Тенденции ИБ в условиях кризиса
Консалтинговое бюро «Практика Безопасности» и портал SecurityLab.ru представляют результаты первого российского исследования, призванного выявить актуальное положение дел в отрасли информационной безопасности (ИБ) в момент экономического спада и тотального сокращения расходов.
В рамках исследования рассмотрен ряд ключевых для отрасли вопросов. Как кризис повлиял на отношение к ИБ со стороны руководства компаний, самих ИБ-специалистов, а также работников основных бизнес-подразделений? Cможет ли кризис принести какие-то дивиденды, а не только негатив? За счет чего планируется сокращать расходы?
Авторы исследования надеются, что данный отчет поможет увидеть целостную картину в отрасли ИБ, и поспособствует принятию решений, касающихся развития ИБ на каждом из предприятий.
Ключевые выводы
- Важность ИБ не вызывает сомнений. Примерно половина (50,6%) участников исследования считает, что защита корпоративных секретов всегда является первоочередной задачей, а 22,7% респондентов заявили, что укрепление ИБ особенно важно в кризисные времена для повышения конкурентоспособности. Вместе с тем, безопасность не должна стать самоцелью. Наоборот, сегодня ИБ должна понимать нужды бизнеса и развиваться с ним в одном направлении.
- Участники исследования видят в кризисе не только отрицательные тенденции, но и называют положительные моменты. Так, компании оказываются мотивированными сокращать лишние расходы (47,6%). Финансирование будет выделяться, прежде всего, на ИБ-проекты с быстрой и очевидной отдачей. Особую роль будет играть профессионализм и оперативность внедренцев ИБ-решений, а не имидж малоэффективного интегратора.
- Только несколько процентов наиболее дальновидных компаний увеличивают расходы на безопасность. Остальные вынуждены сокращать расходы, прежде всего на оборудование (42,1% организаций) и программное обеспечение (37,0% организаций). Приостанавливаются проекты без гарантированного результата, прекращается пора масштабных закупок. В этой ситуации возрастает роль консультантов и внедренцев, которые будут доводить проекты до конца и обеспечивать эффективность вложений в безопасность.
- При отсутствии средств на приобретение новых средств ИБ, компании будут более полно использовать существующие. К тому же многие крупные организации и госструктуры располагают арсеналом не доведенных до эксплуатации систем. В условиях, когда крупные интеграторы уже выбрали все ресурсы по данным проектам, на помощь придут команды профессиональных консультантов и внедренцев.
- Эффективным способом сокращения финансирования без ущерба для безопасности является перераспределение средств между статьями расходов. Более всего в сложившейся ситуации востребованы будут продукты для защиты информации от разворовывания, а также услуги профессиональных консультантов по ИБ. Также, компании переориентируются с интеграторов широкого профиля на профессиональных консультантов по ИБ, предлагающих более качественные услуги за меньшие деньги.
- Несмотря на тотальное сокращение расходов, отдать ИБ на аутсорсинг готовы только в 5,5% компаний. Вместе с тем, организации не имеют противопоказаний для привлечения внешних ИБ-консультантов на конкретные проекты. Это позволит получить услуги высокого качества по разумной цене и сохранить независимость службы ИБ.
Методология исследования и портрет респондента
Исходные данные для исследования собирались с помощью online-анкетирования специалистов по ИБ на портале SecurityLab.ru. Вопросы для исследования составлялись с учетом компетенции и специфики профессиональной деятельности респондентов.
Опрос проводился в течение двух недель с 16 по 30 декабря 2008 года. За это время анкету заполнили 330 человек. Представители малого (до 100 сотрудников), среднего (от 100 до 1000 работников) и крупного (свыше 1000 человек) бизнеса оказались в примерно равны долях (см. рис. 1).
Рис. 1. Количество сотрудников в организации*.
- Менее 100 43,0%
- От 100 до 500 26,4%
- От 501 до 1000 9,1%
- От 1001 до 5001 10,3%
- От 5001 до 10 000 6,1%
- Более 10 000 5,2%
* Сумма ответов респондентов составляет 100% +- 0,1%. Погрешность обусловлена правилами арифметического округления.
Отраслевое распределение (см. рис. 2) с уклоном в сторону компаний телекоммуникационной отрасли и информационных технологий (ИТ) обусловлено целевой аудиторией исследования и спецификой аудитории портала SecurityLab.ru.
Рис. 2. Сфера деятельности организации.
