Бизнес под контролем: Как выстроить безопасность и сохранить устойчивость компании

Александр Ветрогор

Бизнес под контролем: Как выстроить безопасность и сохранить устойчивость компании

Бизнес под контролем: Как выстроить безопасность и сохранить устойчивость компании

Александр Ветрогор

Безопасность бизнеса: от защиты активов к устойчивости компании

В 8:07 утра экран диспетчера посерел.

— Заказов нет, — сказала она. — Вчерашние тоже не открываются.

Через двенадцать минут позвонил начальник цеха с Южной площадки: после протечки в здании отключили электричество, а электрик запретил запускать оборудование до проверки. В 8:31 на линии появился ключевой клиент. Его производственная линия ждала партию насосных модулей. Отгрузка должна была уйти сегодня.

Владелец компании «Контур-М» посмотрел на телефон, потом на сотрудников. В отделе продаж говорили, что всё заказано. На складе не были уверены, сколько готовой продукции осталось на второй площадке. ИТ-специалист обещал вернуть систему «через час», но не знал, у кого из подрядчика сейчас дежурный номер. Начальник производства считал, что цех можно открыть после осмотра, однако разрешения ещё не было.

Сигнализация была исправна. Антивирус показывал зелёный статус. В шкафу лежала папка с инструкциями. Ни один из этих фактов не отвечал на главный вопрос: как компания выполнит обещание клиенту, если сейчас одновременно недоступны система и объект?

«Контур-М» и его сотрудники — вымышленный собирательный пример. В нём нет редкой катастрофы, которая бывает раз в столетие. Есть несколько обычных сбоев, наложившихся друг на друга. Именно так часто и возникает серьёзная угроза бизнесу: не из одного громкого удара, а из слабых мест, которые по отдельности кажутся терпимыми.

Что именно нужно защищать

До этого утра владелец «Контура-М» думал о безопасности как о наборе расходов: сигнализация, антивирус, камеры, обучение и папка с правилами. Эти меры были полезны, но не складывались в ответ на вопрос, ради чего они нужны.

Ответ начинается не с техники, а с цели компании. «Контур-М» производил насосные модули и обслуживал оборудование клиентов. Его важными активами были не только станки и серверы. К ним относились данные о заказах и запасах, компетенции сотрудников, отношения с клиентами, возможность отгружать продукцию и репутация надёжного поставщика.

Актив — это то, что имеет ценность для компании или помогает ей создавать ценность. Иногда актив легко потрогать: склад, инструмент, автомобиль. Иногда он невидим: база данных, доступ к банковскому кабинету, опыт технолога, доверие заказчика. А порой самым важным активом оказывается не вещь, а способность выполнять конкретное обещание.

Чтобы увидеть, что произошло в понедельник, полезно различать несколько понятий — не ради терминологии, а ради точных решений.

Угроза — событие или обстоятельство, способное причинить ущерб: отказ системы, пожар, ошибка сотрудника, недобросовестный подрядчик, нехватка ключевой детали.

Уязвимость — слабое место, из-за которого угроза может повлиять на бизнес сильнее. Например, один человек знает, как восстановить программу, или резервная копия хранится там же и доступна через те же учётные записи, что и рабочая система.

Риск связывает возможное событие с его последствиями для целей компании. Это не просто список страшных происшествий. Отказ одной программы может быть неприятностью для отдела, но серьёзным риском для бизнеса, если без неё нельзя отгрузить товар и нет запасного способа оформить документы.

В тот понедельник компьютерная система была недоступна после сбоя при обновлении виртуального сервера. На Южной площадке протекла труба возле электрического оборудования; помещение закрыли для проверки. Причины оказались разными, но последствия сошлись на одном процессе — выполнении заказа. К этому добавились мелкие, накопленные со временем слабости: резервные копии никто не проверял восстановлением, актуального списка запасов вне системы не было, контакты подрядчика хранились у одного сотрудника, а запасной порядок отгрузки существовал лишь в устных договорённостях.

Каждая уязвимость по отдельности выглядела управляемой. Вместе они лишили руководство ясной картины и времени на решение.

Защитить объект — не значит сохранить работу

Сигнализация помогает обнаружить проникновение. Антивирус снижает вероятность некоторых компьютерных инцидентов. Инструкция может подсказать порядок действий. Но каждый инструмент закрывает лишь часть задачи, и это нормально — пока компания понимает, какую именно часть.

