Опубликовано: 24.08.2026 | Источник: Inc.

Как кейс с вредоносными расширениями Chrome превратить в сильную ВКР по управлению рисками

Представьте: сотрудник скачал безобидное на вид расширение для браузера, а через месяц у него угнаны корпоративные аккаунты, утёк клиентская база и подписан липовый договор. Именно это произошло с пользователями 108 расширений Chrome, о которых сообщил Inc.com. Расширения крали данные Google-аккаунтов, переписки, контакты и связанные сервисы. Для студента управленческого профиля это не просто новость из раздела «кибербезопасность», а готовый управленческий кейс: слабый контроль цифровых активов, отсутствие регламентов, размытая ответственность за IT-риски. В дипломе такой кейс можно использовать как отправную точку для аудита, проектирования системы контроля и расчёта предотвращённого ущерба.

Три темы ВКР, которые вырастают из этой статьи

Тема 1. Совершенствование системы управления информационными рисками предприятия

Актуальность. Статья о 108 расширениях — яркий пример того, что человеческий фактор и слабая автоматизация контроля создают реальные финансовые потери. Для предприятия любой отрасли это риск утечки коммерческой тайны и репутационный ущерб.

Цель. Разработать мероприятия по снижению информационных рисков на основе процессного подхода.

Задачи:

• Провести аудит текущей системы информационной безопасности;
• Определить зоны ответственности подразделений за цифровые активы;
• Внедрить регламент проверки и согласования браузерных расширений и стороннего ПО;
• Рассчитать экономический эффект от предотвращённых инцидентов.

Структура: Глава 1 — теоретические основы управления рисками (PMBOK 7, ГОСТ Р ИСО 9001-2015). Глава 2 — диагностика предприятия и картирование AS-IS. Глава 3 — план внедрения и оценка эффективности.

Тема 2. Внедрение политики информационной безопасности в компании с удалёнными командами

Актуальность. Гибридный формат работы размывает периметр корпоративной сети, а сотрудники используют личные устройства и браузеры. Расширения-шпионы проникают именно через такие каналы.

Цель. Спроектировать политику информационной безопасности для распределённой команды и механизмы её соблюдения.

Задачи:

• Проанализировать профиль угроз для сотрудников на удалённом доступе;
• Разработать чек-листы и инструкции по безопасной работе с браузерами;
• Внедрить систему мотивации за соблюдение регламентов (привязка к KPI);
• Оценить стоимость внедрения и риски.

Структура: Глава 1 — влияние цифровизации и гибких форматов на управление. Глава 2 — моделирование процессов обеспечения безопасности. Глава 3 — расчёт эффективности предлагаемых решений.

Тема 3. Оптимизация процесса контроля цифровых активов на предприятии

Актуальность. Регулярные проверки расширений, лицензий и прав доступа часто не формализованы. Как следствие — инциденты, подобные описанному в статье, становятся возможными.

Цель. Оптимизировать процесс управления цифровыми активами, снизить издержки на устранение последствий инцидентов.

Задачи:

• Провести картирование текущего процесса (AS-IS);
• Сформировать целевую модель TO-BE с использованием бережливого производства (lean) для устранения потерь;
• Разработать регламенты и положение о подразделении, отвечающем за информационную безопасность;
• Подготовить обоснование инвестиций (ROI, NPV).

Структура: Глава 1 — методология управления процессами. Глава 2 — диагностика и проектирование. Глава 3 — внедрение и оценка результативности.

Как использовать статью в аналитической главе диплома

В аналитической части ВКР статья даёт типовой сценарий инцидента. Его можно оформить как «событие-триггер», от которого выстраивается вся логика исследования. Не нужно пересказывать статью — используйте её как кейс для аудита.

Аудит процессов и картирование AS-IS

Возьмите за основу ситуацию с расширениями Chrome и проверьте, есть ли на предприятии аналог такого риска. Например, регламентировано ли использование браузерных расширений, кто их согласовывает, есть ли журнал учёта ПО, как часто проводится ревизия настроек. Для наглядности составьте таблицу.

