Обзор подготовлен
Евгений Акимов:
Компании отходят от рисковой модели в принятии решений по ИБ в пользу снижения реальных потерь
На вопросы CNews отвечает Евгений Акимов, заместитель директора Центра информационной безопасности компании «Инфосистемы Джет».
CNews: Какие основные тенденции развития российского рынка ИБ вы отмечаете за последний год?
Евгений Акимов: Самые очевидные тенденции последних лет продиктованы «внешними» факторами, а именно - нормативными требованиями. Они оставались и в 2011 году стимулирующими факторами развития рынка ИБ. Однако если ранее проекты по приведению в соответствие таким требованиям были, пожалуй, самыми актуальными, то в этом году ситуация несколько изменилась. Например, в настоящее время проекты по тематике защиты персональных данных (ПДн) в большинстве компаний подходят к завершению. В частности, крупные коммерческие операторы персональных данных успели реализовать основные требуемые защитные механизмы. Исключением является госсектор, в котором очень длительная процедура выделения бюджетов, выбора поставщика решения и прочие сдерживающие факторы, и 2011-2012 годы – «горячее» время для реализации проектов по защите ПДн.
В отличие от требований по защите ПДн стандарт PCI DSS по безопасности платежных систем стал обязательным только в конце 2011 года. Соответственно, и пик работ по приведению в соответствие немного сдвинут. Именно в этом году завершаются проекты почти во всех процессинговых компаниях, и значительное их количество пришлось на вторую половину года. Однако за счёт того, что в отведенный срок не успевают завершить проекты значительное число банков, имеющих собственные процессинговые центры, в 2012 г. объем рынка по данному направлению будет сравним с 2011 г.
Отдельно в ряду нормативных требований стоит Стандарт Банка России (СТО БР ИББС), который пока носит рекомендательный характер. В конце 2010 г. регуляторами в области защиты информации был значительно «поднят» статус этого стандарта, и многие банки пошли по пути следования ему. До середины 2011 года наблюдался резкий всплеск соответствующих проектов. По данным ЦБ, абсолютное большинство банков выбрало именно такой вариант удовлетворения регуляторных требований. Однако в настоящее время большинство проектов по СТО БР заморожено в связи с выходом новой редакции закона «О персональных данных». И пока ситуация не изменится, банки не будут возобновлять активные работы в этой области. Скорей всего, будут проводиться самооценки требованиям стандарта, какие-то небольшие внутренние аудиты.
CNews: Какие тенденции, связанные с требованиями бизнеса, диктуют развитие рынка ИБ?
Евгений Акимов: Это существенная доля наших проектов. Даже в проектах, инициированных с целью Compliance, мы обязательно решаем и бизнес-задачи.
Последние несколько лет требования бизнеса превращались в конкретные механизмы обеспечения ИБ через методологию оценки рисков. Системы управления ИБ, особенно построенные и, тем более, сертифицированные по стандарту ISO 27001, были своего рода high-end в области ИБ. Первые проекты по данному стандарту были реализованы всего около 5 лет назад. Среди наших заказчиков – крупнейшие компании, включая МТТ, РОСНО, Эльдорадо и другие.
Анализируя наши проекты за последние два-три года (только за 2010 год у компании «Инфосистемы Джет» было 183 уникальных заказчиков по ИБ) и текущую ситуацию на рынке, можно смело утверждать, что сейчас безопасность - уже не борьба с угрозами и снижение рисков. В фокусе внимания - реальное противодействие мошенничеству с использованием ИТ, снижение потерь доходов, борьба с утечками информации, управление инцидентами. При определении направления развития систем ИБ компании приходят к вполне осязаемым показателям – снижению числа инцидентов, сокращению потерь и предотвращенному ущербу (в том числе и финансовому).
*Рейтинг системных интеграторов в области ИБ за 2010 г., составленный независимым аналитическим агентством AntiMalware.ru
CNews: Какие решения с точки зрения ИБ вы оцениваете как наиболее перспективные?
Евгений Акимов: Практически все решения, которые мы используем в проектах, в настоящее время рассматриваются нашими заказчиками как системы, польза от которых измеряется прежде всего в предотвращенных потерях. Речь идет не только о специализированных Fraud Machine (системы по борьбе с мошенничеством, например в ДБО) или Revenue/Business Assurance Systems (системы гарантирования доходов и предотвращения потерь), но и о DLP-решениях, IdM- системах, Security Operations Centers и решениях по защите баз данных и приложений. На наш взгляд, это мейнстрим развития отрасли на ближайшие несколько лет, а проекты по традиционной безопасности (сетевой, антивирусной, web-security, шифрованию, аутентификации и прочее) будут играть хотя и очень важную, но вспомогательную роль. Скорее всего, это будут преимущественно проекты, связанные с оптимизацией уже существующего функционала, снижением операционных затрат, повышением эффективности.
CNews: Какие направления пока не покрываются или слабо покрываются имеющимся спектром решений по ИБ?