Безопасность снижает вероятность ущерба и ограничивает его, защищая людей, имущество, данные и операции от конкретных угроз. Управление рисками помогает определить, какие события важнее для целей компании, и выбрать соразмерные меры. Непрерывность деятельности отвечает на другой вопрос: какие критичные процессы компания должна сохранить или восстановить, если обычный порядок нарушен.

Эти направления пересекаются, но не заменяют друг друга. Хорошо защищённая система всё равно может временно выйти из строя. План непрерывности не предотвратит каждую поломку, зато поможет работать, пока специалисты восстанавливают систему. Управление рисками связывает обе задачи с реальными приоритетами компании: оно помогает не тратить одинаковые усилия на всё подряд.

Поэтому цель безопасности — не построить неприступную крепость. Абсолютной защищённости не существует, а попытка защитить всё одинаково способна истощить даже крупную компанию. Практичная цель — понять, что нельзя потерять, какие нарушения допустимы и как действовать, если защита не предотвратила сбой.

Для «Контура-М» это означало начать с клиентского обещания: отгрузить насосные модули и не оставить заказчика без информации. Из этого обещания можно выстроить понятную цепочку анализа:

Цель компании

Критичный процесс

Зависимость

Угроза

Последствие

Мера защиты и восстановления

Выполнить договор и сохранить доверие клиента

Подготовить и отгрузить насосные модули

Данные о заказе и запасах, склад, электричество, сотрудники, транспорт

Сбой системы одновременно с недоступностью основной площадки

Задержка поставки, дополнительные расходы, потеря доверия и возможные договорные последствия

Регулярно проверять восстановление данных; иметь доступный вне системы перечень заказов и запасов; предусмотреть запасную площадку или подрядчика; назначить ответственного за связь с клиентом и решение об альтернативной отгрузке

Это не теоретическая схема. Каждая её часть подсказывает следующий практический вопрос: как компания выполнит свою цель, если зависимость исчезнет или перестанет работать?

Решения под давлением

В первые минуты понедельника в «Контуре-М» все старались помочь, но каждый сообщал свою версию. ИТ-специалист ждал новостей от подрядчика, производство — разрешения вернуться в цех, отдел продаж — точных цифр со склада. Клиенту пока отвечали: «Скоро уточним».

Под давлением люди не превращаются в худшую версию себя. Но сильное напряжение сужает внимание и мешает удерживать в голове несколько версий событий одновременно. Поэтому компаниям нужны не только компетентные сотрудники, но и заранее понятный порядок: кто собирает факты, кто принимает решения, кто сообщает новости клиентам.

В «Контуре-М» владелец назначил одного координатора инцидента. Тот завёл общий список: что известно, что проверяется, кто отвечает и когда будет следующее обновление. Руководитель ИТ занимался восстановлением системы. Начальник производства выяснял, какие безопасные альтернативы доступны. Коммерческий директор связывался с клиентом, не обещая сроков, которых компания пока не могла подтвердить.

Такое разделение не требует отдельного штаба с дорогим программным обеспечением. В небольшой компании несколькими ролями могут управлять одни и те же люди, если заранее ясно, за что каждый отвечает. Главное — не смешивать сбор фактов, принятие решений и передачу информации в бесконечный общий разговор.

К 10:30 команда выяснила, что резервная копия есть, но восстановление на чистой среде займёт несколько часов. Проверить, сколько готовой продукции находится на недоступной Южной площадке, было невозможно. Зато сотрудник сервисного центра нашёл на второй площадке шесть готовых модулей и смог сверить их с последней выгрузкой заказов. Владелец позвонил клиенту сам: шесть единиц можно отправить в тот же день, остальные — после восстановления доступа к производству. Клиенту предложили новый график, а не расплывчатое «мы разберёмся».

Компания не избежала задержки. Но она перестала терять время на противоречивые догадки и сохранила важнейшую часть обязательства: начала поставку, обозначила реальный план и поддерживала связь.

Пять шагов от защиты активов к устойчивости

Опыт «Контура-М» можно превратить в рабочий порядок для любой компании — от небольшой мастерской до крупной сети.

1. Определите, что бизнес обязан сохранить. Начните не со списка оборудования, а с нескольких целей: безопасность людей, выполнение ключевых договоров, выпуск продукции, обслуживание клиентов, соблюдение требований, доступ к деньгам и данным. Уточните, какие обязательства нельзя надолго прерывать и какие последствия задержки неприемлемы.

2. Найдите критичные процессы. Выберите действия, без которых ключевые цели не будут достигнуты: принять заказ, произвести, проверить, отгрузить, выставить счёт, обработать обращение клиента. Важно описать процесс целиком, а не только работу одного отдела. Отгрузка, например, может зависеть одновременно от производства, склада, информационной системы, перевозчика и полномочий сотрудника на оформление документов.

