RuSIEM – об управлении киберрисками в развивающихся компаниях
17.08.2021

RuSIEM – об управлении киберрисками в развивающихся компаниях

По словам совладельца компании Максима Степченкова, умение управлять рисками информационной безопасности повышает конкурентоспособность заказчиков и инвестиционную привлекательность разработчиков ИБ-решений.

Москва, 17 августа 2021 года. — Компания RuSIEM, российский разработчик программного обеспечения в области мониторинга и управления событиями информационной безопасности, приняла участие в конференции «AM Camp: Summer 2021», которая прошла 11 августа в подмосковном отеле «Изумрудный лес» и была посвящена теме управления киберрисками в российских компаниях и государственных структурах.

Задачей организаторов мероприятия было смоделировать риск-ориентированный взгляд бизнеса на информационную безопасность. В течение полутора часов представители российских ИБ-компаний обсуждали, как управление киберрисками может трансформировать безопасность из репрессивной и ограничивающей функции в развивающую. По мнению участников дискуссии, адекватная оценка и управление рисками ИБ (в первую очередь, риском нарушения непрерывности и риском утечек защищаемых данных) могут сделать безопасность конкурентным преимуществом, снижающим издержки и генерирующим добавленную стоимость. Однако доказать такую возможность часто бывает крайне сложно с учетом различий целей бизнеса и ИБ и подходов к их обсуждению.

По словам совладельца RuSIEM Максима Степченкова, выстраивание такого диалога – первоочередная на сегодняшний день задача. Причем, управлять ее решением и добиваться результата приходится тому, кто первым увидел необходимость управления рисками ИБ. В «зрелых» компаниях это могут быть как безопасники, так и собственники, а вот в развивающихся целесообразность этой работы очевидна владельцам бизнеса далеко не всегда.

«Я бы не стал ожидать от собственников знаний или хотя бы продвинутого понимания, что такое риск ИБ и как и зачем им управлять. Их цель – развивать бизнес, а не думать о сдерживающих факторах; если это произойдет – бизнес остановится. Тем более, что не все они имеют техническое или бизнес-образование. Встречаются и те, кто не закончил даже среднюю школу. У них школа – их бизнес, их задача – договариваться о том, что делать. Но есть те, кто работает «на земле», и вот они должны знать ответ на следующий вопрос – «как?», – пояснил Степченков.

Проблема в том, что в развивающихся компаниях информационная безопасность не интересуется потребностями бизнеса, а бизнес не знает, что для него важно с точки зрения ИБ. В этом случае безопасникам сначала необходимо кратко и быстро доказать собственникам сам факт необходимости диалога на эту тему, а затем, заручившись их поддержкой, - продолжить его с коллегами на уровне менеджмента компании.

«Как привлечь внимание управленцев? Добавить соответствующие показатели эффективности в их личную карту целей и продемонстрировать корреляцию между инвестиционной и деловой привлекательностью бизнеса и уровнем/качеством управления риском ИБ в составе операционных рисков. Если процессы компании защищены от нарушения непрерывности, а данные – от компрометации, – это ее сильное конкурентное преимущество. Мало-мальски серьезных партнеров всегда проверяют на наличие целого спектра рисков, и для руководства компаний намного нагляднее, когда служба безопасности по одному потенциальному партнеру выдает полный список их клиентов, скачанный из Google docs, а по другому говорит, что есть только официальная информация, поскольку компания, видимо, хорошо защищает данные, как свои, так и партнеров», – рассказал Степченков.

Еще одним барьером, который приходится преодолевать при внедрении управления киберрисками, является высокая стоимость зарубежных решений и скептическое отношение заказчиков к безопасности их российских аналогов. «У отечественных заказчиков есть стереотип: если это западное решение, мы его проверять не будем. Если российское, – дайте нам сертификат ФСТЭК, расскажите, кто вас просканировал, проанализирован ли ваш код на наличие в нем уязвимостей и так далее. Все считают, что российские ИБ-решения – по умолчанию дырявые», – отмечает совладелец RuSIEM.

RuSIEM как вендор одного из таких решений ориентируется на потребности организаций, выполняющих требования по импортозамещению. Подпадая также под регулирование в области ИБ, именно они будут формировать основной спрос на российские решения и его параметры в ближайшие 2-3 года. Сейчас большинство таких организаций использует зарубежное ПО, разработанное с соблюдением международных стандартов качества. Поэтому запросы к российскому рынку разработки у них будут соответствующие. По мере приближения срока выполнения требований по импортозамещению, конкуренция на рынке ИБ будет усиливаться, и безопасность решений со временем станет для массового заказчика общепринятым требованием, обычаем делового оборота.

Крупные компании это уже понимают, при этом выводы они из этого делают, зачастую, довольно неожиданные. Речь идет о новой тенденции на рынке ИБ – повышении инвестиционной привлекательности этого бизнеса. По словам Максима Степченкова, интерес крупных компаний к покупке разработчиков ИБ-решений сегодня высок, как никогда. «Если еще 2-3 года назад я искал инвесторов, то сейчас они выходят на нас сами. Крупный бизнес, который не занимается IT, уже понимает, что ИБ это тренд, и вместо того, чтобы приобретать права пользования, хочет исключительные права на продукт», – отмечает он.

Несмотря на то, что спрос на российскую ИБ только начинает становиться массовым, его динамика уже вызвала существенный рост зарплат профильных специалистов и разработчиков соответствующих решений. По оценке Степченкова, за последние три года их доходы выросли как минимум в два раза – несмотря на очевидный пока что недостаток квалификации специалистов в этой области. Если раньше специалисту по ИБ было достаточно знать основы безопасности Windows, уметь использовать антивирусное ПО и настраивать межсетевой экран, то сейчас, в условиях роста числа и характера задач, спектра используемых решений на фоне требований по импортозамещению, требования к квалификации растут.

При этом речь идет не только о технических знаниях. Возвращаясь к теме диалога о необходимости управления киберрисками, Степченков отметил, что ИБ-специалистам неизбежно придется развивать коммуникативные навыки. «Многие ИБшники – интроверты, и поэтому им довольно сложно общаться с коллегами и руководством. Однако это необходимо: продвижение нужных компании идей и проектов невозможно без получения информации о потребностях бизнеса. Нужно знать, чем дышит ваша компания, чем она живет сегодня и чем будет жить завтра. Иначе вы будете всегда бежать за уходящим паровозом», – поясняет он.