Д-р инж. Петя Петрова е основател на CYBER CONSULTING GROUP Ltd., експерт по киберсигурност и водещ одитор по международни стандарти. Чрез компанията си тя предоставя цялостна експертна подкрепа на публични и частни организации в областта на управлението на киберриска, нормативното съответствие, одита, непрекъснатостта на дейността и специализираните обучения. 

Професионалният ѝ опит е допълнен от работата ѝ като университетски преподавател. Това ѝ позволява да съчетава практическата експертиза с методически подход и да представя сложните технически и нормативни изисквания на разбираем за ръководството и служителите език. 

CYBER CONSULTING GROUP Ltd. работи с публични и частни организации, сред които общини, държавни и регионални администрации, образователни институции, структури от здравеопазването, финансов и счетоводен сектор, експерт счетоводители, хотелиерски и ресторантьорски организации и компании от различни икономически сектори. Услугите се разработват според дейността, рисковия профил и конкретните потребности на всеки клиент. 

Кога киберсигурността започна да се превръща в критерий за надеждност на една организация?

Киберсигурността вече е част от начина, по който се оценява надеждността на една организация – не само по наличието на технически решения и документи, а по способността ѝ да управлява риска, да защитава критичните си процеси и да поддържа дейността си при инцидент. 

Именно в тази област е фокусирана работата ми чрез CYBER CONSULTING GROUP Ltd. Подпомагам публични и частни организации при оценката и управлението на киберриска, подготовката за закон за киберсигурност/Директива NIS2, Регламент Digital Operational Resilience Act (DORA, Regulation (EU) 2022/2554), ISO стандарти и сертификация, вътрешни одити, разработване на документация, определяне на необходимите технически и организационни мерки, обучение на ръководители и служители, както и последващата проверка на въведените решения. 

Същественото е тези дейности да не бъдат изпълнявани изолирано. Един клиент може да има необходимата техника, но да липсва правилна оценка на риска. Друг може да разполага с документация, която не отразява реалните процеси. При трети слабостта може да бъде в контрола върху доставчиците, непрекъснатостта на дейността или подготовката на екипа. 

Затова работата ми започва с конкретната среда на организацията и завършва с ясен план: какво трябва да бъде защитено, кои мерки са приоритетни, какъв ресурс е необходим и как ще бъде доказано, че резултатът е постигнат. 

Това е и разликата между отделна услуга и цялостна експертна подкрепа – клиентът да получи не просто препоръка, а последователност от решения, които може да бъдат приложени, проверени и развивани във времето. 

От какво трябва да започне една организация, когато планира подобряване на киберсигурността си? 

От правилното подреждане на приоритетите. 

Преди да се добавят нови мерки, е необходимо да има яснота кои процеси са критични, от какво зависят, къде са концентрирани отговорностите и кои прекъсвания биха имали най-сериозно отражение върху дейността. 

Тази картина позволява сигурността да се планира последователно – не като поредица от отделни инициативи, а като програма с конкретни цели, отговорности и срокове. 

Така ресурсът се насочва там, където има най-голямо значение, а нормативните изисквания, документацията, обученията, одитът и необходимите технически мерки се подреждат според реалните приоритети на организацията. 

Подобряването на киберсигурността започва не с повече действия, а с правилната последователност на действията. 

Къде е балансът между техническата защита и човешкия фактор? 

По-скоро става въпрос не за баланс, а за взаимна зависимост. 

Техническият контрол трябва да ограничава вероятността и въздействието на инцидентите. Хората от своя страна трябва да могат да разпознават отклонения, да следват установения ред и да вземат навременни решения, когато ситуацията го изисква. 

Затова ефективното обучение трябва да бъде свързано с реалната среда на организацията и с конкретните механизми за защита, които тя използва. Ръководството, административните служители и техническите екипи имат различна роля и подготовката им следва да отразява именно тази разлика. 

В обученията, които провеждам, използвам сценарии и практически казуси, чрез които се проверява не само знанието, а способността то да бъде приложено в конкретна ситуация. 

Технологията може да ограничи инцидента. Подготвеният екип определя колко бързо и адекватно организацията ще реагира на него. 

Какво добавя одиторският подход към тази картина? 

