Киберриски – новая норма. Почему бизнесу пора внедрять just culture и роль директора по цифровой устойчивости

Максим Лазырин

Партнер, руководитель практики стратегического консалтинга в консалтинговой компании The Edgers

Киберинциденты больше не воспринимаются как редкость. Это повседневность. И бизнесу стоит перестать рассматривать их как «инциденты» – пора признать: это новая операционная реальность. Вопрос не в том, случится ли, а в том насколько компания готова управлять собой, когда это произойдет.

В материале для Cyber Media Максим Лазырин, партнер, руководитель практики стратегического консалтинга в консалтинговой компании The Edgers, расскажет о цифровой устойчивости – способности продолжать работу и сохранять управляемость даже при сбоях, атаках и ограничениях доступа к ИТ‑инструментам.

Когда безопасность – это не только технологии

Даже в компаниях с сильным CISO и развитой системой защиты, атака способна выявить уязвимости в культуре и управленческой модели. Мы видели, как регионы оказывались отрезанными «от большой земли» не из-за отсутствия ИТ-инструментов, а из-за концентрации коммуникаций и решений в центре, отсутствия делегирования и сценариев на местах. Киберинцидент в этом случае становится маркером незрелости: неясные роли, отказ брать ответственность, зависимость от единственного канала связи, неактуальные контакты и длинные согласования, которые сохраняются даже в кризисе.

Характерные симптомы незрелости:

• зависимости от единственного канала связи;
• отсутствие полномочий на местах для принятия минимально достаточных решений;
• неактуальные контактные списки;
• длинные согласования, которые сохраняются даже в кризисном режиме.

Just culture: почему важна культура, а не тренинги и штрафы

Just culture (справедливая культура) как драйвер цифровой устойчивости – это не про тренинги по паролям или штрафы, а про системный сдвиг. Если сотрудник ошибся, задача не наказать, а понять, где система дала сбой: не хватило времени, инструкций или доверия. Исправлять нужно именно это.

Такая культура снижает страх и повышает скорость реакции: команды не прячут ошибки, а сообщают о них, понимая, что будет разбор, а не расправа. В итоге компания сохраняет управляемость даже в турбулентных ситуациях.

Справедливая культура различает злонамеренные нарушения и непреднамеренные ошибки. В первом случае применяются дисциплина и контроль, во втором – донастройка процессов и обучение для снижения риска повторов.

Практика постинцидентного разбора включает:

1. общий таймлайн событий;
2. выявление корневых причин;
3. набор защитных мер;
4. назначение владельца и срока выполнения;
5. открытое информирование команды о выводах.

Как SolarWinds пересобрала всю цепочку

Один из примеров – атака на американскую компанию SolarWinds в 2020 году, затронувшая около 18 000 организаций. Вредоносный код был внедрен в обновление Orion и распространялся под доверенной цифровой подписью. Компания не ограничилась закрытием уязвимости, а полностью перестроила систему сборки ПО. Это была атака на цепочку поставок, когда легитимное обновление превращалось в носитель угрозы.

В ответ SolarWinds внедрила параллельные независимые пайплайны, автоматическое сравнение версий и многоуровневую проверку целостности. Фактически это стало не просто усилением защиты, а сменой философии разработки: безопасность встроили в саму логику создания продукта.

Среди конкретных шагов: разделение обязанностей при сборке, воспроизводимые сборки, независимая верификация артефактов и строгий контроль цифровых подписей.

Кто должен отвечать за устойчивость бизнеса

Из стратегии цифровой устойчивости вытекает новая управленческая функция – директор по цифровой устойчивости (Chief Digital Resilience Officer). Это не CISO и не ИТ-директор: его задача не только в защите информации, но и в сохранении управляемости компании при цифровых сбоях. Он работает на стыке стратегии, кибербезопасности и организационного развития, выстраивая системную устойчивость через процессы, архитектуру и культуру.

Его мандат – обеспечить непрерывность управления: заранее определить роли, распределенные каналы связи, приоритеты восстановления и механизмы принятия решений в условиях неопределенности. Важно закрепить эту роль управленчески: прямой доступ к первому лицу, право эскалации, ответственность за сценарии и регулярные учения.

Пример: компания Equifax после утечки данных в 2017 году (147 млн записей). Новый CISO получил полномочия перезапустить систему: перевод ключевых сервисов в облако, внедрение Zero Trust и SecDevOps, перестройка продуктовых процессов. Время установки патчей сократилось с месяцев до дней, уровень защиты превысил среднеотраслевой, доверие инвесторов восстановилось. Формально это был CISO, фактически – руководитель цифровой устойчивости.

Так функция «охранника периметра» превратилась в роль архитектора устойчивости, влияющего на продукт и процессы ежедневно. Матрица взаимодействия: CDRO отвечает за политику и сценарии устойчивости; CISO – за угрозы и контроли; CIO – за архитектуру; COO – за операционную непрерывность. В кризисной фазе CDRO модерирует штаб и держит единый план. Его контур ответственности: критичные процессы, приоритеты восстановления, альтернативные каналы связи, учения и метрики времени реакции.

Norsk Hydro: устойчивость – это не героизм, а подготовка

В 2019 году атака вируса LockerGoga парализовала работу Norsk Hydro: 35 000 сотрудников, 40 стран, 170 производственных объектов. Все ИТ-системы легли. Но компания сделала выбор в пользу открытости. Уже в первые сутки – брифинги, прямые эфиры, ответы на вопросы, честные признания «мы не знаем», но с обязательством проинформировать. Отгрузки продолжались вручную, сотрудники доставали бумажные накладные, меняли цепочки на ходу. Это была демонстрация того, как культура действия и доверия может стать главной инфраструктурой. Никакой blame game, никаких внутренних расправ. И в этом смысле – пример справедливой культуры в чистом виде.

