Человеческий фактор информационных рисков

АЛЕКСЕЙ ЮРЬЕВИЧ РОГАТКИН главный редактор

Доктор Деминг утверждал, что большинство несоответствий связано с дефектами системы управления, тогда как некоторые другие эксперты призывают обратить внимание на человеческий фактор инцидентов. Думается, одно нисколько не противоречит другому. Если система результативна, она ориентирует людей на достижение целей качества и безопасности. В противном же случае люди сами становятся источником рисков, в том числе информационных.

Как ни странно, стандарты и практики в области информационной безопасности фокусируются на угрозах, связанных с компьютерными сетями. При этом они почти полностью игнорируют человеческий фактор, если речь идет не о злоумышленниках, а об обычных сотрудниках предприятия. Приведу несколько примеров.

1. Риски конфиденциальности. Чересчур общительные люди охотно делятся тем, что знают, с окружающими. В результате информация не только о коллегах, но и о деятельности предприятия нередко становится публичным достоянием. Чем, к слову, охотно пользуются злоумышленники, применяя при подготовке целенаправленных кибератак методы социальной инженерии.

2. Риски целостности. Возьмем базы данных, допустим, информацию о запасах, имеющихся на складе. В одной из статей, опубликованной в ММК года полтора назад описан случай, когда определенный товар в учетной документации фигурировал под тремя разными наименованиями, а в результате по ошибке был снова закуплен у поставщика (подробнее читайте в журнале  Business Excellence №4-2025).

3. Риски доступности. Классический пример — блокировка обратной связи. Неважно, что именно является ее причинами: страх, равнодушие, безысходность или же намеренное стремление держать руководство в состоянии неосведомленности. Результат один: часть информации о реальном положении дел на производстве для высшего руководства оказывается недоступной.

4. Риски достоверности. Всем известно такое явление, как приписки. Напомню старый советский анекдот. На колхозной ферме родились четыре поросенка. Но в правление доложили, что восемь, в райком — что 16. В обком пошла информация, что 32, а оттуда в Москву — что 64. В Москве же сказали: «Молодцы, всех наградить почетными грамотами! Четырех поросят — в центр, остальных распределить на местах!» Возникает вопрос: кто кого на самом деле обманывает?

5. Риски избыточности. Вы никогда не замечали, сколько лишней, откровенно ненужной и даже вредной для дела информации мы подчас генерируем? Так, по свидетельству В.А. Лапидуса, доля рабочего времени, затрачиваемого на внутрикорпоративную борьбу (и «обработку» связанной с ней информации), в некоторых компаниях достигает 40%. И если в ней работает, скажем, тысяча человек, то при среднемесячной зарплате в 85 тыс. руб. такая компания теряет порядка 400 млн руб. в год. А ведь это вполне сопоставимо с ущербом от самой разрушительной кибератаки!

Очень надеюсь, что в вашей организации дело обстоит совершенно иначе.

01.04.2025

---

448

Поделиться: