Эффективность подходов к защите информации: кому нужен аутсорсинг ИБ?

2012 год показал, что нет ничего хуже уверенности в том, что защита хранимой информации является полной и самодостаточной. Бесконечное количество взломов и атак, кражи данных, компрометация средств безопасности и масса прочих неприятностей и катастроф, случающихся ежеминутно, оживили, казалось бы, полумертвый рынок аутсорсинга ИБ в мире.

Аналитические компании констатируют, что пора оптимизма, связанного с возможностью решать проблемы ИБ самостоятельно – за счет консьюмеризации и удешевления большинства массовых ИБ-продуктов – миновала. Злоумышленники усилили свою активность и готовы в любой момент времени атаковать абсолютно любую компанию или частное лицо. Так, например, по данным компании eScan, озвученным в рамках нового исследования проблем малого бизнеса, большинство руководителей предприятий СМБ ошибочно считают свои информационные системы хорошо защищенными. 86% руководителей компаний малого и среднего бизнеса удовлетворены уровнем защиты информации своих клиентов и сотрудников (52% респондентов удовлетворены полностью и 34% — до некоторой степени).

В то же время, в этом же исследованииговорится, что в секторе СМБ очень слабо реализованы технические и организационные меры по обеспечению информационной безопасности. У 87% опрошенных организаций нет сформулированной политики информационной безопасности для сотрудников, работающих в интернете, у 83% — нет плана защиты от кибератак. У 59% отсутствует план реагирования на утечки данных, 72% не имеют политики безопасного использования мобильных и удаленных устройств. Только 14% респондентов применяют многофакторную аутентификацию для доступа к сети и лишь 23% — шифрование данных клиентов.

Все вышеперечисленное говорит лишь о том, что общий уровень защиты данных в организациях такого плана стремится к нулю. Малый и средний бизнес отстает в плане реализации даже элементарных политик и процедур обеспечения информационной безопасности. Это происходит из-за недостаточной информированности руководства организаций СМБ об угрозах и доступных средствах защиты, а также из-за ограниченности ресурсов, направляемых СМБ на создание и поддержание своих систем информационной безопасности. Аналогичное утверждение справедливо и применительно к частным пользователям – они используют устаревшие операционные системы и приложения, часто не лицензионные. И те, и другие избрали позицию финансирования безопасности по остаточному принципу.

Между тем, малый и средний бизнес, а также пользователи становятся мишенью киберпреступников все чаще. И даже если в информационной сети небольшой организации или на домашнем компьютере не обрабатываются конфиденциальные данные, и потому ей не так сильно страшна кража информации, она может подвергнуться другим угрозам: например, выйти из строя из-за DDoS-атаки или быть использованной хакерами в качестве части ботнета. Если говорить о крупном бизнесе, то ситуация выглядит гораздо лучше, но и здесь питать иллюзии, что с увеличением масштабов производства и доходов от него на ИБ  будут тратить лишний рубль, не стоит.

Тушите свет

В случае с отечественными компаниями оценка эффективности подходов к защите информации отличается от Запада на несколько порядков не в пользу России. Степень внимания к вопросам ИТ, а также инструменты защиты, используемые малыми и средними предприятиями России, не обеспечивают должный уровень информационной безопасности, констатируют эксперты.

По данным "Лаборатории Касперского", на сегодняшний день 41% небольших организаций в России считают киберугрозы одним из главных бизнес-рисков. Несмотря на это, ИТ-стратегия не входит в число приоритетов малого и среднего бизнеса и занимает лишь 5 место по значимости после продуктовой, финансовой, маркетинговой и операционной стратегий. Между тем, как показало исследование, наиболее распространенным мерами обеспечения информационной безопасности являются антивирусная защита (70%), регулярная установка обновлений ПО (62%), а также механизмы послеаварийного восстановления системы (46%). Тем не менее, каждая третья компания малого и среднего бизнеса не использует антивирусную защиту в полной мере, а одна компания из ста вовсе не имеет защиты.

Более прогрессивные инструменты, такие как отдельная политика безопасности для ноутбуков и съемных носителей, шифрование данных и системы управления мобильными устройствами (Mobile Device Management, MDM), используют пока лишь немногие компании СМБ-сектора. Причем если в Москве применение этих подходов соответствует общемировому уровню, то в регионах России наблюдается серьезное отставание.

