Киберсигурност: Митове за външни изпълнители

Въпреки наличието на маса от митове, отговорът на този въпрос е сравнително недвусмислен. С някои поправки се свежда до тезата: аутсорсинг в киберсигурността, особено управлявани услуги за откриване и реагиране, е много по-ефективно и икономично за бизнеса, отколкото осигуряването на целия процес като цяло със силите на специализирана вътрешна структура.

Основната задача е минимизиране на разходите

Най-упоритият мит в киберсигурността е свързан с концепцията за разходите, най-належащият и неотложен въпрос за висшето ръководство: аутсорсингът винаги е по-скъп от наличието на вътрешни специалисти. Развенчаването на този мит не е толкова трудно. Нека продължим.

Струва си да започнем с факта, че киберсигурността работи възможно най-ефективно изключително при свързването на хора, технологии и процеси. Само по този начин, а не по друг начин, е възможно да се осигури пълен цикъл на защита на компанията срещу външни и вътрешни заплахи в киберпространството.

При вземането на решение за отделяне на бюджет за киберсигурност ръководството на компанията често се ръководи от остарели и фундаментално неправилни концепции. Взети са предвид само ясни и приоритетни капиталови инвестиции в технологии. В крайна сметка, както изглежда на пръв поглед, най-скъпата връзка в тази верига е технологията. Можете да ги почувствате и поне визуално да оцените резултата от финансовите разходи. Дори сега за мнозина концепцията за проект за киберсигурност се свързва със закупуването на специфични системи за защита, които, грубо казано, трябва да бъдат закупени, инсталирани и пуснати в действие. Това е първата и основна заблуда.

Закупуването на технология е еднократна инвестиция. С други думи, разумна и разбираема инвестиция. Малко неудобно, но постоянно и в резултат на това обемните разходи са скрити по-дълбоко.

Правилните хора са основната инвестиция

Хората са най-скъпият и в същото време най-ценният бизнес актив. За да се осигури процесът, е изключително важно да се разбере дали има смисъл да се сформира мултидисциплинарен, високоспециализиран екип в рамките на компанията (какъвто трябва да бъде именно в днешните условия на изключително сложно разнообразие от технологии и заплахи) или има смисъл да поверите този процес изцяло или частично на външен компетентен изпълнител, който от А до Я е изграден и фокусиран върху решаването на подобни проблеми. На прост език, възложете и казано професионално, регистрирайте се за услуги за DR (откриване и отговор) на управлявана сигурност.

Ето защо е важно да се изчислят изчерпателно и правилно разходите на етапа на планиране на инвестициите в киберсигурността. Трябва да вземете предвид на първо място не еднократните инвестиции в дълготрайни активи, а бъдещите оперативни разходи за тяхната поддръжка. Това води до допълнителни инвестиции в персонала и неговото обучение. Отчитайки само първото, компанията не успява да постигне правилния баланс, а вместо това създава илюзорна ефективност на сигурността чрез натрупването на технологии. В същото време основният процес е контрапродуктивен и резултатът е безполезен.

Много компании са изпаднали в същата ситуация – те са обрасли със скъпи технологични комплекси за сигурност. Те не могат да се справят с оперативното натоварване на тяхната поддръжка. Не става въпрос само за обслужване, но не е само за обслужване, но не е само за обслужване. Въпросът е да се анализират и прилагат резултатите от такива системи за подобряване на оперативния процес. Има много технологии, но ефективността върви към нула.

Безопасно ли е да предадете сигурността в ръцете на някой друг?

Вторият устойчив мит, който е логичен, а може би, напротив, нелогичен, възниква в ситуацията на информационната сигурност и най-често звучи под формата на риторичен въпрос: „Как можем да възложим сигурността на външни изпълнители, ако тя е сигурност?“ Но чакайте, да не си изнесете здравеопазването в поликлиниката? Не възлагате ли грижите за децата си на детегледачки? По някаква причина тези области не предизвикват толкова бурни дебати, спорове, съмнения или дълбоки мисли. Струва си, защото лекарят е специалист и не винаги сами ще поставите диагноза и няма да премахнете апендицит. Въпреки че на пръв поглед е достатъчно да купите само скалпел, памучна вата и превръзка, но какво следва?

Аутсорсингът в киберсигурността не е доста класически пример за аутсорсинг под формата на пълно прехвърляне на процеси към външен изпълнител. Това винаги е синергия от усилията на клиента заедно с действията на доставчика на сигурност. Освен всичко целият процес е строго регламентиран и записан в SLA (service level agreement), чиито гаранции по никакъв начин не са сравними с нивото на отговорност на конкретен служител от персонала на компанията.

Най-често наблюдаваме ситуация, при която във фирмата има „множество оператори“, които едновременно обслужват системите и генерират отчети за ефективността на процесите. С други думи, специалист, който си поставя задачи, след това сам ги изпълнява. Не всяка организация, дори и голяма, може да си позволи да поддържа голям екип от специалисти и мениджъри на процеси. В същото време е просто невъзможно обективно да се оценят резултатите от един „мултипроцесор“, на който се основават всички процеси. В крайна сметка най-често ръководството далеч не е компетентно по въпросите на киберсигурността. Никой не преценява рисковете, които възникват в този случай, а последствията могат да бъдат плачевни.

Фирма, на която е възложена сигурността, не може априори да вреди на бизнеса на клиента, тъй като това е въпрос на репутация. Освен това всъщност услугите за сигурност не засягат пряко търговска информация.

В същото време компанията-клиент получава пълномащабна защита срещу заплахи 24/7, най-добрите технологии до момента и екип от професионалисти. Последният се набира точно в това съотношение и в количеството, което отговаря на обхвата и спецификата на технологиите, необходими за конкретния бизнес.

Неотложността на избора е особено актуална в светлината на последните събития. Сривът на крехките системи за защита го накара да осъзнае колко е важно да се формира многостепенна и професионална сигурност. Домашно приготвените лепенки не действат. Хиляди компании имаха възможност да видят това. Въпросът за аутсорсинга отпадна сам. Отговорът е ясен: необходимо е привличането на опитни специалисти и действието тук и сега.