Доказуемост. 

Една мярка не е достатъчна само защото е описана или внедрена. Необходимо е да може да бъде проверена – как се прилага, кой носи отговорност и какъв резултат постига. 

Експертизата ми като водещ одитор по международни стандарти, допълнена от техническата практика, ролите на DPO, CISO и преподавател ми позволява да разглеждам едновременно техническите, нормативните, организационните и управленските аспекти на сигурността. 

Особено ценна е независимата оценка, защото дава на ръководството обективна перспектива върху съществуващите мерки и позволява да бъдат разграничени формалното изпълнение, реалната ефективност и областите, в които е необходимо последващо развитие. 

Така ръководството получава не просто списък с несъответствия, а обоснована основа за решение – какъв е рискът, какво следва да бъде променено, какъв ресурс е необходим и по какъв начин ще бъде оценен постигнатият резултат. 

Кога киберсигурността започва да носи директна бизнес стойност? 

Когато се превърне от защитна функция във фактор за конкурентоспособност и доверие. 

Големи клиенти, възложители и партньори все по-често оценяват не само качеството на продукта или услугата, а и надеждността на организацията зад тях – начина, по който защитава информацията, управлява достъпа, контролира външните зависимости и поддържа готовност за непрекъснатост и възстановяване. 

Това придава на киберсигурността пряко значение при сключването на договори, участието в обществени поръчки, включването във вериги на доставки и изграждането на дългосрочни партньорства. Способността да се докаже адекватно ниво на защита все по-често се превръща в част от оценката на самата организация като надежден контрагент. 

Особено значим е репутационният аспект. Преките финансови загуби може да бъдат изчислени и компенсирани, докато нарушеното доверие има по-дълъг хоризонт и може да повлияе върху отношенията с клиенти, партньори и пазара значително след преодоляването на самия инцидент. 

Именно тук киберсигурността надхвърля рамките на защитата – тя започва да подкрепя бизнес отношенията, репутацията и способността на организацията да доказва своята надеждност. 

Какъв е Вашият съвет към ръководителите при планирането на бюджета за киберсигурност? 

Именно защото киберсигурността вече има пряко отражение върху доверието, договорните отношения и конкурентоспособността, бюджетът не следва да се планира единствено през въпроса „колко ще струва“, а през въпроса: 

„Каква стойност защитаваме?“ 

Данни. Договори. Непрекъснатост на дейността. Репутация. Доверие. Позиция на пазара. 

Правилно планираният бюджет трябва да следва реалния риск, но и приложимите законови и регулаторни изисквания. Това предполага ресурс не само за техническа защита, а и за необходимата документация, специализирани обучения, организационни мерки, вътрешен контрол, одит и последваща оценка на ефективността. 

Технологията осигурява защитата. Документацията определя правилата и отговорностите. Обучението подготвя хората за реални ситуации. Одитът и независимата оценка показват доколко цялата система действително работи. 

Затова добрият бюджет не финансира повече мерки, а правилната комбинация от технически, организационни, нормативни и управленски решения. 

Именно тук експертната оценка има особена стойност – да определи кое е необходимо, кое е приоритетно и как ресурсът да бъде насочен така, че едновременно да намалява риска, да осигурява съответствие и да повишава готовността на организацията. 

В тази логика е и ролята на CYBER CONSULTING GROUP Ltd. – да подпомага ръководството при превръщането на нормативните изисквания, риска и наличния ресурс в ясен и реалистичен план за действие. 

Как бихте обобщили философията си на работа с организациите? 

В основата на работата ми стои принципът на обоснования подход – всяка намеса да бъде необходима, пропорционална и насочена към конкретен резултат. Не следвам модела „повече сигурност“, а по-точно управление на риска. 

Именно така изграждам и ролята на CYBER CONSULTING GROUP Ltd. – да съчетава експертната оценка, нормативните изисквания, одита и подготовката на екипа в единна рамка, която е съобразена с реалната среда на организацията. 

Киберсигурността има реална стойност тогава, когато бъде интегрирана в начина, по който се ръководи дейността – така че критичните процеси да останат устойчиви, реакцията да бъде навременна, а контролът да се запази дори и в неблагоприятна среда.