Работаем без опасностей
Сентябрь, 2013
Интервью журнала “БИТ” с Максимом Чирковым, руководителем направления по развитию сервисов ЭП компании Аладдин, о конфликте интересов ИТ и ИБ, нестандартных мерах защиты, реагировании на инциденты и аутсорсинге.
Ключевые тезисы из ответов эксперта:
О конфликте интересов ИТ и ИБ:
-
Интересы служб заметно различаются, и конфликты нередки; на характер взаимоотношений влияет организационная структура — находится ли служба ИБ в подчинении ИТ или выделена в самостоятельное подразделение.
-
Один из распространённых конфликтов — нежелание служб взаимодействовать; целесообразно утвердить на уровне руководителя компании регламент взаимодействия и сферы ответственности.
-
Диалог и здоровая конкуренция между ИБ и ИТ очень важны — только в этом случае возможно оперативное решение общих задач по созданию безопасных и эффективных информационных систем для бизнеса.
О нестандартных мерах:
-
Аладдин, являясь производителем средств защиты информации, регулярно предлагает рынку новые, в том числе нестандартные, решения — перед выпуском нового продукта или технологии они проходят “обкатку” внутри компании.
-
Тем не менее для обеспечения ИБ своей организации мы в основном опираемся на лучшие мировые практики и проверенные решения.
Об устранении последствий ЧП:
-
В зависимости от характера инцидента должны привлекаться профильные департаменты, например юридический — при расследовании утечек.
-
В плоскости ИТ и ИБ распределение ответственности находится на стыке служб, и это очень сложный момент: только строго регламентированная совместная работа по устранению последствий может минимизировать потери и не допустить инцидентов в будущем.
Об ИТ на аутсорсинге:
-
В договоре с сопровождающей ИТ-компанией можно предусмотреть требования и “прописать” ответственность за нарушение политик ИБ, но технически контролировать внешние ИТ-службы достаточно трудно.
-
На рынке уже существуют продукты, позволяющие в ряде сценариев безболезненно отдавать информационные системы на ИТ-аутсорсинг без риска потери данных — например, “КриптоБД”: данные находятся в зашифрованном виде, а управление доступом остаётся в ведении внутренней службы ИБ.
О финансировании ИБ:
-
Бытует мнение, что финансирование ИБ должно составлять порядка 10% от общих затрат на ИТ, однако с этим сложно согласиться.
-
В идеале это малосвязанные бюджеты: затраты на ИБ должны быть достаточными для минимизации допустимого уровня вероятности актуальных угроз.
Это краткая аннотация статьи, полную версию читайте в первоисточнике.
Первоисточник: “БИТ” (бизнес & информационные технологии), № 7 (30), сентябрь, 2013
Эксперт: Максим Чирков, Аладдин