Результаты международного исследования в области информационной безопасности

Сергей
Колосков

CISA, CRISC, старший менеджер Ernst & Young

Андрей
Абашев

CISA, старший консультант Ernst & Young

Уместить весь отчет по результатам исследования в одну статью – достаточно трудоемкая задача. Поэтому мы приведем краткое описание областей, касающихся построения стратегии управления информационной безопасностью в отношении мобильных технологий, управления рисками, а также вопросов бюджетирования.

Мобильные устройства

Из-за беспрецедентного роста популярности мобильных технологий (ноутбуков, смартфонов и планшетных компьютеров) компаниям приходится обеспечивать их интеграцию со своими информационными системами, успевать в относительно сжатые сроки идентифицировать риски, связанные с использованием подобных технологий, а также разрабатывать эффективную стратегию управления данными рисками.

Исследование показало, что основными методами снижения уровня рисков, связанных с использованием мобильных технологий, являются обновление политики информационной безопасности и активное обучение собственного персонала вопросам разработки и адаптации стандартных методов и средств обеспечения ИБ с прицелом на мобильные платформы.

Однако хочется отметить тот факт, что на данный момент на рынке не отмечается внушительного роста мобильных программных продуктов. Так, например, технологии криптографической защиты в мобильных устройствах используются менее чем в половине (47%) опрошенных компаний.

Управление рисками

Тенденции развития технологий указывают на тот факт, что компании все больше следуют правилам "оцифровывания" бизнеса, что позволяет им хранить информацию в облаке, отрицая все возможные границы, что, в свою очередь, вызывает опасения у большей части респондентов, так как при этом понадобится больше усилий для минимизации новых рисков.

72% респондентов считают, что увеличение уровня рисков связано прежде всего с увеличением количества внешних угроз, а 46% отметили увеличение числа угроз внутри собственной организации.

В то же время только треть респондентов внесла необходимые корректировки в собственную стратегию информационной безопасности для своевременного реагирования на эти угрозы.

Стратегия информационной безопасности

Залогом успеха и в то же время ключевой движущей силой успешного перехода на облачные вычисления остается информационная безопасность. 59% опрошенных респондентов планируют увеличить свой бюджет на информационную безопасность в течение следующих 12 месяцев. При этом только у 52% респондентов присутствует задокументированная стратегия информационной безопасности. Данные показатели – неограниченность, IТ-сервисы в облаке и "оцифровывание" бизнеса – требуют выработки продуманной стратегии и аккуратных действий. Специальные решения, которые могли быть полезны в прошлых практиках, не являются рациональным решением в будущем. Следует понимать, что банальное увеличение бюджета без наличия грамотно проработанной стратегии не обеспечит достаточной защиты данных.

Исследование показывает, что не все компании имеют в достаточной мере проработанную стратегию информационной безопасности: только 12% респондентов поднимают вопросы информационной безопасности на каждом заседании совета директоров, и менее половины опрошенных (49%) респондентов отмечают, что функции информационной безопасности отвечают требованиям их организации.

До тех пор пока информационная безопасность не будет являться частью предоставляемых сервисов, продуктов и частью общей стратегии компании, она не будет восприниматься как движущий фактор повышения показателей бизнеса.

Заключение

По результатам исследования были сформулированы рекомендации, направленные на улучшение уровня управления информационной безопасностью в разрезе использования мобильных технологий и, как вариант, передачи данных компании в облако (безусловно, важность и приоритеты выполнения рекомендаций в значительной мере зависят от специфики и структуры бизнеса конкретной организации):

• Перенести информационную безопасность в область стратегического управления бизнесом.
• Применять интегрированный подход к управлению рисками.
• Уделить особое внимание рискам, связанным с использованием мобильных технологий и облачных сервисов.
• Поднять интерес представителей высшего руководства к вопросам управления информационной безопасностью.
• Сфокусировать внимание на повышении эффективности обучающих программ и программ по повышению осведомленности пользователей по вопросам обеспечения информационной безопасности.
• Определить требования по информационной безопасности и способы их контроля при взаимодействии с провайдерами облачных сервисов.
• Обозначить стратегию использования мобильных технологий, определить процедуру управления мобильными устройствами и связанными с ними приложениями, разработать и внедрить систему внутреннего контроля, нацеленного на минимизацию рисков и угроз, связанных как с использованием мобильных технологий, так и с процессами перехода на облачные вычисления.