Отчёт по рискам ИБ для директора: одна страница раз в квартал

Соберите раз в квартал одну страницу для директора: пять сценариев, которые могут ударить по выручке, клиентам или регулятору, и ясные «да / нет / денег нет» на меры. Весь реестр и жаргон совета директоров ему не нужны. Восемь операционных метрик считайте отдельно: метрики для руководства. Пакет для совета и инвесторов — другой жанр: отчёт совету.

Статья опирается на логику направления «Риск-ориентированный подход» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. Зачем руководителю результаты оценки — NIST SP 800-30: SP 800-30 Rev. 1. Это не российский закон. Цифры бюджета в примеры не ставим.

Одна страница

Риски ИБ, квартал ГОД. Кому: директор. От: ответственный за ИБ.

1. Главное (три предложения)
   Что выросло / упало и почему (инцидент, новое облако, меры сделаны).

2. Верхние риски (таблица, до пяти)
   ID | Сценарий простыми словами | Владелец | Решение сейчас | Нужно от директора

3. Решения на этом совещании
   - принять R3 до ДАТА / выделить ресурс на меру / ничего не менять (тогда так и написать)

4. Что не просим
   Список «подождёт»: чтобы не расползлось на операционку.

Сценарий — фраза из реестра человеческим языком, не CVE. Владелец — ФИО из статьи про владельца. «Нужно от директора»: запретить процесс, дать деньги, принять остаток за подпись. Если решений нет — строка «решений не требуется», иначе совещание имитирует контроль.

Источник строк — отсортированный реестр: методика и скрипт. Профиль, от кого сценарии: профиль нарушителя. Не прикладывайте таблицу на 40 строк: её директор не откроет. Страницу кладите в тот же пятнадцатиминутный слот у руководства, не заводите отдельный «комитет по рискам».

Риск: смешать с KPI («просрочка патчей 12%»). Метрика может пояснить риск в скобках, но страница про сценарии и решения, не про дашборд.

Как вести ритм

1. За неделю до совещания обновите оценки с владельцами верхних строк.
2. Страницу шлите заранее, на встрече только решения.
3. Протокол: какие ID приняли, какие меры одобрили, дата. Это вкладыш к реестру, не отдельный «комитет».
4. Следующий квартал начните с проверки прошлого протокола: сделано или риск врёт.

Диагностика

Где это в модели зрелости

Материал относится к направлению «Риск-ориентированный подход» (хаб: риск, карта: карта зрелости). Реестр без ритма с директором не меняет приоритеты. Годовой план и статья бюджета берут решения отсюда, не наоборот.

Как проверить

1. За последний квартал есть одностраничный файл с датой и пятью строками из реестра.
2. Есть хотя бы одно зафиксированное решение директора (включая «не меняем»).
3. Отчёт не совпадает с шаблоном метрик и не совпадает с отчётом совету.
4. Владельцы в таблице совпадают с реестром.
5. Прошлые «сделать до даты» либо закрыты, либо риск не понижен.

Источники

• NIST SP 800-30 Rev. 1: csrc.nist.gov.