Российские ИБ-директора скоро получат новые обязанности

Большинство служб информационной безопасности в российских компаниях станут либо точками роста, либо превратятся в обслуживающие подразделения с согласующими функциями. Профессиональный подход "просто хорошо делать свою работу" в кибербезопасности скоро закончится. Процесс изменения роли корпоративной службы ИБ существенно ускорился, и станет одним из основных трендов будущего года. Вероятно, уже через год или два подавляющее большинство ИБ-директоров России потеряют часть своих обязанностей или получат новые. Разница для менеджеров по кибербезопасности будет лишь в том, что кто-то сам начнет формировать новые функции, а кому-то их спустят "сверху".

Опыт ИБ-вендоров и интеграторов показывает, что в российском бизнесе идет процесс пересечения функций ИБ сразу с несколькими подразделениями. В первую очередь, это касается ИТ-службы – большинство инструментов ИБ перестало быть "навесными" и уже интегрированы в ИТ-инфраструктуру. Помимо этого, в обеспечение кибербезопасности стали принимать участие и другие службы компании. В частности, оценка рисков от персонала, необходимая ИБ для обработки инцидентов – например, нелояльности и склонности сотрудников к риску – напрямую пересекается с задачами кадровой службы. Цифровой стала и экономическая безопасность, ощутимо размывшая границу между ИБ и бизнес-аналитикой.

Я уверен, что у служб информационной безопасности есть две основных стратегии развития. Пассивная – передача "непрофильных" функций ИТ, кадрам, бизнесу, внутреннему контролю. Выбирая этот путь, служба информационной безопасности оставит себе две роли: выполнение требований регуляторов, так называемую "бумажную безопасность", и пассивный контроль защищённости инфраструктуры – контроль работы антивирусов и сканеров.

Характерный пример: служба ИБ отказывается решать функции бизнес-подразделений, ссылаясь на нехватку ресурсов. В результате ИТ-департамент начинает заводить собственных, альтернативных "безопасников", что приводит к распределению задач на защиту инфраструктуры и бизнеса. Ответственность за защиту бизнес-систем переходит, соответственно, к ИТ.

Еще одна показательная история: в одной из компаний в отдел ИТ перешли инженеры и архитекторы систем безопасности, это произошло вследствие интеграции всех систем. Вслед за экспертизой перешло и управление информационной безопасностью. В результате в ИБ-департаменте осталось всего 3 человека, которые занимались лишь соответствием требованиям регуляторов – разумеется, подразделение стало обслуживающим.

Другой путь для российских ИБ-директоров заключается в обеспечении менеджмента аналитикой, предупреждении нарушений, расследовании инцидентов в связке с бизнес-подразделениями. Если первая стратегия ведет к уничтожению ИБ как отдельной роли и передаче ее обязанностей разным департаментам компаний, то при втором сценарии департаменты кибербезопасности станут полноценными функциональными подразделениями, способными обосновать инвестиции в развитие инструментов ИБ. Но пока лишь немногие компании идут по этому пути: сегодня лишь 10-15% ИБ-департаментов в России выбирают осознанную трансформацию в бизнес-подразделение.

Основная предпосылка для размытия границ информационной безопасности — быстрая цифровизация компаний. Этот процесс постепенно приводит к тому, что на стыках "цифры" и бизнес-функций продолжат появляться незанятые ниши, которые смогут дадут ИБ все возможности стать сонаправленной движению бизнеса. А вот удастся ли "перетянуть" одеяло на себя – дело рук исключительно самих безопасников.