Дмитрий Устюжанин уверен, что через два-три года в России будут готовы воспринимать идеи облаков и необходимость их защиты
Дмитрий Устюжанин уверен, что через два-три года в России будут готовы воспринимать идеи облаков и необходимость их защиты

Что следует предпринять, чтобы информационную безопасность бизнес воспринимал в первую очередь как услугу, приносящую прибыль?

16 марта журнал «Директор информационной службы» совместно с представительством McAfee провел круглый стол на тему «Информационная безопасность как услуга». В ходе встречи приглашенные обсудили, что представляет собой безопасность в качестве услуги, какова ее мировая практика, что мешает переходу от традиционной затратной модели безопасности к прибыльной.

Большинство участников круглого стола составили телекоммуникационные компании. Это вполне объяснимо: телеком тесно связан с облачными сервисами, облака адекватно воспринимаются лишь вкупе с качественной связью. Фактически провайдеры связи являются системообразующими предприятиями для облачной отрасли. Более того, телеком-провайдеры вполне органично могут превращаться в провайдеров облачных сервисов. Начав с оптимизации инфраструктуры и построения внутреннего облака, они быстро приходят к тому, что начинают предоставлять аналогичные услуги вовне.

«В России облака пока скорее напоминают тучи. При преодолении организационных, технологических и правовых сложностей поставщиками облачных вычислений из этих туч может пролиться дождь в виде решений проблем заказчиков», — заявил Роман Емельянов, директор по информационной безопасности компании ТТК. Проблема очевидна: если говорить об использовании облачных сервисов, то с технической точки зрения вопросов возникает не очень много. Неясности появляются, когда речь идет о доверии, юридической защищенности и ответственности.

Еще одна проблема в том, что многие поставщики не могут внятно описать предлагаемую услугу, дать гарантии ее качества и указать конкретные выгоды от нее. Последний пункт становится особо серьезным камнем преткновения. Услуга может быть хорошо реализована, но не продвигаться на понятном уровне, чтобы потенциальный пользователь был в состоянии оценить ее пользу. Говорить нужно не в терминах безопасности, а в терминах риска для бизнеса и возможных экономических потерь. При этом речь вовсе не идет о необразованности российских пользователей. За рубежом тоже является типичной ситуация, когда заказчик самостоятельно не может выбрать необходимую ему услугу – ему нужны консультации с провайдером.

Как подчеркнул Алексей Чередниченко, директор по продажам в телекоме и нефтегазовой отрасли компании McAfee в России и СНГ, до сих пор провайдеры облачных систем занимаются безопасностью создаваемых решений по остаточному принципу. В результате многие из существующих на рынке предложений просто-напросто слабы. Необходимость же дополнительной защиты облачных сервисов пока явно недооценивается.

Об этом же говорят и независимые аналитики. На сегодняшний день рынок средств безопасности оценивается аналитиками Forrester в 9 млрд долл., причем его облачная часть весьма незначительна. Однако уже к 2015 году он существенно вырастет, причем именно за счет сегмента «безопасность как услуга» (Security as a Service), который должен составить 12 млрд долл.

Практика показывает, что в настоящее время большинство заказчиков приходит к провайдерам услуг безопасности в результате возникновения инцидентов. Если к тому же компания почувствовала определенный финансовый эффект, она готова подписаться на услуги.

Другая проблема заключается в том, что системным интеграторам компании доверяют больше, чем провайдерам связи. Таков психологический аспект столь щепетильной темы, как безопасность: компании охотно приглашают консультантов для построения и обслуживания решений на собственной территории, но не хотят отдавать безопасность в чужие руки.

В итоге облачные сервисы порождают конфликт интересов системных интеграторов и провайдеров связи. Третью вершину «треугольника интересов» составляют вендоры решений, практически каждый из которых имеет собственные облака, а значит, тоже превращается в поставщика услуг. В этом противостоянии у системных интеграторов есть определенное преимущество: они, во-первых, могут осуществлять более широкий спектр услуг, а во-вторых, готовы нести за эти услуги ответственность.

Как показывает статистика, 80% угроз таится внутри компании и лишь 20% приходят извне, а деятельность сотрудников подразделений информационной безопасности направлена в обратной пропорции. Очевидно, было бы весьма полезно отдать защиту от внешних угроз в руки провайдера, а самим сосредоточиться на решении внутренних проблем. Однако, как подчеркнул Дмитрий Соболев, директор по проектам МТС, во многих компаниях данные подразделения возглавляют амбициозные и талантливые люди, и они не собираются делиться своими полномочиями. Наоборот, они аккумулируют в своих руках все большие ресурсы – как человеческие, так и финансово-материальные — и делают карьеру внутри компании.

«Доверие операторам связи есть, просто они не умеют им пользоваться», — полагает Соболев. В первую очередь провайдерам сервисов нужны достаточно подкованные в ИТ маркетологи, способные продвигать облачные продукты на уровне руководства компаний.

«Необходимо обучать продавцов говорить доступным языком о проблемах безопасности и предлагаемых решениях», — согласен Дмитрий Устюжанин, руководитель департамента информационной безопасности компании «ВымпелКом». По его словам, уже через два-три года в России сложится среда, готовая воспринимать идеи облаков и необходимость их защиты. К этому времени поставщики соответствующих сервисов должны быть в полной готовности.

Посмотреть видеорепортаж об этом мероприятии вы можете
http://tv.osp.ru/videos/mcafee_0316.html