3. Раскройте зависимости и слабые места. Для каждого процесса спросите: какие люди, помещения, данные, подрядчики, оборудование и разрешения нужны? Что произойдёт, если исчезнет хотя бы одна зависимость? Есть ли запасной путь? Резервная копия — надёжная опора лишь тогда, когда её можно восстановить. Два экземпляра данных на одном устройстве или в одной учётной записи могут оказаться одной точкой отказа, а не резервированием.

4. Назначьте ответственных и заранее определите границы решения. У каждого важного процесса должен быть владелец, который понимает, как тот устроен и что требуется для восстановления. Отдельно договоритесь, кто руководит инцидентом, кто может изменить график или привлечь подрядчика, кто сообщает клиентам и кто проверяет безопасность людей. Без полномочий ответственный часто остаётся лишь наблюдателем.

5. Подготовьте меры предотвращения и восстановления. Меры должны соответствовать выявленному риску. Это могут быть резервное копирование и проверка восстановления, контроль доступа, техническое обслуживание, запасные компоненты, альтернативный поставщик, обучение сотрудников, бумажный порядок оформления или соглашение о резервной производственной площадке. Не каждую компанию нужно дублировать целиком. Но для критичного процесса необходимо понимать, сколько времени он может не работать и какой объём данных допустимо потерять.

Последние два ориентира часто называют временем восстановления и допустимой потерей данных. Их не следует назначать одинаковыми для всех систем. Для отдела кадров задержка доступа на день может быть переносимой; для диспетчеризации доставки несколько часов могут сразу повлиять на клиентов. Ценность ориентира в том, что он превращает абстрактное «надо быстрее восстановить» в конкретный вопрос: какой срок приемлем именно для этого процесса?

И ещё одно правило: меры защиты нужно проверять действием. Наличие резервной копии в отчёте не доказывает, что из неё можно восстановить сервис. Инструкция, которую никто не открывал, не гарантирует, что сотрудник сумеет выполнить её под давлением. Учебная тревога необязательно должна быть сложной: можно провести короткий разбор сценария «система недоступна, руководитель объекта не отвечает, клиент ждёт поставку» и проверить, кто принимает решения и где искать нужные сведения.

Простая проверка зрелости

Чтобы понять, с чего начать, задайте себе четыре вопроса:

1. Что именно компания защищает? Можно ли назвать несколько ключевых целей и процессов — или ответ сводится к перечню купленных устройств?

2. От чего зависит работа? Известны ли критичные сотрудники, системы, площадки и поставщики? Есть ли зависимости, о которых знает только один человек?

3. Кто принимает решения? Понимают ли сотрудники, кто руководит инцидентом и какие действия можно предпринимать без дополнительного согласования?

4. Как компания восстанавливается? Проверялись ли резервные копии, запасные процессы и контакты ответственных реальным упражнением?

Неясный ответ — не повод обвинять сотрудников или немедленно покупать ещё одну систему. Это указатель, где сначала нужно собрать факты. Для небольшой компании достаточно начать с одного критичного процесса и одного обсуждения с руководителями. Для более сложного бизнеса работа может потребовать отдельной оценки, но принцип тот же: усилия направляют туда, где нарушение сильнее всего заденет цели компании.

Попробуйте короткое упражнение. Выберите обещание, которое важно для клиентов или финансовой устойчивости. Запишите процесс, необходимый для его выполнения, назовите главные зависимости и представьте, что одна из них пропала на сутки. Затем ответьте: кто принимает решение, какая информация ему нужна и что компания сможет предложить клиенту? Если последняя строка остаётся пустой, перед вами не обязательно катастрофа — но точно важная задача.

Следующий сбой

Через несколько месяцев у «Контура-М» пропал доступ к корпоративной сети на региональной площадке. Теперь сотрудники не стали ждать, пока кто-нибудь первым догадается, что происходит. Координатор открыл короткий порядок действий, руководитель склада сверил доступный вне системы перечень отгрузок, а коммерческий директор предупредил затронутых клиентов и назвал время следующего обновления. ИТ-команда восстановила подключение, а сотрудники внесли временные записи в систему после проверки данных.

Заминка была. Паники — нет. Самое важное: компания продолжила выполнять обязательства и знала, что будет делать дальше.