- Министерства и ведомства 7,6%
- ТЭК 3,6%
- Финансовые услуги 11,8%
- Страхование 0,3%
- Производство 10,0%
- Телекоммуникации и ИТ 30,6%
- Образование 4,2%
- Торговля 14,2%
- Другая 17,6%
Профессиональное распределение (см. рис. 3 и рис. 4) указывает на то, что реальная целевая аудитория совпадает с желаемой. Представители (специалисты и руководители) ИТ-подразделений (60,3%) имеют значительное количественное преимущество перед сотрудниками ИБ-подразделений (21,2%), тем не менее, и те и другие занимаются вопросами ИБ. Кроме того, как мы увидим ниже, далеко не все компании имеют выделенный ИБ-отдел. Не удивительно, что в небольших организациях вопросами безопасности занимаются ИТ-сотрудники. Руководители компаний и представители бизнес-подразделений составляют 18,5% респондентов.
Рис. 3. Должность респондента.
- Руководитель отдела ИТ 19,4%
- Руководитель отдела ИБ 8,2%
- Специалист по ИТ 40,9%
- Специалист по ИБ 13,0%
- Другая 18,5%
Рис. 4. Вовлеченность респондента в процесс принятия решений по вопросам ИБ.
- Принимаю окончательные решения 25,5%
- Даю рекомендации для руководства 58,5%
- Не участвую в процессе принятия решений 16,1%
Таким образом, большинство участников исследования – это люди, прекрасно осведомленные о состояния дел в области ИБ в своих организациях. Примерно четверть респондентов (25,5%) сами принимают решения по вопросам ИБ. Еще 58,5% дают рекомендации для руководства.
ИБ в кризисные времена
Вопросы основной части исследования можно сформировать по группам. Вначале респонденты поделились мнением о месте ИБ в условиях кризиса, его возможных положительных моментах, а также мерах по ужесточению корпоративных политик ИБ в своих организациях. Далее участники исследования рассказали о мерах по сокращению затрат на ИБ, о том, грозит ли ИБ-специалистам увольнение, а если грозит, то кому. Кроме того, респонденты ответили на один из давно муссируемых вопросов, можно ли отдать безопасность на аутсорсинг? Наконец, финальная группа вопросов касается эффективности ИБ.
Итак, даже в условиях кризиса и тотального сокращения расходов, важность ИБ не вызывает сомнений (см. рис. 5). Свыше половины (50,6%) респондентов уверены, что защита секретной информации по все времена является важнейшей задачей организаций. Более того, 22,7% участников исследования заявили, что роль ИБ-подразделений еще более возрастает во время кризиса. Только 5,2% специалистов считают, что сэкономить можно и на безопасности.
Рис. 5. Важность ИБ в кризисные времена.
- Защита корпоративных секретов всегда является первоочередной задачей 50,6%
- Укрепление ИБ особенно важно в кризисные времена для повышения конкурентоспособности 22,7%
- ИБ помогает выявить инсайдеров, которых можно будет уволить без выходного пособия 5,5%
- Несоблюдение политик ИБ можно использовать как предлог для сокращения ненужных сотрудников 4,2%
- Бюджеты на ИБ были слишком завышены, урезать расходы на безопасность не помешает 5,2%
- Затрудняюсь ответить 11,8%
Примечательны две малочисленные доли ответов. 5,5% респондентов собираются использовать возможности систем ИБ для благих, в общем-то, целей – выявления инсайдеров, которых можно будет сократить без выходного пособия. А 4,2% наоборот, воспользуются нарушением политик как предлогом для увольнения. При таком подходе и желании «убрать» неугодный персонал, очевидно, не составит никакого труда создать жесткие политики, не нарушить которые будет практически невозможно. Только цели ИБ изначально, совсем иные, а потому подобные меры вызовут лишь озлобленность работников и спровоцируют персонал на саботаж и преднамеренную кражу информации.
Ответы на следующий вопрос (см. рис. 6) в целом подтверждают слова о важности ИБ в кризисный период. Ведь в большинстве организаций происходит ужесточение политик ИБ. Чаще всего производится аудит (26,1%) и перераспределение (29,4%) прав доступа к информационным ресурсам, а также ужесточается контроль над использованием сетевых ресурсов (27,0%). Последняя мера, скорее всего, направлена даже не на усиление режима безопасности, а на сокращение расходов на трафик. Финансовая выгода, скорее всего, будет «копеечной», однако, к примеру, блокирование сервисов обмена мгновенными сообщениями действительно снизит риск утечки данных.
Рис. 6. Происходит ли ужесточение корпоративной политики ИБ в период кризиса**.