Вывод: открытая позиция снизила уровень слухов и позволила синхронизировать действия тысяч людей, даже при недоступности ИТ‑инструментов.

FireEye: скорость и прозрачность как конкурентное преимущество

В 2020 году после утечки внутренних инструментов FireEye компания менее чем за сутки опубликовала все индикаторы компрометации. Такой шаг не только ослабил злоумышленников, но и усилил доверие к бренду. Прозрачность и скорость – важные элементы устойчивости, которые невозможно формализовать в инструкциях, но можно культивировать в команде.

Вывод: прозрачность трансформирует инцидент из локальной проблемы в общую оборону, где компания получает союзников вместо хейтеров.

Maersk – не про резерв, а про решение

Maersk – один из самых известных кейсов: вирус NotPetya в 2017 году остановил 76 терминалов, вывел из строя ~45 000 ПК и ~4000 серверов. И всё восстановили за 10 дней. Почему? Потому что в Гане нашёлся уцелевший оффлайн-контроллер домена, и команда приняла решение лететь за ним. Физически доставить в штаб-квартиру. Пропустить через границы, отстроить всё с нуля. Это была не столько технологическая победа, сколько проявление культуры – где люди знали, что именно в их руках судьба бизнеса. И не боялись брать ответственность.

Вывод: такие решения возможны, когда есть кризисный штаб с уполномоченным лидером, понятные приоритеты восстановления и режим «без молчания».

Когда прозрачность – базовый элемент доверия

Часто страх публичности парализует компанию больше, чем сама атака. Но открытая и управляемая коммуникация не разрушает доверие – наоборот. Во всех рассмотренных кейсах – от Cisco до Norsk Hydro – компании выигрывали там, где действовали прозрачно, привлекали внешних экспертов, делились информацией с сообществом и клиентами. Это резко контрастирует с ситуациями, когда реакция замыкается на ИБ-отделе, а публичное пространство оставляется без комментариев. Парадокс: именно молчание вызывает панику и потерю доверия.

Вывод: важно иметь протокол коммуникации, включающий роль спикера, механизмы сообщений на разные аудитории, понятные статусы работ и контакт для обратной связи.

Когда инцидент становится катализатором изменений

Нестандартно отреагировала на атаку в 2022 году Cisco. Уже в первые дни через подразделение Talos компания опубликовала детальный публичный отчёт: поэтапно – как произошёл взлом, какие инструменты применили злоумышленники, какие ошибки были допущены и какие меры предприняты. Вместо выплаты выкупа – экстренный сброс паролей и ужесточение MFA. Это был шаг не только в сторону технической устойчивости, но и в сторону доверия. Благодаря открытому диалогу с рынком и детальному разбору, атака фактически стала краш-тестом для всей индустрии, а не только для самой Cisco. Компании по всему миру получили возможность адаптировать у себя похожие меры. А сама Cisco усилила защиту и использовала этот случай как внутренний толчок к дальнейшим улучшениям – без лишнего шума и истерики. Это и есть зрелость в подходе к инциденту.

Вывод: важно зафиксировать первые бескомпромиссные меры, например, принудительную смену паролей, внедрение многофакторной аутентификации, отзыв токенов доступа, ограничение привилегий и запуск мониторинга аномалий.

Что бизнес может сделать уже сегодня

1. Назначить владельца цифровой устойчивости. Даже если это не отдельная должность в штатном расписании – должен быть человек, отвечающий не за защиту, а за управляемость в кризисе.
1. Пропишите мандат: зоны ответственности, право остановки процессов, порядок эскалации и связь с первым лицом.
2. Свяжите роль с измеримыми показателями (время обнаружения инцидента и время восстановления, доля отработанных сценариев, регулярность учений).
2. Пересмотреть сценарии реагирования. Есть ли у вас план, если центральные ИТ-инструменты недоступны? Кто принимает решения? Через что коммуницирует команда?
1. Смоделируйте отказ ключевых систем и проверьте, работают ли распределенные каналы и роли.
2. Проверьте офлайн‑доступность ключевых контактов, регламентов и чек‑листов (в цифровом и в печатном виде).
3. Провести репетиции. План, который ни разу не отрабатывался – это иллюзия. Репетиции показывают реальные слабые места, особенно в коммуникации и распределении ролей.
1. Используйте короткие «учения» с четкими целями первого часа: кого уведомляем, где собирается штаб, какие каналы используем, какие решения принимаются немедленно.
4. Укрепить культуру. Страх – главный враг устойчивости. Команда должна понимать, что задача – действовать, а не искать виноватых. Этому нужно учить.
1. Зафиксируйте принципы just culture в правилах реакции (разбор причин, а не охота на виноватых; поощрения за быстрые сообщения об инциденте)
2. Включите в онбординг понятный путь сигнализации об инциденте и защиту добросовестного сообщения от санкций.

Вопрос, который стоит задать прямо сейчас

Если завтра вы потеряете доступ ко всем цифровым инструментам – вы сможете продолжать управлять бизнесом? Если нет – значит, ваша система пока неустойчива. И ИБ здесь лишь часть уравнения. Все остальное – про структуру, культуру и зрелость управления.

Ответ «не уверен» – уже сигнал к действию. Начните с назначения владельца и первой репетиции. Именно так формируется устойчивая практика, а не «бумажная» готовность.