В этом и заключается переход от охраны отдельных активов к устойчивости. Сигнализация, антивирус, резервные копии и инструкции полезны не сами по себе, а как части управляемой способности: понять, что важно, принять решение под давлением, сохранить критичную работу и восстановиться после нарушения. Хорошая безопасность не обещает, что сбоя никогда не случится. Она помогает компании не потерять себя, когда привычный порядок даёт сбой.

Карта рисков: как выявить угрозы и определить приоритеты

В переговорной пахло кофе, маркерами и лёгкой паникой. На экране — таблица с заголовком «Риски». Под ним уже стояло тридцать одно слово: кибератака, уход технолога, пожар, срыв поставок, штрафы, утечка данных, поломка линии, мошенничество, скачок цен…

Компания «ТерраФуд» выпускала готовые блюда и поставляла их торговым сетям. Операционный директор постучал ручкой по столу:

— Если не приедет упаковка, мы остановимся через неделю.

ИТ-директор возразил:

— А если зашифруют систему заказов, мы можем не понять, что и куда отгружать.

Руководитель производства добавил:

— Уйдёт наш технолог — некому будет подтвердить изменения рецептур и режимов.

Каждый говорил о реальной опасности. Но к концу часа список вырос до сорока трёх пунктов, а действий не появилось. Все спорили, что страшнее, потому что никто не договорился, что именно компания обязана сохранить.

Тогда генеральный директор спросил:

— Что может помешать нам выполнить главные обязательства перед клиентами, сотрудниками и законом?

Вопрос изменил разговор. Вместо каталога бед началась работа.

Не предсказывать будущее, а готовиться к нему

Карта рисков — не перечень страшных событий и не попытка угадать, что случится в следующем году. Это инструмент, который помогает увидеть, как неопределённость может повлиять на цели компании, понять, насколько организация готова, и выбрать, что делать дальше.

Угроза сама по себе ещё не является хорошо описанным риском. «Кибератака» — слишком широкая тема для решения. Руководителю нужно понимать конкретную цепочку: например, фишинговое письмо приводит к краже учётных данных; злоумышленник получает доступ к системе заказов; компания не может вовремя собирать и отгружать продукцию.

Практическая форма сценария проста:

причина — событие — последствия.

• Причина: один поставщик обеспечивает большую часть компании важным материалом.

• Событие: поставщик прекращает отгрузки из-за аварии на производстве.

• Последствия: запас упаковки заканчивается, выпуск и поставки клиентам останавливаются.

Эта цепочка дисциплинирует обсуждение. Она не утверждает, что событие обязательно произойдёт. Она позволяет спросить: какие цели оно затронет, что уже защищает компанию и где остаётся уязвимость?

Шаг первый. Определите контекст и цели

Начинать следует не с поиска угроз, а с понимания того, что бизнес должен продолжать делать. У «ТерраФуд» участники совещания выделили четыре обязательства:

1. выпускать безопасную продукцию;

2. выполнять согласованные заказы торговых сетей;

3. сохранять прослеживаемость сырья, партий и отгрузок;

4. своевременно платить сотрудникам и критически важным поставщикам.

Список не должен охватывать вообще всё. Он должен показывать, какие результаты нельзя терять без серьёзных последствий. Для каждой цели полезно установить границы: сколько времени компания может обходиться без процесса, какой объём задержек допустим, какие требования закона или договора нарушать нельзя.

Это помогает отличить неудобство от угрозы устойчивости. Если принтер в отделе продаж ломается, работа может замедлиться. Если компания теряет доступ к данным о партиях продукции, возникает уже другой масштаб последствий.

Привлекайте к разговору людей из разных функций: производство, продажи, финансы, ИТ, кадровая служба, снабжение, юристы. Руководитель видит обязательства и компромиссы, специалист на месте — реальные обходные пути и уязвимости. Важно, чтобы люди могли говорить о сбоях без страха быть обвинёнными: иначе карта будет отражать не действительность, а то, что безопасно произнести вслух.

Полезно заранее обозначить рамки обсуждения: рассматриваем риски на ближайшие 12 месяцев или на более долгий период? Включаем ли в карту только внутренние процессы или также поставщиков, подрядчиков и инфраструктуру? Без этих договорённостей два участника могут оценивать один риск, но говорить о разных горизонтах и масштабах.

Шаг второй. Описывайте сценарии, а не ярлыки

После определения целей можно вернуться к опасениям руководителей и превратить их в конкретные сценарии.

Сценарий первый: сбой системы заказов. Причиной может стать фишинг, компрометация учётной записи или техническая ошибка. Событие — потеря доступа к системе, где хранятся заказы и сведения об отгрузках. Последствия — задержки поставок, ошибки в документах и затруднения с прослеживаемостью продукции.

