Рынок ИБ. Курс на виртуализацию. |
Автор: Владимир Гайкович, Генеральный директор компании «Информзащита»
Рейтинги ИБ отражают мнение самих компаний о своих финансовых результатах в прошедшем году
Известно, что одним из основных показателей того или иного рынка является его объем. Если известен объем рынка, то можно определить рыночную долю той или иной компании, а с течением времени выявлять те или иные тренды на рынке, то есть порождать некую аналитику.
Размер зрелых рынков оценивается и аналитиками рынка, и его участниками с определенной погрешностью, не превышающей 20-30%. Табели о рангах, которые выстраивают аналитические компании за полгода-год, показывают более или менее правдоподобные результаты участников рынка и тем самым побуждают их задумываться над эффективностью собственной деятельности.
В рассматриваемом сегменте в нашей стране дела обстоят совершенно иначе.
Популярный российский рейтинг в области ИБ строится методом публикации информации, присланной компаниями-участниками. Предоставленные данные публикуются как есть, без проверки и сопоставления.
Отмечу две основных особенности построения этого рейтинга.
Во-первых, он объединяет совершенно разных игроков рынка: дистрибьюторов, интеграторов, вендоров, группы компаний. Вендор, в основном, получает деньги за свою продукцию. Но сами вендоры редко самостоятельно продают свою продукцию потребителю. Поэтому возникают такие участники рынка, как дистрибьюторы и интеграторы, причем на пути к клиенту товар может перепродаваться более двух раз. При этом каждый из участников цепочки продажи декларирует свою выручку. В результате этого происходит повторный подсчет одних и тех же денег. Количество денег, заплаченных потребителем за продукцию, остается неизменным, но объем рынка увеличивается пропорционально количеству участников перепродажи.
В результате получается интересная ситуация. В рейтинге мы видим знакомые названия компаний и цифры в рублях. Но над этими цифрами нельзя производить арифметические операции, потому как эти цифры хоть и написаны одними и теми же символами, но реально имеют совершенно разную природу.
Во-вторых, в силу принципа составления, рейтинг содержит не выручку компаний, а мнение самих компаний о своих финансовых результатах в прошедшем году. Достоверность этого мнения зависит, прежде всего, от той цели, которую ставит перед собой участник рейтинга.
Никто не мешает участнику рейтинга заявить какие угодно суммы, особенно, если компания реализует ИБ проекты наряду с ИТ-проектами. Если при этом компания не сдает статистические данные государству, то в принципе можно смело заявлять в рейтинг любые цифры, завышенные ровно до той величины, которая позволяет занять нужное место.
Таким образом, приведенные в рейтинге цифры лишь демонстрируют несовершенство методики подсчета и достаточно часто являются количественным отображением желания компании «застолбить» более высокое место в рейтинге.
Безусловно, создание качественной аналитики рынка – долгая и затратная вещь. Поэтому можно
понять составителей рейтинга, которые минимизируют издержки на содержание штата маркетологов-аналитиков. Но, как следствие мы получаем замену аналитики на PR со всеми вытекающими последствиями. При таком подходе дальше констатации фактов продвинуться невозможно.
На мой взгляд, рынку ИБ нужно более или менее объективное зеркало, а не портрет кисти неизвестного художника. Зеркало поможет рынку увидеть себя, ужаснуться или восхититься, но, независимо от результата, после этого все равно начать изменяться.
Ассоциация не должна быть коммерческим игроком рынка и конкурировать за заказы с компаниями-участниками
Когда рынок переходит в стадию зрелости, обычно это сопровождается формированием определенных институтов, призванных решать проблемы, возникающие перед всеми участниками рынка. Давайте посмотрим на банковский рынок, страховое сообщество – везде есть свои ассоциации, объединяющие профессиональных участников рынка. Чего далеко ходить – на рынке ИТ такая практика существует и себя успешно зарекомендовала.
При создании ассоциаций на этих рынках четко соблюдается один принцип – ассоциация не должна быть коммерческим игроком рынка, конкурировать с компаниями-участниками или давать формальное преимущество при получении доступа к тем или иным работам. Виртуальность существующих ассоциаций на рынке ИБ заключается в том, что они есть, но их как бы и нет. Они не объединяют, а разделяют рынок ИБ на группы и служат средством конкурентной борьбы, тем самым не решая основной задачи – выражения консолидированной позиции участников рынка.
Отсутствие единой ассоциации не позволяет отстаивать позицию участников рынка ИБ при решении спорных вопросов на уровне правительства и Думы. Примером может являться регулирование защиты персональных данных. Просто обратите внимание, как умело работает банковское и страховое сообщество и как профессионально незаметно сообщество профессионалов в области ИБ.
Сейчас на российском рынке ИБ явно видны два основных тренда. Первый – это усиление требований государства к безопасности государства, что связано с политикой, проводимой нашей страной. Второй – общемировой тренд, когда ИТ-технологии все больше и больше проникают в повседневную жизнь граждан и при этом требуется защита граждан от различных “плохих парней”.
Эти тренды, на самом деле, противоречивы. Перенос методов и способов защиты интересов государства на защиту частных интересов граждан ни к чему хорошему не приводит. Это можно увидеть на примере реализации закона о персональных данных.
Посему все чаще и чаще в обществе будет вставать вопрос о том, как обеспечить в том или ином случае безопасность граждан при использовании тех или иных технологий. Если будет отсутствовать ассоциация, отражающая мнение участников рынка, то в этом случае решения будут приниматься как и сейчас, без учета мнения специалистов по ИБ, что, несомненно, негативно скажется как на их качестве, так и на последствиях их реализации.