- Да, происходит перераспределение прав доступа сотрудников к информационным ресурсам 29,4%
- Да, производится аудит прав доступа сотрудников к информационным ресурсам 26,1%
- Да, ужесточается контроль над использованием сетевых ресурсов 27,0%
- Да, ужесточается контроль над использованием мобильных носителей и (или) принтеров 17,0%
- Да, ужесточается контроль над использованием мобильных телефонов 12,7%
- Да, усилены меры визуального контроля над сотрудниками 15,5%
- Да, происходит, но затрудняюсь перечислить все факторы 11,5%
- Затрудняюсь сказать, ужесточается политика ИБ или нет 18,8%
- Политика мягче не стала, но ослаблен контроль, сейчас не до ИБ 21,2%
- Нет, политика стала мягче 7,3%
** — Сумма ответов превышает 100%, т.к. респонденты могли выбрать несколько ответов.
Несколько странным кажется усиление таких мер как ужесточение контроля над использованием мобильных телефонов и, особенно, визуальный контроль над сотрудниками. Первая не дает ни ощутимого укрепления безопасности, ни реального экономического эффекта. Кстати, и реализуется чаще всего именно непосредственным наблюдением, кто использует телефон в офисе. Что же касается собственно визуального контроля, такая мера может быть действительно эффективна только в небольших компаниях с большим количеством «надсмотрщиков». Остается надеяться, что указанные меры не будут использоваться для упомянутого выше предлога для сокращения работников.
Тревожным фактором можно назвать то, что наряду с усилением политик безопасности в большинстве организаций, немало фирм (21,2%) вынуждены были ослабить контроль над их выполнением, либо смягчили сами политики (7,3%).
Несмотря на все очевидные негативные последствия кризиса, специалисты настроены, в целом, достаточно оптимистично, и видят немало положительных моментов (см. рис. 7). Почти половина респондентов (47,6%) указывает, что кризис заставит компании заняться оптимизацией процессов, сократить лишний персонал, что положительно скажется на конкурентоспособности организаций.
Рис. 7. Положительные моменты экономического кризиса.
- Кризис мотивирует компании сократить лишние расходы 47,6%
- Рынок труда перестанет страдать от нехватки ИБ-специалистов 10,9%
- Зарплаты специалистов по ИБ будут снижены 10,6%
- Можно рассчитывать на увеличение бюджета ИБ 6,7%
- Все положительные черты кризиса малозначащи 35,5%
- Затрудняюсь ответить 13,6%
Немало участников исследования, также, отметили, что кризис поспособствует улучшению ситуации на рынке труда, уже много лет страдающего от нехватки персонала (10,9%), а потому подверженного переоценке зарплат работников (10,6%). Впрочем, следует иметь в виду, что избавляться, скорее всего, будут в первую очередь от малоквалифицированного персонала, который не решит проблему нехватки специалистов. А урезание зарплат – мера непопулярная и неправильная. Потому что, мягко говоря, не способствует повышению лояльности и мотивации работников на ответственных постах, а, кроме того, в целом ведет к снижению уровня жизни работников.
«В условиях «финансового благополучия» контракты на ИБ-проекты часто получали крупные системные интеграторы благодаря устоявшейся репутации либо личным связям. Сегодня же, когда компании как никогда озабочены эффективностью вложений в ИТ и ИБ, преимущество будет уже на стороне небольших компаний профессионалов, готовых предложить действительно лучшие условия».
Среди ответов на вопрос о последствиях кризиса нельзя и не отметить значительную долю (35,5%) скептиков. Или, может быть, реалистов. Это специалисты, которые считают, что все перечисляемые преимущества, такие как реструктуризация, выявление лишних штатных единиц и пр. – это всего лишь красивые слова, на деле не дающие заметной выгоды.
Кризис и сокращение расходов
Посмотрим, далее, какие изменения происходят в бюджетах организаций на ИБ (см. рис. 8). Беглого взгляда на доли ответов достаточно, чтобы понять, правильные идеи об усилении роли ИБ имеют мало общего с реальностью. В условиях жесткой экономии компании готовы экономить даже на безопасности. Если увеличены расходы по различным статьям от 2,4% до 5,5%, то снижение наблюдается от 27% до 42,1%. То есть увеличивает расходы на безопасность примерно 1 компания из 20, а уменьшает чуть ли не каждая вторая!
Рис. 8. Перераспределение затрат на ИБ.
- Уменьшены расходы на зарплату сотрудникам 27,0%
- Уменьшены расходы на оборудование 42,1%
- Уменьшены расходы на программное обеспечение 37,0%
- Уменьшены расходы на услуги подрядчиков 27,0%
- Уменьшены другие статьи затрат 28,5%
- Увеличены расходы на зарплату сотрудникам 4,8%
- Увеличены расходы на оборудование 4,5%
- Увеличены расходы на программное обеспечение 5,5%
- Увеличены расходы на услуги
Свежие комментарии