Зачем компаниям нужен ИБ аутсорсинг? Как выбрать подрядчика?

На этот и другие вопросы в интервью порталу CyberMedia отвечает руководитель направления по работе с клиентами AKTIV.CONSULTING Олег Симаков.

Cyber Media: Олег, наше интервью я хочу начать с вопроса, как менялось отношение к ИБ-аутсорсингу за последние время?

Олег Симаков: Давайте сначала разберемся с мотивами и попытаемся ответить на вопрос, зачем компаниям нужен аутсорсинг функции ИБ?

Если еще 20 лет назад представления об этом были совсем туманными, то за последнее десятилетие ситуация начала меняться. Понемногу компании стали формировать собственные потребности в ИБ как в отдельной функции, а соответственно понимать, что нужно не просто защищать сети или ставить антивирусы, задачи, которые ложатся на плечи ИБ-специалистов намного шире и часть этих задач выгоднее передать на аутсорсинг.

Второй важный драйвер развития сферы аутсорсинга — кадровый голод. Узкоспециализированных специалистов мало, иногда их экспертиза нужна не на постоянный срок, а для реализации конкретного проекта. В этом случае аутсорсинговая модель подходит идеально.

Третий фактор, который стал актуальным в последнее время, это возможность использовать подсанкционным компаниям недоступных для них решений от мировых лидеров по сервисной модели от провайдеров ИБ-услуг.

Вот эти три фактора и двигают рынок аутсорсинга на данный момент.

Cyber Media: Правильно ли говорить о том, что потребность в аутсорсинге — это показатель некой зрелости компании с точки зрения процессов безопасности? Пока можно обойтись файрволами и антивирусами, о таких задачах не задумываются. Когда возникают более сложные задачи, обращаются к внешним ресурсам.

Олег Симаков: В целом, да.

Например, защиту от DDoS-атак многие компании готовы покупать как услугу. Не у каждой организации есть ресурсы человеческие, временные и финансовые, чтобы разворачивать у себя центры компетенций по борьбе с кибератаками. Часто за оказанием таких услуг обращаются к провайдерам. Я считаю, это тоже можно назвать аутсорсингом.

Cyber Media: Что касается «психологической» стороны вопроса, насколько сложно бизнесу смириться с тем, что его безопасностью будут заниматься внешние специалисты? Или сейчас уже нет такой проблемы?

Олег Симаков: Такая проблема существует. Конечно, сложно решиться отдать в «чужие» руки свою безопасность, а также передать на сторону контроль над утечками информации. Но, с другой стороны, взять обеспечение кибербезопасности на баланс организации может быть слишком затратно.

Выбирая подрядчика компаниям необходимо обращать внимание на ряд ключевых моментов:

Во-первых, на репутацию компании. Во-вторых, на успешно выполненные проекты. В-третьих, на уровень информационной безопасности самих аутсорсеров, которые также должны быть хорошо защищены.

Все это будет залогом того, что «чувствительной» информации клиента ничего не будет угрожать.
Конечно, перед стартом проекта между клиентом и аутсорсером должны быть заключены соглашения о неразглашении (NDA) и уровне обслуживания (SLA). Зачастую на составление и согласование грамотного SLA требуется достаточно много времени и усилий. Это документ, которым не стоит пренебрегать, ведь в нем должны быть учтены все тонкие моменты, в том числе и возможный ущерб от компрометации данных клиента.

Полный текст интервью