Сергій Булавін, член наглядових та дорадчих рад українських компаній.
«Багато Рад переоцінюють готовність своєї компанії до кібербезпекових викликів, водночас недооцінюючи стратегічне значення власної ролі у її формуванні. Нові дані опитування показують розрив між уявним рівнем інвестицій у кібербезпеку та реальним розумінням цього питання на рівні Ради, що демонструє ширшу проблему: занадто багато Директорів бачать себе стратегами зростання, а не охоронцями довгострокової стійкості. Ради припускаються трьох типових помилок: недооцінюють вартість бездіяльності, ігнорують технічну заборгованість (ІТ-проблеми, відкладені на потім) і уникають поганих новин. Щоб стати кращими охоронцями стійкості, вони можуть зробити п’ять кроків, зокрема – переосмислити обговорення кібербезпеки в контексті бізнес-наслідків, розглядати витрати на кібербезпеку як стратегічні інвестиції та перетворити звіти з кібербезпеки на можливості для навчання. У підсумку, зробити роль охоронця стійкості центральною для корпоративного врядування є ключовим для запобігання кіберкризам і побудови цифрової стійкості на рівні всієї організації.»
Стаття «Ради потребують більш активного підходу до кібербезпеки» («Boards Need a More Active Approach to Cybersecurity» https://hbr.org/2025/05/boards-need-a-more-active-approach-to-cybersecurity ), яка була опублікована Harvard Business Review, привертає увагу Рад до питань кібербезпеки з точки зору відповідального довгострокового управління в інтересах стійкості, безпеки та добробуту компанії.
«Недооцінка бізнес-наслідків бездіяльності.
Багатьом Директорам природно комфортно обговорювати стратегічне бачення, зростання, нещодавні досягнення та майбутні цілі. Але побудова кіберстійкості починається з чіткого усвідомлення ризиків бездіяльності – і занадто багато Рад ігнорують наслідки недостатнього фінансування кібербезпеки. У контексті потенційних кіберінцидентів «вартість бездіяльності» ставить багато тривожних і незручних питань. Чи знають Директори, керівники та працівники, скільки коштує один день роботи компанії? Який рівень короткострокового операційного порушення здатна витримати організація, перш ніж це зруйнує реалізацію стратегії? Які частини організації не є «готовими» до кібератаки? Що Рада мала б спитати раніше, дізнатися чи попередити?»
«Накопичення надмірної технічної заборгованості.
Технічна заборгованість – це ще одне вагоме, приховане й часто недооцінене джерело уникнених кіберризиків і конкурентної слабкості. Типові форми технічної заборгованості включають застарілу інфраструктуру, відкладене технічне обслуговування, прострочене програмне забезпечення, несвоєчасні оновлення систем і відсутні патчі. Такі «тихі ризики» можуть призводити до зайвої вразливості, несподіваних простоїв і втрати продуктивності. Часто, коли кіберзлочинці використовують слабкі місця технічної заборгованості, компанії, які не підготувалися, змушені повністю зупинити свою діяльність.»
«Небажання сприймати погані новини як можливість для вдосконалення бізнесу.
Для керівників природно – зменшувати значення негативних новин або навіть приховувати їх. Навіть інформація про «кіберінцидент, якого ледь вдалося уникнути», може змусити досвідченого управлінця вагатися, перш ніж повідомити про це Раді. Мало хто хоче визнавати помилки, прорахунки чи невдачі – або брати за них відповідальність.»
«Хоча сучасне динамічне бізнес-середовище переповнене кіберризиками, які знаходяться поза контролем Рад, мислення з позиції опікунства (stewardship) може суттєво зменшити й попередити ті помилки, яких можна було уникнути. Ось п’ять практичних кроків, які Директори можуть зробити для посилення та розвитку «опікунського» підходу:
- Зробіть відповідальне довгострокове управління в інтересах стійкості, безпеки та добробуту компанії центральною темою кіберобговорень та рішень Ради…
- Заохочуйте команди з кібербезпеки мислити ширше щодо наслідків бездіяльності…
- Проводьте регулярний аудит кібербезпеки, щоб краще розуміти й зменшувати «технічну заборгованість»…
- Розглядайте стратегічні переваги кібербезпекових інвестицій, а не лише їхню вартість…
- Перетворюйте кіберзвітність на засіданнях Ради на можливість для навчання…»