Информационная безопасность во время и после пандемии: ключевые барьеры

Кризисная ситуация показала, что для многих компаний необходима ревизия организационных решений, касающихся выполнения функции информационной безопасности.

Судя по интервью с руководителями компаний, в которых формулировались претензии к службам информационной безопасности (далее — «ИБ»), задача выстроить эффективные взаимоотношения между ИБ и другими функционально связанными подразделениями оказывается непростой. Возникшие сложности приходилось преодолевать в авральном режиме.

Природа проявившихся барьеров разная, и большинство из них сформировались еще до нынешнего кризиса.

Первый тип барьеров связан с организацией процессов, в которые вовлечены службы ИБ. По шести сюжетам мы видим вполне сформированный консенсус у экспертов.

• Проблематика информационной безопасности плохо представлена на уровне совета директоров.
• Отсутствует сформулированная политика информационной безопасности, нет внутренних нормативных документов и правил взаимодействия между ИТ-департаментами (далее – «ИТ»), службами безопасности (далее – «СБ») и ИБ.
• Существует непонимание специфики ИБ со стороны бизнеса или руководства.
• В матрице рисков компании нет места для рисков ИБ.
• Существуют конфликтующие стратегии и принципы деятельности ИБ и ИТ. Отсутствует бюджет, имеются сложности в обосновании затрат на ИБ.

Один из наших собеседников приводит пример, как складывались отношения между СБ, ИТ и ИБ в ситуации «невнимания» к проблематике информационной безопасности:

Одновременно страдает и вовлеченность главы ИБ в разработку бизнес-стратегии, тогда как эта возможность представляется нашим собеседникам очень важной. Если этого не происходит, возникают несколько системных проблем. У компаний в их матрице рисков не находится места для рисков ИБ — поэтому они не готовы тратить на это деньги. Если отсутствует сформулированная политика ИБ, несформированными оказываются также и правила взаимодействия с ИТ и отсутствуют регламенты участия ИБ в разработке, тестировании и выводе на рынок цифровых продуктов.

Эксперты сходятся во мнении, что между ИТ и ИБ принципиально существует некий «конфликт интересов». ИТ ориентируются на быстрый запуск продукта и при этом находятся под сильным давлением — бизнес требует готового инструмента как можно быстрее. А ИБ в этой ситуации становится «досадным тормозом», поскольку выступает за более безопасные решения и снижение рисков эксплуатации информационных систем. А это уже сложно доказывать бизнесу.

Если не выстроены отношения между ИТ и ИБ и нет разработанных регламентов, конфликт интересов существенно обостряется при наступлении инцидента.

Разделение зон ответственности должно происходить в четко очерченных рамках и тщательно разобранным функционалом.

Это тот случай, когда конфликт не выгоден. В ближней перспективе это усиливает риски, а более отдаленной — подтачивает культуру кибербезопасности в компании, не способствует установлению сотрудничества между ИТ и ИБ, а также скорее негативно сказывается на статусе службы в глазах топ-менеджмента. Несколько наших собеседников говорили, что руководству компаний, как правило, понятнее ценность ИТ-подразделения и ближе именно их потребности.

При этом из виду упускается интеграция информационной безопасности как в разработку и в ИТ, так и в бизнес-процессы компании и сами ИТ-специалисты оказываются вне контура понимания проблематики информационной безопасности:

Другой собеседник указывает на еще один аспект — что «слабину» могут давать даже, казалось бы, вполне подготовленные люди и специалисты:

По мнению эксперта, это верный индикатор, что отношения ИТ и ИБ не выстроены и не интегрированы в бизнес-процессы. В основе проблемы оказывается неспособность или неготовность руководителей служб ИБ вовлекать топ-менеджмент в вопросы информационной безопасности, развивать их понимание стратегических задач в этой области, систематически создавать основу для эффективной и успешной деятельности.

Второй тип барьеров проистекает из недостатка бизнес-интеграции. Характер бизнеса сильно изменился и постоянно меняется под влиянием экономической конъюнктуры, международного сотрудничества, развития цифровых сервисов. Прежний функционал служб ИБ уже совершенно недостаточен и не отвечает требованиям времени. Опираясь на совокупное мнение экспертов, можно составить «чек-лист» барьеров этого типа.

• Невовлеченность ИБ в бизнес-процессы, неумение/нежелание разбираться в бизнес-процессах компании.
• «Самоизоляция» служб ИБ, когда сотрудники и руководитель искусственно ограничивают свой функционал только сюжетами compliance — в ущерб динамике бизнес-задач.
• Неумение видеть тематику ИБ в бизнес-процессах, понимать потребности бизнеса, экономику рисков, контексты бизнес-процессов.
• Неумение видеть экономику в вопросах информационной безопасности и, как следствие, неумение описывать и оценивать свою эффективность в бизнес-показателях, обосновывать требующиеся ресурсы (бюджеты и специалистов), оценивать необходимость аутсорсинга и лизинга оборудования.
• Прежний подход к угрозам (реагирование и расследование инцидентов) не отвечает требованиям эффективности, сейчас требуется предвидеть угрозы и упреждать инциденты.
• ИБ не умеет донести до руководителей важность задачи развивать культуру кибербезопасности сотрудников, принимать траты на их обучение.

