Отчёт о состоянии ИБ для совета директоров: пример

Статья «Метрики ИБ для руководства» разбирает операционный отчёт: восемь метрик, которые отслеживает руководитель, погружённый в детали. Отчёт для совета директоров или инвесторов — другой жанр: его читают люди, которые не разбираются в деталях и не обязаны разбираться, но должны понять, какой уровень риска несёт компания и можно ли ему доверять. Смешивать эти два отчёта — частая ошибка, после которой совет директоров либо не понимает отчёт, либо получает отчёт, не отвечающий на их реальный вопрос.

Статья опирается на логику направления «Отчётность и метрики» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами.

Что должно получиться

Уровень	Что это значит на практике
2. Гигиенический	Совет директоров или инвесторы получают регулярный, понятный без специальной подготовки отчёт о состоянии ИБ, на основании которого можно принимать решения о бюджете и приоритетах

Критерии сформулированы нами по мотивам методики, это ориентир, а не оценка соответствия.

Чем отличается от операционного отчёта

	Отчёт руководителю (операционный)	Отчёт совету директоров / инвесторам
Частота	Ежемесячно	Ежеквартально или по графику заседаний совета
Содержание	Конкретные метрики (число уязвимостей, время реагирования)	Уровень риска и тенденция, без деталей, которые нужно дополнительно объяснять
Цель	Управлять операционной работой	Принять решение о бюджете, приоритетах или доверии к компании (для инвесторов — часть due diligence)

Структура отчёта на одну–две страницы

Общий уровень риска и тенденция. Одним предложением: риск стабилен, снижается или растёт, и почему — без перечисления всех находок за квартал.
Значимые инциденты за период. Если были — что произошло, какой был эффект на бизнес (не только технический), что сделано, чтобы не повторилось. Если инцидентов не было — так и сказать, не заполнять раздел общими словами ради объёма.
Соответствие требованиям. Регуляторные обязательства (152-ФЗ и другие, применимые к компании), статус по ключевым пунктам, намечающиеся проверки.
План работ и запросы к совету. Что планируется в следующем периоде, где нужно решение совета (бюджет, приоритет, риск, который предлагается принять осознанно).

Пример текста для первого блока

Уровень риска за квартал: стабилен. Значимых инцидентов не было.
Основное изменение — завершили подключение централизованного мониторинга
для всех продуктивных серверов (ранее покрывало 60%, сейчас 100%).
Открытый вопрос для решения совета: оценка стоимости внешнего теста
на проникновение перед запуском нового продукта в следующем квартале
(ориентировочно N часов работы подрядчика).

Такой абзац отвечает на вопрос «какой уровень риска несёт компания сейчас» без того, чтобы читатель разбирался в деталях мониторинга или архитектуры.

Чего избегать

Технического жаргона без перевода. «Внедрили SIEM» ничего не говорит совету директоров; «теперь видим подозрительную активность на всех серверах, а не только там, где кто-то заметил вручную» — говорит.
Отчёта, состоящего из одних хороших новостей. Совет директоров, который не видит рисков годами, либо решит, что тема не важна и бюджет не нужен, либо — что отчёт недостоверен. Честный разговор о рисках, включая непринятые решения и компромиссы, работает лучше глянцевого отчёта.
Слишком большого объёма. Если отчёт не умещается на одну-две страницы, скорее всего в нём операционные детали, которым место в отчёте руководителю, а не совету.
Цифр без контекста. «200 уязвимостей найдено» без того, сколько закрыто, что находится среди них критичного и как это соотносится с прошлым периодом — пугает, но не информирует.

Для инвесторов — отдельно

В рамках due diligence или регулярной отчётности инвесторам чаще интересен не текущий уровень риска, а зрелость процессов: есть ли вообще процесс управления рисками, документированы ли ключевые решения, как компания реагировала на последний значимый инцидент (если он был). Структура отчёта та же, но акцент смещается с «что произошло за квартал» на «насколько системно это управляется» — для этого полезна ссылка на материалы по модели зрелости: карта зрелости.

Диагностика

Симптом	Причина и что делать
Совет директоров не задаёт вопросов по отчёту	Отчёт либо слишком общий, чтобы вызвать вопросы, либо слишком технический, чтобы их сформулировать. Добавьте конкретный пункт, требующий решения совета
Отчёт раз за разом «всё хорошо»	Либо реально нет проблем (редкость), либо проблемы не доходят до отчёта. Пересмотрите, что отфильтровывается перед отчётом и почему
После значимого инцидента совет узнаёт о нём впервые из отчёта спустя месяцы	Нет отдельного порядка срочного уведомления для значимых инцидентов, не дожидающегося планового отчёта
Отчёт растёт в объёме с каждым разом	В него попадают операционные детали. Перенесите их в отчёт руководителю, оставьте совету только уровень риска и решения

Где это в модели зрелости

Материал относится к направлению «Отчётность и метрики» (материалы направления, карта зрелости). Уровень 2 требует, чтобы отчётность доходила до тех, кто принимает решения о ресурсах, в понятном им виде: отчёт совету директоров — отдельный жанр от операционной отчётности, и смешивать их означает терять решения, которые мог бы принять совет.

Как проверить

Отчёт совету директоров или инвесторам существует отдельно от операционного отчёта руководителю и умещается на одну-две страницы.
В отчёте явно указан уровень риска и тенденция, а не только перечисление фактов за период.
Значимые инциденты доходят до совета без задержки до планового отчёта.
Отчёт содержит хотя бы один пункт, требующий решения совета, а не только информирует.