Услуги в области ИТ-безопасности
Сентябрь, 2012
По данным IDC, объём российского рынка услуг в области информационной безопасности в 2011 г. составил 445 млн долл. (на 43% больше предшествующего года), а на 2012-й прогнозировался рост более чем на 30% — один из самых быстрорастущих сегментов ИТ-рынка России. Факторы роста: общемировые — количественный и качественный рост кибератак (возросла цена утечки информации — Андрей Пинк, ASBIS; объектами атак становятся не только предприятия, но и государства — Павел Эйгес, McAfee) и зрелость ИТ-потребителей; региональные — усиление регулятивных норм (персональные данные, электронные платежи, интернет-ресурсы). В зачёт объёмов ИБ-рынка стали попадать и ИТ-продукты со встроенными функциями безопасности (Александр Бондаренко, LETA).
Структура российского рынка ИБ-услуг
Заголовок раздела «Структура российского рынка ИБ-услуг»Как отмечает заместитель генерального директора компании “Аладдин” Алексей Сабанов, утверждённой классификации ИБ-услуг в стране не существует; наиболее логичным представляется разделение на технико-аналитические, экспертно-аналитические и дополнительные. Технико-аналитические (комплексное обследование защищённости ИС, разработка документации, разработка/апробация/внедрение решений по защите данных, техподдержка и сопровождение, установка и настройка средств защиты) наиболее востребованы — более 50% рынка. Экспертно-аналитические: анализ информационных рисков, аттестация объектов информатизации, сертификационные испытания, расчёт финансово-экономических показателей СОБИ, экспертиза проектов и решений. Дополнительные: консалтинг, обучение, аутсорсинг эксплуатации СОБИ.
По оценкам Андрея Степаненко (“Информзащита”), около 40% рынка — внедрение и интеграция ИБ-средств, примерно треть — консалтинг, остальное — поддержка, обучение и ИБ-аутсорсинг (доля которого будет расти по мере перехода на сервисную модель). Дорогие и длительные проекты приведения ИТ- и ИБ-систем в соответствие с регулятивными требованиями (первоначальный аудит, системы контроля изменений и отклонений от сертифицированного состояния) растут в спросе (Эйгес). Закон “О национальной платёжной системе” способен оживить ИБ-консалтинг после спада, связанного с ожиданием подзаконных актов по закону “О персональных данных” (Бондаренко); активен спрос на базовые потребности — управление доступом, защиту сетей и каналов, защиту от утечек. Перспективны удалённая оценка уязвимостей, защита от DDoS на уровне провайдера, защита мобильных данных на уровне операторов (Эйгес), антивирусная защита как услуга (Пинк).
Основные потребители ИБ-услуг, по мнению г-на Сабанова, — государственный и крупный корпоративный сектора, где системы защиты в основном уже построены, а рост рынка связан с необходимостью совершенствовать, поддерживать и управлять ими. Важный фактор роста — появление государственных и коммерческих услуг в электронном виде: этот сегмент требует ИБ-обеспечения, и одно из первых мест занимает поддержка электронной подписи (ЭП). Объём рынка по оценкам г-на Сабанова: зарегистрированных удостоверяющих центров ЭП около 350 и число растёт; сервисный годовой контракт на обслуживание сертификата ключа ЭП — не менее 2 тыс. руб.; выдано свыше 3 млн сертификатов — итого 6 млрд руб. в сфере сервисов ИБ только на поддержку ЭП. Локомотивы рынка в ближайшие годы — консалтинг и построение и поддержка единого пространства доверия: доступ к облачным ИТ-сервисам через ЕСИА с личным кабинетом, где после авторизации пользователю транслируется определённый уровень доверия, в соответствии с которым он получает доступ к сервисам (“Ростелеком” уже создал платформу и набирает поставщиков; такие сервисы появятся через два-три года). Способствует росту и перевод обслуживания ИТ-систем на аутсорсинг (сокращение штата ИТ-персонала в пользу сервисных контрактов). Вячеслав Медведев (“Доктор Веб”) скептичен: новых видов услуг не появится, разновидности сокращаются, лидеры — интеграционные и консалтинговые услуги.