Конечно, самоизолироваться («отрыть окоп и обеспечить периметр», как сформулировал наш собеседник) можно разными способами, но это заведомо ослабляет позиции ИБ в компании и одновременно создает напряжение для взаимодействия с руководителями. Один из способов самоизоляции — ограничить себя только лишь работой с требованиями регулятора.

Сотрудники ИБ должны разбираться в сути процессов, которые защищают, и понимать, какое событие в этих процессах является рабочим, штатным, а какое — инцидентом или атакой. Они должны понимать стратегию развития бизнеса и предлагать необходимые решения и продукты для обеспечения безопасности.

Еще одна опасность слабой интеграции в бизнес — недостаточное влияние на развитие культуры кибербезопасности в компании и ограниченные возможности делать это грамотно, системно и удобно для сотрудников (и что не менее важно — для руководителей).
Мы можем добавить от себя, что именно от руководителей служб зависит понимание топ-менеджментом важности этой задачи:

Нынешнее время настоятельно диктует необходимость осмыслить круг функциональных обязанностей этой (относительно) новой задачи для руководителя ИБ. В дополнение к этому, возникают и совершенно иные требования к профессиональным качествам и компетенциям сотрудников служб безопасности.

Третий тип барьеров — недостаток профессиональных компетенций, что вызвано изменившимися запросами к роли и функционалу служб ИБ в компаниях. Наиболее существенными барьерами с точки зрения опрошенных экспертов оказались следующие:

• Условия, при которых сформировались профессиональные навыки прежней генерации специалистов ИБ, мешают им адаптироваться к сегодняшней постоянно меняющейся среде.
• Сложность в развитии и поддержке на актуальном уровне «hard skills».
• Катастрофическая нехватка «soft- skills», отвечающих за гибкость, поддержку инициатив, умение договариваться о партнерстве и кросс-функциональном сотрудничестве, умение находить компромиссы.
• Отсутствие у СБ желания и/или возможности профессионально развиваться — бесплатная информация не ценится, а на платную необходимо добывать бюджеты.
• Отсутствие умения и зачастую готовности обучать, проводить занятия и тренинги для сотрудников, развивать и проводить исследования культуры кибербезопасности, выстраивать партнерство с HR для решения этих задач.
• «Естественная» установка сотрудников ИБ сохранять статус-кво, тогда как более плодотворной является стратегия на критическую оценку устоявшегося, постоянное тестирование имеющихся решений с точки зрения актуальных угроз и рисков.

Речь идет не о возрасте, а об образе мышления и о наборе «hard» и «soft» компетенций, без которых сотруднику безопасности трудно соответствовать требованиям развивающегося или выживающего в кризис бизнеса.

Один из наших собеседников предостерегал нас от наивного доверия рассказам о трудностях и барьерах, о которых ему постоянно приходится слышать. Очень часто за разговорами о недостатке ресурсов, о непонимании со стороны бизнеса лежит собственная не- готовность развиваться:

Отчасти задачи поддержки профессиональных компетенций и получения новых знаний решаются неформальной поддержкой коллег — через профессиональные «клубы» и профильные сообщества, сети знакомств и личные образовательные инициативы кого-то из экспертов. Однако это не отменяет необходимости в специализированной образовательной среде, которая бы решала эти задачи на регулярной и систематической основе и имела бы достаточно сильную репутацию как среди специалистов, так и среди руководителей компаний.

В завершение второй статьи данного цикла публикаций хотим заметить, что кризис безусловно обострил запрос на «новое поколение» специалистов и в области ИБ, и в сфере корпоративной безопасности в целом — не в смысле возраста, а в плане «образа мышления». Очевидно, что традиционное прочтение ролей и функций ИБ и набор существующих компетенций не отвечает требованиям сегодняшнего времени. На каждый приведенный выше барьер индустрии ИБ придется в той или иной найти ответ, и, а на каждое назревшее изменение — подобрать подходящий способ решения.

Именно поэтому, в следующем выпуске цикла мы расскажем об изменении в функционале и статусе ИБ в российских компаниях, перспективах развития бизнес-компетенций в индустрии ИБ, о репрофессионализации деятельности специалистов по кибербезопасности и о многом другом. До новых встреч на страницах журнала «Директор по безопасности»!

Авторы: Руслан Юсуфов, управляющий партнер MINDSMITH, Иван Климов, управляющий партнер Social Business Group, к.соц.н., доцент факультета социальных наук НИУ ВШЭ. Материал опубликован в Журнале «Директор по безопасности», выпуск 1 (январь), 2021 г.

Авторы выражают признательность редакции журнала и лично главному редактору Николаю Дворецкому за возможность донести результаты исследования до широкого круга профессионалов в области безопасности.

О MINDSMITH

MINDSMITH фокусируется на комплексных исследованиях, интенсивных тренингах и стратегическом консалтинге в области высоких технологий. Компания была основана в 2018 году в формате технологического аналитического центра.

Мы говорим на языках бизнеса и технологий. И умеем переводить с одного на другой. Так мы решаем самые сложные головоломки. Собственный отдел аналитики и доступ к необходимой экспертизе по всему миру для индивидуальных решений в каждом конкретном случае.