Не буду писать много, постараюсь изложить три мысли, которые являются, с моей точки зрения, важными для понимания того, что представляет собой рынок ИБ в целом, не только в России.
Застой на уровне идей
Вопрос не только в организации процесса управления в ИБ, но и в развитии самих технологий ИБ. На протяжении уже достаточно длительного времени можно наблюдать если не застой на уровне идей, то ожидание появления каких-то принципиально новых подходов. А ожидания раз за разом не оправдываются. Это не плохо и не хорошо, ибо ИБ — сфера довольно консервативная. Ожидать прорывов в ИБ без прорывов в ИТ в смысле фундаментальной архитектуры нет оснований.
Гонки за хайпом
На рынке ИБ время от времени поднимается тот или иной «хайп», и практически все в него бросаются. Это вопрос вложения денег, инвестиций. Заказчик ищет, куда потратить бюджет при отсутствии чего-то действительно нового. Поставщики бросаются инвестировать в разработки продуктов и сервисов, которые сейчас «на волне», пытаясь отхватить кусок пирога бюджетов заказчиков. Что имеем в результате? Конкуренцию? Ну, так себе конкуренция. На рынок выбрасывается набор полусырых продуктов, поскольку сфокусироваться на чем-то не позволяет скачущая конъюнктура. Получается, что в современном мире быстрое распространение информации даже мешает развитию. Оказывается, что пиар важнее и приоритетнее глубины и сути. Гонки за хайпом порождают освоение бюджетов в худшем смысле. Тут же бешеная борьба за ресурсы, в первую очередь — за интеллектуальные, за людей.Размытие зоны ответственности
Сейчас сложность ИТ-систем растет еще быстрее, чем раньше. Раньше по большей части мы имели некоторые функционально законченные, самодостаточные информационные системы, пускай даже «облачные». Они принадлежали одному владельцу, и на них худо-бедно работала парадигма защиты периметра. Как работала — хорошо или плохо — это отдельный вопрос. Теперь же настало время объединения систем. Каждая из них выполняет какую-либо функцию, и у нее есть свой владелец. Между этими системами существуют взаимосвязи, интерфейсы, которые, в свою очередь, привносят новые слабые места, требующие защиты.
В то же самое время каждая такая система является поставщиком услуги или данных для других систем, принадлежащих другим владельцам. И на сегодняшний день нет понимания и подходов к обеспечению и управлению безопасностью таких объединенных систем в целом. У каждого из владельцев свое видение, для разных подсистем устанавливаются разные требования по безопасности, они могут находиться под разным регулированием. Это влечет несогласованность действий по защите таких объединенных систем, поскольку зоны ответственности размываются, а как результат — их потенциальная уязвимость существенно увеличивается.