Преимущества и недостатки сервисной модели построения корпоративной ИБ
Заголовок раздела «Преимущества и недостатки сервисной модели построения корпоративной ИБ»Принципиальных различий между традиционной и сервисной моделью нет — важна квалификация аудитора (Сергей Ласкин, MONT); с ним не согласны другие: принципиальные различия в затратах (плата только за услугу без инвестиций в инфраструктуру) и гораздо более высокая надёжность — качественно более высокий уровень с одновременным снижением расходов (Эйгес); сервисный вариант выгоден большей части компаний с учётом дефицита ИБ-специалистов (Пинк); традиционная модель привязана к выделенному бюджету, не всегда соответствующему рискам, сервисная — чёткие ожидания бизнеса и оплата только использованных сервисов (Бондаренко). Преимущества: сосредоточение на бизнес-задачах, отказ от вспомогательных функций, сокращение расходов на обучение и удержание специалистов, рычаги гарантированного качества через SLA (Степаненко). Проблемы: ИБ-сервис редко позволяет оперировать бизнес-терминологией, из-за чего сложно обосновать финансовую выгоду (Степаненко); требуется куда более серьёзная проработка документального оформления отношений (Медведев). Подчеркивая этот же аспект, г-н Сабанов утверждает, что для правильного документального оформления таких отношений клиенты должны иметь в своём штате ИБ-специалистов очень высокой квалификации. Основная их задача заключается в том, чтобы составлять договоры SLA таким образом, чтобы интересы всех участников процесса поставки и потребления ИБ-сервиса были сбалансированными.
Организационно-технические аспекты предоставления ИБ-услуг
Заголовок раздела «Организационно-технические аспекты предоставления ИБ-услуг»Переход на сервисную модель осложнён тем, что даже ключевые бизнес-процессы во многих организациях пока не используют сервисные подходы, а ИБ долго воспринималась как часть задач ИТ-подразделения; сервисная модель предполагает участие сторонней компании в чувствительном вопросе — нужны серьёзные механизмы доверия, например сертификация, которых пока нет (Бондаренко). Серьёзная зависимость от провайдера — оборотная сторона модели: сложности со сменой провайдера и затруднённый возврат к традиционной модели из-за утраты внутренних компетенций (Степаненко). Сдерживают распространение дефицит подготовленных специалистов на стороне провайдеров и недостаточное проникновение широкополосного доступа в регионах; временная причина — кризисная ситуация в мировой экономике (Ласкин). Российские интеграторы готовы предлагать сервисную модель (Бондаренко), но в жёсткой конкуренции с зарубежными провайдерами, особенно в высокопроизводительных облачных ИБ-решениях для крупных заказчиков (Эйгес).
Скептически оценивает готовность инфраструктуры страны к переходу на сервисную модель ИБ г-н Сабанов, отмечая отсутствие регулирования и стандартизации в этой области. Это мешает объективно сравнить многие имеющиеся на рынке технологии и решения. По его мнению, действующая в стране система сертификации до некоторой степени условна, поскольку вендоры часто сами пишут технические условия (ТУ), которым должен отвечать их продукт, и сертифицируют его именно по этим ТУ. Что же касается более универсальной сертификации ИБ-продуктов на соответствие общим руководящим документам, то делают это далеко не все ИБ-производители. В результате из-за отсутствия объективного сравнения (его должен проводить независимый институт, который ещё нужно создать) заказчикам зачастую приходится поочерёдно внедрять несколько однородных решений от разных поставщиков. Качество ИБ-услуг — надёжность, доступность, время отклика — должно измеряться по утверждённым стандартам и требованиям, которых сегодня нет; SLA-договоры заключаются в том виде, в котором их составляют сами поставщики, что не совсем правильно. Адекватная система качества, по предположению г-на Сабанова, появится только через несколько лет.
Не все функции ИБ переводятся на сервис — всегда останутся критичные компоненты, процессы и данные; наилучший результат даёт сочетание собственных ИБ-специалистов (численность сокращается, характер работы меняется на экспертно-управленческий, требования к квалификации растут) с услугами внешнего провайдера (рутинные задачи). Пока же построение корпоративной ИБ по сервисной модели происходит в условиях, когда невозможно в достаточной степени документально затвердить требуемые гарантии качества обслуживания, а значит, со стороны заказчика предполагается некоторая доля авантюризма.
Это краткая аннотация статьи, полную версию читайте в первоисточнике.
Первоисточник: PC Week, № 22 (807), 2012
В составе экспертов: Алексей Сабанов (Аладдин).