В 63% организаций отсутствует архитектура системы безопасности
По данным отчета «Глобальное исследование информационной безопасности, 2012 год», опубликованного компанией «Эрнст энд Янг», для защиты от угроз, исходящих от существующих и новых технологий, организациям необходимо коренным образом изменить подход к обеспечению информационной безопасности. Всего в исследовании приняли участие более чем 1850 руководителей информационно-технологических подразделений и подразделений по обеспечению информационной безопасности, а также других руководящих работников в области ИТ и ИБ из 64 стран, рассказали CNews в «Эрнст энд Янг».
Как показало исследование, сегодня как никогда ранее ощущается потребность в создании надёжной архитектуры безопасности: 31% респондентов отметили увеличение числа случаев нарушения безопасности в течение последних двух лет. Тем не менее, в 63% организаций такая архитектура не создана, и лишь 16% респондентов считают, что их система информационной безопасности полностью отвечает потребностям организации.
Руководитель глобальной практики «Эрнст энд Янг» по оказанию услуг в области управления ИТ и информационными рисками Пол ван Кессель так прокомментировал результаты исследования: «Руководители ИТ должны принять в качестве новой аксиомы утверждение о том, что обычная оперативность уже недостаточна. Скорость и сложность изменений растёт колоссальными темпами. И без того непростая ситуация в сфере информационной безопасности осложняется влиянием развивающихся рынков, продолжающейся нестабильностью в экономике, оффшорной деятельности и ужесточением нормативных требований».
В организациях есть понимание того, сама природа и характер рисков меняются, а вместе с увеличением частоты появления угроз информационной безопасности растет и количество нарушений и инцидентов ИБ. Более трех четвертей (77%) респондентов подтвердили повышение риска внешних атак. Однако последние не являются единственным источником беспокойства для глобальных организаций: 46% респондентов отмечают, что внутренние уязвимости также растут.
Новые технологии не только открывают перед компаниями широкие возможности, но и подвергают их потенциальным угрозам из неизвестных ранее источников. Так, облачные компьютерные технологии по-прежнему являются главным источником инноваций в современной деловой среде: за последние два года количество организаций, использующих облачные вычисления, увеличилось почти вдвое. Тем не менее, 38% организаций не приняли никаких мер по снижению рисков, в частности, не обеспечили более строгого надзора за управлением контрактами с провайдерами услуг по облачной обработке данных или применение методов шифрования.
Еще одной новой технологией, заслуживающей внимания, являются мобильные устройства для работы в интернете, отмечается в отчете «Эрнст энд Янг». «44% организаций в настоящее время разрешают использовать корпоративные или личные планшеты (аналогичный показатель за 2001 год составил 20%), с помощью которых сотрудники отправляют и получают значительные объемы информации, что существенно осложняет контроль», — считает Пол Ван Кессель.
Организации признают, что мобильным технологиям необходимо уделять более пристальное внимание. При этом средства обеспечения безопасности и специальное ПО по-прежнему довольно редко применяются на динамичном рынке мобильных компьютеров — как показало исследование, лишь 40% организаций используют тот или иной способ шифрования данных на мобильных устройствах.
В то же время, организации отвечают на рост рисков и увеличение числа технологий, подлежащих защите, увеличением бюджетов и изменением приоритетов. Так, 51% организаций сообщили, что в следующем году планируют увеличить бюджет на 5%, а 32% респондентов вложили в развитие информационной безопасности более $1 млн. Однако объем инвестиций существенно отличается в зависимости от региона: 48% американских компаний потратили на ИБ более $1 млн, в то время как в Азиатско-Тихоокеанском регионе, странах Европы, Ближнего Востока, Африки и в Индии (EMEIA) доля таких компаний составила 35% и 26% соответственно. Что касается распределения бюджета, то главными статьями расходов являются получение новых технологий (55%) и обеспечение непрерывности бизнеса (47%).
Однако планируемое увеличение бюджета окажется эффективным только в случае надлежащего распределения обязанностей в рамках процессов принятия решений, подчеркнули в «Эрнст энд Янг». Во многих организациях обеспечением ИБ по-прежнему занимаются информационно-технологические отделы: 63% респондентов сообщили, что ответственность за ИБ в их организациях лежит на специалистах в области ИТ.
Сейчас лишь в 5% компаний обеспечение ИБ относится к компетенции руководителя подразделения по управлению рисками. Во многих организациях службы управления рисками не обеспечили наличие формализованного механизма оценки рисков. Как следствие, 52% компаний не располагают программами анализа и сбора данных об угрозах. Между тем, увеличение числа угроз и увеличение разрыва между уровнями уязвимости и защищенности требует использования нескольких источников и (или) функций оценки состояния ИБ, включая внутренний аудит, внутреннюю самооценку и оценки третьих сторон, подчеркнули в «Эрнст энд Янг».
«При принятии решений некоторые организации учитывают вопросы доступности квалифицированных кадров, уровня зрелости процессов обеспечения информационной безопасности, бюджета, но эти очевидные вопросы, как и многочисленные обходные решения, позволяющие удовлетворить потребности информационной безопасности в краткосрочной перспективе, скрывают более серьезную проблему информационно-технологической уязвимости», — подытожил Пол Ван Кессель.
«Практика работы организаций России и СНГ в целом не отличается в лучшую сторону от общей полученной картины», — добавил Николай Самодаев, руководитель направления «Управление ИТ и ИТ-рисками» в России и СНГ. «Мы видим, что компании в основном проводят реактивные действия на те или иные инциденты. Различные подразделения, которые в рамках одной организации так или иначе занимаются вопросами оценки и управления ИТ и информационной безопасностью, действуют зачастую разобщено и лоскутно покрывают лишь явно видимые проблемы. Информационные системы вроде и контролируются, но далеко не все, которые следует».
Относительно перспектив Пол Ван Кессель отметил: «Нам удалось выявить несколько современных проблем, но на горизонте возникают новые, среди которых — усиление роли государственных органов и ужесточение регулятивных требований. Если в ближайшее время организации не примут мер по разработке всеобъемлющей системы безопасности, последствия современных и будущих проблем лишь добавят угроз информационной безопасности в будущем».
© CNews