Сценарий второй: уход ключевого технолога. Причина — увольнение, болезнь или длительное отсутствие сотрудника. Событие — знания о проверке рецептур и производственных режимов оказываются недоступны. Последствия — замедление выпуска, ошибки при изменениях и повышенная нагрузка на остальных работников.

Сценарий третий: перебой у поставщика упаковки. Причина — пожар, финансовые проблемы или сбой у поставщика его сырья. Событие — компания не получает упаковку в нужном объёме. Последствия — накопление незавершённой продукции, задержки заказов и потеря выручки.

Сценарий становится полезнее, если в нём видны причина, событие и последствия, а не только название угрозы. «У нас зависимость от поставщика» — пока наблюдение. «Из-за остановки единственного одобренного поставщика упаковки компания не сможет выполнять заказы через неделю» — уже основа для решения.

Риски могут соединяться. Например, сбой ИТ затруднит поиск заменяющего поставщика, а отсутствие технолога замедлит одобрение альтернативной упаковки. Не обязательно описывать все возможные комбинации, но важно замечать зависимости, способные усилить последствия.

Шаг третий. Проверьте действующие меры и слабые места

Руководители часто считают, что компания защищена, потому что нужное средство или процедура «есть». Но наличие контроля на бумаге не равно его работоспособности.

У «ТерраФуд» были резервные копии данных. Это хорошая мера, но никто не проверял, удастся ли восстановить систему в разумный срок. Поставщиков формально было несколько, однако только один прошёл проверку и мог отгружать нужную упаковку. Технолог оставил отдельные инструкции, но часть важных решений хранилась в его личных файлах и памяти.

Для каждого сценария задайте три вопроса:

• Какие меры уже снижают вероятность события или смягчают его последствия?

• Работают ли эти меры на практике и когда их проверяли?

• Что произойдёт, если мера не сработает или ответственный человек окажется недоступен?

Так обнаруживается уязвимость: не обязательно техническая дыра, а любое слабое место, из-за которого событие легче реализуется или наносит больший ущерб. Это может быть концентрация поставок у одного контрагента, отсутствие замены ключевому сотруднику, непроверенная резервная копия или полномочия, сосредоточенные у одного человека.

Полезно различать риск до мер защиты и риск, который остаётся после их учёта. Но не превращайте это различие в бухгалтерскую точность. Достаточно ясно указать: какие меры учтены, на чём основана оценка и что пока не проверено.

Шаг четвёртый. Оцените риск, не притворяясь пророком

Для первичной оценки «ТерраФуд» использовала четыре вопроса.

Насколько вероятно событие? Оценивают вероятность в заданном временном горизонте, например в течение года. Учитывают историю компании, опыт отрасли и наблюдаемые изменения. «Такого никогда не было» — слабый аргумент, если компания ведёт наблюдения всего два года.

Насколько тяжёлыми будут последствия? Ущерб может быть не только финансовым. Он затрагивает безопасность людей, выполнение договоров, требования закона, репутацию, денежный поток и способность восстановить работу. Для компании, выпускающей пищевую продукцию, безопасность и прослеживаемость партий нельзя оценивать только через стоимость простоя.

Насколько компания уязвима? Здесь важны зависимость от одной системы или одного человека, качество действующих мер, наличие альтернатив и опыт восстановления.

Как быстро последствия станут серьёзными? Это скорость развития риска. При постепенно сокращающихся запасах есть время отреагировать — если компания следит за остатками. При потере доступа к системе в разгар отгрузки ущерб может нарастать за часы.

Для рабочих обсуждений можно использовать шкалы от 1 до 5 или словесные оценки: низкая, средняя, высокая. Но критерии должны быть общими для участников. Например, «высокая вероятность» может означать, что похожие сбои повторялись или условия для них уже сложились, а не просто «мне это кажется вполне возможным».

Числа удобны для сравнения, но опасны, когда создают иллюзию знания. Если вероятность аварии оценили как 3, а последствия как 5, умножение этих цифр не превращает мнение в точный прогноз. Шкалы часто порядковые: разница между оценками 2 и 3 не обязательно равна разнице между 4 и 5. К тому же один и тот же итоговый балл может скрывать два разных риска: частые небольшие сбои и редкую, но разрушительную аварию.

Поэтому используйте матрицу как способ сортировки, а не как автомат, выдающий окончательное решение. Отдельно отмечайте сценарии с небольшой вероятностью, но тяжёлыми последствиями. Их нельзя незаметно прятать в среднем балле: для них может понадобиться отдельный план действий или проверка готовности.