Евгений Акимов: Сейчас одним из таких направлений является защита виртуальных сред. Массовый переход на «виртуальные рельсы» начался пару-тройку лет назад. Однако лишь в единицы проектов изначально закладывались сколько-нибудь серьёзные требования по обеспечению ИБ. В результате сегодня бизнес активно использует виртуальные среды с более низким уровнем обеспечения ИБ, чем на традиционных ИТ- инфраструктурах. Только около года назад на рынке появились действительно эффективные средства защиты виртуальных сред и стартовали первые пилоты. Массовый спрос на подобные решения мы ожидаем в ближайшие 2-3 года.
Схожая обстановка на рынке дистанционного банковского обслуживания. Практически все банки предлагают этот сервис как для корпоративных, так и для частных заказчиков уже много лет. По оценкам экспертов банковского сообщества, объем хищений в этой сфере ежегодно увеличивается в 2-4 раза, идёт большая претензионная работа, клиенты перестают доверять своему банку, на кону – репутация компаний. Это заставляет банковские организации серьезно заниматься проблемой противодействия мошенничеству в ДБО. В мире уже давно занимаются этой проблемой, но российский рынок традиционно несколько отстает. В настоящее время на российском рынке появилось большое количество новых вендоров, предлагающих подобных решения. На этот рынок вышли и мировые вендоры (Oracle, HP и др.). Многие из них сделали это, поглощая успешные стартапы. В этом году прошли первые тендеры с участием российских интеграторов, до этого решения, как правило, реализовывались зарубежными консультантами. Выбраны поставщики решений (пара интегратор-вендор), стартовали пилотные проекты, и наша компания здесь занимает одну из лидирующих позиций.
Еще одной технологической тенденцией является защита мобильных устройств (планшетников, коммуникаторов), которые начали активно использоваться для решения бизнес-задач. Сейчас в ответ на серьёзную и обоснованную озабоченность по поводу безопасности появились первые технологии защиты и проекты на их основе. Это не самые ресурсоёмкие проекты, но они будут массовыми в ближайшее время.
CNews: Как изменилось отношение российского бизнеса к проблемам обеспечения ИБ? Вообще, как меняются требования и уровень грамотности заказчика в области обеспечения ИБ?
Евгений Акимов: Начну с простого примера – ситуация с поправками и новыми редакциями закона «О персональных данных». Эта тема обсуждалась в этом году очень активно, освещалась в СМИ, в том числе деловых, общественно-политических. Все это привело к тому, что проблема стала важной не только для бизнеса, но и для всего общества. В этой ситуации топ-менеджмент компаний был вынужден «погрузиться» в тематику и начать принимать необходимые меры для сохранности данных своих клиентов.
Не менее показательная ситуация сложилась на рынке с требованиями стандарта PCI DSS. Он стал для компаний мощным стимулом для выделения бюджетов на безопасность и осознания важности выполнения регламентов и процедур ИБ, продиктованных международными требованиями. Гибкость и функциональность процессинга, безусловно, конкурентное преимущество, а теперь таковым стала и его безопасность. ИБ перешла из разряда чего-то второстепенного в необходимый, важный для бизнеса инструмент.
Другой характерный пример – ситуация с инцидентами в области ИБ, получившими широкую огласку. Эффект «пока гром не грянет, мужик не перекрестится» действительно начинает работать. Раньше мы были вынуждены приводить примеры инцидентов из международной практики, но для российского заказчика они оставались далекими и призрачными. Теперь достаточно вспомнить серию утечек конфиденциальной информации в нашей стране, которая освещалась в СМИ.
К сожалению, инциденты ИБ в настоящее время имеют место практически в любой компании. Выполняя пилотные внедрения DLP-систем, уже через две недели мы можем предоставить заказчику реальные результаты, т.е. по сути, факты утечек. Можно наглядно продемонстрировать, какую информации и через какие каналы сотрудники «выводят» из компании. Число инцидентов действительно растет, и понимание топ-менеджерами необходимости уделять серьезное внимание ИБ и выделять для этого ресурсы пришло во всех отраслях экономики.
CNews: Как бизнес может оценить эффективность внедрения систем ИБ?
Евгений Акимов: Несмотря на происходящие изменения, для бизнеса ИБ зачастую остается «черным ящиком», в котором скрыт набор тех самых современных и дорогостоящих средств и мер, отдача от которых неясна. Стать «переводчиком» между бизнесом и ИБ, дать возможность бизнесу оценить эффективность внедрения мероприятий по ИБ могла бы система объективных KPI.
Однако типовых и универсальных ключевых показателей эффективности обеспечения ИБ нет. Все зависит от специфики каждой организации: кому-то интересны качество «внутренней услуги» обеспечения ИБ, степень «удобства» ИБ для пользователей, финансовые оценки работы процессов ИБ – соответствие реальности изначальным ожиданиям, кому-то важны более «технические» низкоуровневые показатели.
Для наших заказчиков в этом году мы вывели на рынок новое решение – построение системы эффективности управления информационной безопасностью (Information Security Performance Management), которое начинается с консалтинга, определения целей ИБ в компании и иерархии показателей эффективности (от «технических» до бизнес-показателей), а завершается внедрением системы автоматизации на основе BI-систем, которые практически в режиме реального времени демонстрируют состояние ИБ и степень ее эффективности.
CNews: Спасибо.
