укр eng

Онлайн-журнал

Що дасть послуга Virtual security team для вашої компанії?

Віталій ЯКУШЕВ,

операційний директор компанії 10Guards

+380 44 39 39 000

+380 67 556 97 95

Кіберзагрози – головний біль для діджиталізованих бізнесів, незалежно від сфери їх діяльності. З кожним роком компанії перебувають у постійному пошуку відповідних рішень для підвищення рівня своєї кібербезпеки. Питання ускладняється тим, що забезпечити належний рівень захисту інформації та активів повною мірою не можна, покладаючись лише на технологічні рішення. Необхідно постійно підтримувати кваліфікацію співробітників, які координують питання із забезпечення кібербезпеки в компанії, що є не таким простим завданням, як здається на перший погляд. До того ж, на ринку відчувається нестача кваліфікованих кадрів, відсутня спеціалізація у галузі кібербезпеки. Галузь розвивається динамічно й персоналу, навіть молодим спеціалістам, необхідно опановувати великі обсяги нових знань.

Питання ускладняється тим, що забезпечити належний рівень захисту інформації та активів повною мірою не можна, покладаючись лише на технологічні рішення. Необхідно постійно підтримувати кваліфікацію співробітників, які координують питання із забезпечення кібербезпеки в компанії, що є не таким простим завданням, як здається на перший погляд. Аутсорсинг послуг інформаційної безпеки, набуває популярності.

Щоб йти у ногу із трендами, компанії намагаються взяти у штат керівника з кібербезпеки (Chief Information Security Officer, CISO. Але дуже часто така вакансія набуває значення «Універсальний спеціаліст у сфері безпеки», а опис обов’язків однієї людини включає практично весь можливий спектр задач і робіт:

створення та управління стратегією кібербезпеки
планування та створення програми кібербезпеки
управління ризиками кібербезпеки
моніторинг відповідності законодавчим нормам
розробка документації
підвищення обізнаності співробітників в сфері інформаційної безпеки
управлення інцидентами безпеки та підготовка по реагуванню на них
моніторинг безпеки та активів, фізичної й мережевої безпеки
контроль і супроводження впровадження програмних та апаратних засобів кібербезпеки, тощоЩоб відповідати таким вимогам, людині потрібні навички не тільки досвідченого керівника і знання специфіки конкретної індустрії, але й досвід написання документації та глибокі технічні знання у сфері створення і супроводження комплексної системи управління кібербезпекою. Звісно, таких спеціалістів вкрай мало і оплата їх праці дуже висока. Саме тому, для малого та середнього бізнесу залучення кваліфікованого CISO в штат може бути просто неможливим або нерентабельним. Однак, навіть якщо компанія має таку можливість, такого спеціаліста важко знайти, не дивлячись на запропоновані умови праці.

Необхідно також взяти до уваги, що у наші дні через пандемію COVID-19 різні уряди і регулюючі органи зобов’язують як державні, так і приватні організації переводити діяльність у формат віддаленої роботи та дотримуватись соціальної дистанції.

Вищеперераховані фактори посприяли тому, що послуга CISO as a Service (CISOaaS), або аутсорсинг послуг інформаційної безпеки, набуває популярності.

Замовляючи таку послуги, компанія залучає «віртуального» CISO, що вирішує наступні проблеми реального CISO:

вузький профіль: компанія отримує команду експертів із досвідом в багатьох сферах та на різних позиціях (від менеджменту до технічного спеціаліста)
навантаження: всі задачі рівномірно розподіляються між членами кваліфікованої команди, а не доручені одній людині
відсутність на робочому місці: забезпечення безперервності бізнес-процесів (штатний CISO з будь-яких причин (лікарняний, відпустка) може бути недоступним для вирішення питань)
витрати на персонал: в залежності від специфіки бізнесу, CISOaaS часто коштує до 75% дешевше, ніж штатні співробітники
необхідність замовлення додаткових зовнішніх послуг: стають доступними компетенції (кваліфікації) для реалізації усіх задач та процесів (наприклад, періодичні тести на проникнення).

А завдяки сьогоднішнім можливостям віддаленої роботи CISOaaS не відрізняється від діяльності «локального» CISO, за винятком фізичної відсутності в офісі.

Аутсорсинг послуг інформаційної безпеки може стосуватись не лише позиції CISO, а й команди з кібербезпеки в цілому. Тепер, замість пошуку співробітників до власного відділу кібербезпеки, можна скористуватися пропозицією «віртуальна команда кібербезпеки» – Virtual Cybersecurity Team.

Безпека як послуга – новий, але популярний підхід, що має попит в багатьох сферах: банківська справа, фінансові послуги і страхування (BFSI); урядові організації та оборонні підприємства; роздрібна торгівля; охорона здоров’я; IT та телеком; енергетика та комунальні послуги; виробництво тощо. Експерти «віртуальної команди» виконують наступні задачі:

моніторинг стану кібербезпеки;
підтримка процесів захисту даних, реагування на певні інциденти, управління загрозами та вразливостями;
управління ІТ активами;
забезпечення відповідності законодавчим нормам та міжнародним стандартам безпеки (compliance);
побудова і впровадження процесів управління кібер-ризиками;
управління внутрішніми контролями інформаційної безпеки;
підтримка в створенні і оновленні документації в сфері кібербезпеки.

Virtual security team має значні переваги над штатною командою, адже допомагає позбутися: труднощів у пошуку кадрів, витрат на заробітну платню, підвищення кваліфікації та на час «простою» команди.

Таким чином, якщо компанія вирішує скористатися послугами віртуальних CISO або команди з кібербезпеки, вона отримує сертифікованих спеціалістів, які виконують усю необхідну роботу в сфері інформаційної безпеки, а сплачує тільки за реальні трудовитрати. Це дозволяє компанії:

Отримати необхідну експертизу у всіх областях, не наймаючи великий штат вузькопрофільних співробітників.
Радикально знизити витрати. Компанія сплачує лише за те, що їй необхідно, неважливо, пораду спеціаліста по підвищенню обізнаності персоналу або проведення технічної оцінки захищеності.
Знизити бізнес-ризики. Прийом на роботу ключового співробітника – важливе рішення та серйозна інвестиція. Помилка може вартувати компанії багатократної зарплати CISO. При правильному виборі постачальника послуг «віртуального» CISO чи команди, ризик невеликий, так як можна вибрати оптимальний рівень обслуговування з пропонованих та розірвати відношення у будь-який момент, якщо це необхідно.