УПРАВЛЕНИЕ КИБЕРБЕЗОПАСНОСТЬЮ В ОМНИКАНАЛЬНЫХ СИСТЕМАХ: УПРАВЛЕНЧЕСКИЙ АСПЕКТ

АННОТАЦИЯ

Статья рассматривает кибербезопасность омниканальных систем как управленческую, а не исключительно технологическую задачу. Анализируется специфика угроз, характерных для среды с множеством интегрированных каналов взаимодействия с клиентами. Показано, что ключевые барьеры эффективной защиты носят организационный характер: ресурсный конфликт между службой информационной безопасности и бизнес-подразделениями, сопротивление персонала и отсутствие интегрированной системы показателей результативности. Предложены управленческие инструменты преодоления данных барьеров.

Ключевые слова: кибербезопасность; омниканальные системы; управление бизнес-процессами; управление изменениями; ресурсный конфликт; KPI безопасности.

Омниканальные системы − интегрированные цифровые среды, объединяющие веб-порталы, мобильные приложения, физические точки обслуживания и контакт-центры посредством единого бэк-офиса, − стали стандартом организации клиентского взаимодействия в розничной торговле, банкинге и страховании. Однако интеграция множества каналов порождает принципиально новый управленческий вызов в области кибербезопасности, который традиционные подходы к защите информации решают неудовлетворительно [1, с. 175].

Академическая литература и управленческая практика традиционно рассматривают кибербезопасность как технологическую задачу, решаемую средствами защиты информации. Такая позиция игнорирует ключевой факт: по данным IBM Security, в 68% случаев инцидентов безопасности ключевым звеном является человеческий фактор [2, с. 14]. Настоящая статья обосновывает необходимость управленческого переосмысления проблемы кибербезопасности омниканальных систем.

Специфика управленческой задачи

Омниканальная среда формирует три специфических управленческих вызова. Первый − неравномерность защиты каналов. Цифровые каналы (мобильное приложение, веб-портал) как правило оснащены современными техническими средствами защиты, тогда как физические точки обслуживания и контакт-центры функционируют преимущественно на основе ручных процедур с низким уровнем автоматизации. Именно эти «слабые звенья» становятся целью атак: вишинг через контакт-центр, инсайдерские угрозы на кассовом узле, скимминг − всё это угрозы, в основе которых лежит не технологическая, а организационная уязвимость [3, с. 88].

Второй вызов − ресурсный конфликт между службой информационной безопасности и бизнес-подразделениями. Специалисты по ИБ оперируют категориями рисков и угроз, тогда как руководители бизнес-функций принимают решения в категориях прибыли и операционной эффективности. В условиях дефицита ресурсов ИБ-инициативы систематически проигрывают конкуренцию за бюджет, поскольку их ценность носит вероятностный и отсроченный характер [4, с. 442]. Результатом является хроническое недофинансирование превентивных мер при одновременном росте расходов на ликвидацию последствий инцидентов.

Третий вызов − отсутствие интегрированных показателей, связывающих безопасность с бизнес-результатами. Метрики ИБ (среднее время обнаружения инцидента, доля ложных срабатываний, число уязвимостей) существуют в отдельной системе отчётности, не связанной с операционными KPI подразделений. Это исключает возможность принятия обоснованных управленческих решений о балансе между уровнем защиты и операционными издержками.

Управленческие инструменты решения

На основе анализа отраслевой практики предлагаются три управленческих инструмента преодоления описанных барьеров.

Перевод ИБ-аргументации на язык бизнес-показателей. Модель ROSI (Return on Security Investment) позволяет представить инвестиции в безопасность через снижение ожидаемых финансовых потерь: ROSI = (ALE_до − ALE_после − Cost_контроля) / Cost_контроля, где ALE (Annual Loss Expectancy) − ожидаемые годовые потери от инцидентов [4, с. 444]. Применение данной модели переводит дискуссию об ИБ-бюджете в привычные для бизнес-руководителя категории и существенно повышает вероятность обоснования необходимых инвестиций.

Устранение конфликта стимулов на операционном уровне. Ключевой причиной нарушений процедур безопасности на уровне рядового персонала является противоречие между операционными KPI (скорость обслуживания) и требованиями безопасности (затратными по времени). Включение показателей соблюдения ИБ-требований в систему операционных KPI с соответствующей привязкой к системе вознаграждения устраняет данный конфликт стимулов [5, с. 538].

Создание интегрированной панели показателей безопасности. Единая управленческая панель, объединяющая операционные метрики (доступность каналов, скорость обслуживания, NPS) и метрики безопасности (MTTD, MTTR, число инцидентов по каналам), обеспечивает руководству целостную картину для принятия решений. Критически важно представлять инциденты безопасности не как технические события, а как события с измеримым влиянием на клиентский опыт и финансовый результат [6, с. 181].

Таким образом, кибербезопасность омниканальных систем требует управленческого, а не только технологического решения. Ресурсный конфликт, сопротивление персонала и разрыв между языками ИБ и бизнеса − это организационные проблемы, решаемые управленческими инструментами: ROSI-аргументацией, интеграцией KPI и сквозной системой отчётности. Без системного решения данных управленческих задач технически совершенные средства защиты не обеспечат адекватного уровня безопасности омниканальной среды.

Список литературы:

1. Verhoef P.C., Kannan P.K., Inman J.J. From multi-channel retailing to omni-channel retailing // Journal of Retailing. 2015. Vol. 91 (2). P. 174–181.
2. IBM Security. Cost of a Data Breach Report 2023. Armonk: IBM Corp., 2023. 82 p.
3. Cappelli D.M., Moore A.P., Trzeciak R.F. The CERT Guide to Insider Threats. Boston: Addison-Wesley, 2012. 432 p.
4. Gordon L.A., Loeb M.P. The economics of information security investment // ACM Transactions on Information and System Security. 2002. Vol. 5 (4). P. 438–457.
5. Bulgurcu B., Cavusoglu H., Benbasat I. Information security policy compliance: An empirical study // MIS Quarterly. 2010. Vol. 34 (3). P. 523–548.
6. Herath T., Rao H.R. Protection motivation and deterrence: A framework for security policy compliance // European Journal of Information Systems. 2009. Vol. 18 (2). P. 106–125.