Такая таблица ляжет в основу SWOT или PESTLE-анализа. Также вы можете построить диаграмму потоков создания ценности (Value Stream Mapping), чтобы показать, на каком этапе теряется контроль.

Проектные решения и модель TO-BE

Проектная часть должна предложить конкретные изменения. Например:

• ввести утверждённый перечень разрешённых расширений и подпись руководителя для доступа;
• настроить автоматические алерты при установке нового ПО;
• включить в должностные обязанности системного администратора ежеквартальный аудит браузеров;
• привязать выполнение требований информационной безопасности к KPI сотрудников (например, доля проверок с первого раза).

Хорошо смотрится дорожная карта внедрения. Разбейте её на этапы: 1–2 месяца — разработка регламента и согласование; 3–4 месяц — пилот на одном подразделении; 5–6 месяц — тиражирование. Используйте диаграмму Ганта или план-график в таблице.

Экономическое обоснование: расчёт ROI, NPV и рисков

Самый частый вопрос студентов — «как считать экономический эффект, если нет бухгалтерских данных». В кейсе с расширениями эффект считается через «предотвращённый ущерб». Опишите базовый сценарий: средняя стоимость утечки корпоративных данных по отчётам ~2,5 млн рублей (можно взять актуальные данные по отрасли). Вероятность инцидента на предприятии без политики — 60% в год. После внедрения регламентов и технических мер вероятность снижается до 10%. Тогда ожидаемый предотвращённый ущерб = 2,5 млн × (60%−10%) = 1,25 млн рублей в год.

Сравните эту сумму с затратами на внедрение: лицензии на программное обеспечение, часы администратора, обучение сотрудников. Если затраты 400 тыс. рублей, то ROI = (1,25 млн − 0,4 млн) / 0,4 млн × 100% = 212%. NPV — дисконтируйте потоки на 3 года со ставкой 12%. Срок окупаемости получится около 4–5 месяцев. Такой расчёт легко защитить перед комиссией, даже если у вас нет доступа к внутренней бухгалтерии.

Не забудьте про анализ рисков внедрения: низкая вовлечённость сотрудников, сопротивление изменениям, устаревшая IT-инфраструктура. Для каждого риска укажите вероятность и план митигации.

Чему вы научитесь, проработав этот кейс

• Моделировать процессы AS-IS и TO-BE, строить диаграммы потоков данных;
• Разрабатывать регламенты и положения о подразделениях с распределением ответственности;
• Считать ключевые управленческие метрики: ROI, NPV, срок окупаемости, KPI для персонала;
• Формировать дорожную карту и защищать проект перед комиссией, отвечая на вопросы про риски и ресурсы.

Эти навыки ценны не только для диплома, но и для реальной работы в должности аналитика, менеджера проектов или руководителя отдела.

Типичные ошибки студентов в таких ВКР

FAQ: вопросы, которые студенты чаще всего задают

Где брать данные для анализа предприятия, если у меня нет доступа к внутренней документации?

Используйте данные открытых источников: сайт компании, портал раскрытия информации, годовые отчёты, публичные тендеры. Для расчётов берите отраслевые средние ставки и коэффициенты. Если тема согласована с предприятием, можно запросить обезличенные данные через кафедру.

Как считать экономический эффект, если нет бухгалтерии?

Опирайтесь на предотвращённый ущерб или на сокращение трудозатрат. Покажите, сколько времени сейчас тратится на ликвидацию последствий инцидента и умножьте на среднюю зарплату специалиста. Это будет обоснованной оценкой.

Какие приложения должны быть в ВКР по управлению?

Положение о подразделении, регламент, анкета опроса сотрудников, экономические расчёты в Excel, презентация проекта. Каждое приложение должно упоминаться в тексте.

Как защитить проект, если руководство компании внезапно сменилось?

Акцентируйте универсальность решений и опирайтесь на внешние требования (стандарты ISO, рекомендации PMBOK). Покажите, что предложенная система не зависит от личности руководителя, а встроена в процессы.

Источник: Avoid These 108 Malicious Chrome Extensions. They’re Stealing Your Data (опубликовано 2026-04-16)