Аудит за 60 минут»
10 вопросов вашему CISO/IT-директору прямо сейчас
1.Знаем ли мы свои 3 критичных бизнес-процесса, остановка которых убьёт компанию за сутки?
2.Есть ли у нас тепловая карта рисков в рублях, а не в «высоких/низких»?
3.Когда последний раз тестировали восстановление из backup (реальное, не «бэкапы есть»)?
4.Есть ли air-gap копия данных на случай ransomware?
5.У скольких бывших сотрудников до сих пор активны учётки?
6.MFA включён на всех критичных системах и почте?
7.Когда последний раз проводили tabletop-учение?
8.Знаем ли срок уведомления Роскомнадзора при утечке ПДн (24 часа)?
9.Есть ли документированный IRP (Incident Response Plan) и кто принимает решение об отключении системы в 03:00?
10.Какие из наших защитных инструментов не дают пользы и могут быть убраны?
Скрипт разговора с CISO: 5 правильных вопросов
Переводит разговор на управленческий уровень
1
«Какие наши три самых дорогих риска в деньгах и что мы с ними делаем?»
2
«Если нас зашифруют сегодня ночью, через сколько часов мы восстановим работу и сколько данных потеряем?»
3
«Какой процент нашего ИБ-бюджета идёт на защиту наших Crown Jewels, а не размазан ровным слоем?»
4
«Покажи последний отчёт о tabletop-учении: что мы нашли и что исправили?»
5
«Какие регуляторные сроки уведомления применимы к нам и кто за них отвечает персонально?»
Хороший CISO
Ответит на эти вопросы за 10 минут с цифрами.
Сигнал тревоги
Если ответы расплывчатые («ну, у нас всё под контролем»), программа управляется реактивно.
Хороший CISO ответит на эти вопросы за 10 минут с цифрами. Если ответы расплывчатые, это сигнал: программа управляется реактивно, а не стратегически.