Подобное бедственное положение обусловлено банальной проблемой отсутствия свободных денег, которые можно было бы вложить в покупку соответствующих средств или привлечение ИБ-специалистов. Из-за бюджетных ограничений организации вынуждены отдавать приоритет другим, более критичным для бизнеса направлениям и использовать довольно ограниченный набор инструментов защиты. Вместе с тем, подобная "экономия на спичках" может стоить самого бизнеса - 40% кибератак в России приводят к утечке корпоративных данных и в некоторых случаях могут нанести непоправимый ущерб бизнесу.

Практика работы организаций России и СНГ в целом не отличается в лучшую сторону. Местные компании в основном уже постфактум реагируют на те или иные инциденты. Различные подразделения, которые в рамках одной организации так или иначе занимаются вопросами оценки и управления ИТ и информационной безопасностью, действуют зачастую разобщено, лоскутно покрывают лишь явно видимые проблемы. Информационные системы вроде и контролируются, но очевидно не так, как нужно.

Кому проще

Опрос и последующий анализ ответов представителей крупного бизнеса показал, что большинство отечественных территориально распределенных бизнес-структур самостоятельно защищаются от внешних угроз. Однако мировой опыт намекает ИТ-специалистам на более логичнее решение этой задачи - переложить ее на плечи поставщика телекоммуникационных услуг. В этом смысле идеальным решением было бы, если оператор связи создал для своих клиентов полноценную защиту от всех видов сетевых атак, включая фильтрацию трафика от вирусов, спама и хакерской активности плюс резервирование каналов на физическом уровне и возможность прозрачной замены вышедшего из строя канала связи на резервный. Дополнительно можно было бы также ввести контент-фильтрацию веб-трафика. При этом ничего экстраординарного в этом проекте нет - в действительности почти все корпоративные клиенты крупных операторов потребляют услуги шифрования канала передачи данных. Это базовый уровень защиты клиента со стороны оператора связи, который позволяет обеспечить конфиденциальность передаваемой информации. Однако спектр возможных сервисов не ограничивается шифрованием.

Сегодня телекоммуникационные операторы могут предложить заказчикам комплексный сервис, избавляя их от необходимости самостоятельной защиты множества конечных устройств и офисных локальных сетей. У многих наметился рост интереса к услуге защиты от DDoS-атак, поскольку такие угрозы уже стали элементом конкурентной борьбы, и многим предприятиям требуется обеспечивать беспрерывное функционирование своих порталов и сервисов, простой которых может привести к финансовым потерям. Связисты уже видят растущую потребность рынка в услугах ИБ, которые смогли бы обеспечить комплексную защиту сотрудников и систем организаций от наиболее распространенных угроз. В данном контексте наиболее выгодные условия могут предложить провайдеры высокого уровня и как можно большего территориального охвата. Если говорить о защите, операторы физического и канального уровня могут сделать не так много. На сетевом и транспортном уровне появляется возможность предоставления услуги MPLS и шифрования VPN, межсетевых экранов и средства защиты от DDoS-атак. На прикладном уровне операторы способны предоставить десятки видов программных средств защиты. Все это означает скорое развитие аутсорсинга в сфере ИБ, причем рост спроса будет прямо пропорционален потерям. Многие аналитики говорят о скором буме "облачных" решений для обеспечения безопасности. Но пока неясно, насколько отечественные компании готовы довериться партнеру.

Аутсорсинг как панацея

Коллективная защита обходится дешевле и позволяет сконцентрировать в нужном месте лучшие кадры, которые в ИБ отвечают за принятие решений. Именно поэтому в последние годы наблюдается отчетливая тенденция передачи функций защиты информации от пользователей к операторам связи по модели SaaS, то есть передача ИБ для контроля третьим лицам, которая теперь выводится на уровень комплексных мер и называется аутсорсингом.

Малым предприятиям и домашним офисам, не имеющим, как правило, выделенного ИТ-персонала, консалтеры-аутсорсеры преимущественно советуют простые в установке и обслуживании средства защиты. Среднему бизнесу они рекомендуют более “продвинутые” продукты, имеющие ряд дополнительных функций – таких, как контроль USB-устройств и репутационные сервисы. Кроме использования технических решений, малым и средним предприятиям стоит также реализовать необходимые организационные меры и закрепить их в комплекте нормативно-распорядительных документов.