Сложившая модель регулирования строилась – родом из прошлого и ориентирована на обслуживание государственных интересов
С существующими регуляторами рынка проблема обстоит немного сложнее.
Если объемные показатели рынка ИБ и его структура – это зеркало текущей ситуации на рынке, ассоциация – это возможность влияния на будущие проблемы и возможность выразить консолидированное мнение игроков рынка, то требования регуляторов – это одна из фундаментальных компонент рынка ИБ, и от качества этих требований зависит не только текущее состояние, но и перспективы развития рынка.
Ситуация с законом о персональных данных, на мой взгляд, выявила одну большую проблему в деятельности регуляторов, которая затронула не только игроков рынка ИБ, но и всех потребителей.
Предлагаемые регуляторами требования по защите персональных данных малоприменимы к современным системам обработки информации. И часто приходится выбирать либо работать, либо соблюдать требования. То есть регуляторы есть и требования есть, но требования и реальная жизнь редко пересекаются друг с другом.
Можно сколь угодно долго возмущаться деятельностью регуляторов, но, на мой взгляд, основная причина обозначенной проблемы в том, что устарела сама система регулирования рынка ИБ.
Существующая модель регулирования строилась исходя из того, что потребителей ИБ-услуг немного, и в основном, все они обслуживают государственные интересы. Именно эта установка определила функции регуляторов, их права и обязанности, а также штатную численность.
Но когда это было? А было это более 15 лет назад, еще в другом веке и при другом устройстве государства. Когда ИТ-технологии изменялись медленно, крупные системы строились исключительно в интересах государства, а число контролируемых организаций измерялось десятками или сотнями в масштабах страны.
Именно для такой ситуации и были разработаны универсальные требования по ИБ, которые не зависели от отрасли, а контроль исполнения требований проводился непосредственно самими регуляторами.
Естественно, что увеличение участников рынка и усложнение технологий сделало такую модель в текущих условиях почти неработоспособной.
С другой стороны, понятно, что государство не может оставить этот рынок без внимания, потому как одна из функций государства – защита своих интересов и интересов граждан.
Получаем противоречие.
Что делать? Предложения для обсуждения
Количественные показатели рынка ИБ и требования регуляторов все больше и больше превращаются в кантовскую «вещь в себе» и в PR-продукт для средств массовой информации.
Реальный рынок ИБ начал жить своей жизнью, в отрыве от наших представлений о нем. Рынок перерос наши представления и продолжил расти дальше. А мы пока не поспеваем. Под словом ”мы” я понимаю сообщество профессионалов в области ИБ в России.
Здесь возникает любимый национальный вопрос «что делать»? Думаю, что со мною многие согласятся: нужны глубокие системные изменения.
Часть из них реализовать просто. Для получения более или менее адекватной картины рынка необходимо три действия. Первое – сегментировать рынок ИБ, и в соответствии с принятыми правилами собирать и анализировать данные. Второе – научиться не врать (сложно), или, для начала не сильно врать (трудно, но реально) насчет собственных достижений. Третье – подвергать заявленные компаниями данные элементарным проверкам, по подобию, например, рейтингов РА “Эксперт”. В результате цифры наполнятся смыслом.
Для организации ассоциации тоже нужно немного – несколько активных и неангажированных профессионалов, которые разбираются не только в механизмах защиты и хитросплетениях политических интриг, но и в экономических механизмах рынка. Если мы преодолеем феодальную раздробленность, существующую сейчас на рынке ИБ, то от этого выиграют как участники рынка, так и потребители.
И если формирование системы анализа рынка и создание ассоциации – это скорее косметические изменения, то создание новой схемы регулирования рынка ИБ – это задача, решение которой требует политической воли, системного подхода и нешуточного напряжения сил.
На мой взгляд, подходы к регулированию государственного и негосударственного сегментов рынка ИБ должны различаться.
В государственном сегменте целесообразно сохранить ранее созданный порядок регулирования и контроля за его соблюдением. Вполне возможно, что в перспективе его тоже придется модернизировать, но на ближайшие несколько лет его надо оставить без изменений.
В негосударственном же сегменте, на мой взгляд, роль регуляторов должна быть изменена. Коммерческому сегменту нужны “мета”- регуляторы, которые определят, прежде всего, ответственность (административную, финансовую и др.) за нарушение прав тех лиц, информация которых или о которых обрабатывается в информационных системах, а также самые общие функциональные требования к системам безопасности. Когда ответственность и функциональные требования обозначены, контроль за их исполнением можно осуществлять по формальным признакам. Не хочешь обеспечивать безопасность – не надо. Считаешь излишним или слишком дорогим – значит, так тому и быть, ведь фирмы – то частные и приказать им сложно. Но если безопасность данных нарушена, то ответственность менеджмента определена и исчисляется во вполне ощутимых и понятных показателях, влекущих за собою финансовые, репутационные, административно-правовые последствия. Таким образом, коммерческим компаниям нужно просто дать возможность выбора и понимание цены последствий.
При таком положении дел логичным способом минимизации рисков является следование стандартам. Эти стандарты вместе с правилами их контроля разрабатываются внутри каждой отрасли и регистрируются у мета-регулятора. Они отражают специфику той или иной отрасли в части рисков и технологий обработки информации и детализируют функциональные требования мета-регулятора.
Контроль исполнения этих требований внутри отрасли производится уполномоченными аудиторами, прошедшими аккредитацию как у мета-регулятора, так и в отрасли.
Мета-регулятор производит выборочный контроль за сделанными проверками для того, чтобы обеспечить контроль качества сделанных проверок и держать в тонусе аудиторов.
Такой подход позволит, с одной стороны, уделить должное внимание именно безопасности, а не хитрым способам составления формальных документов во избежание замечаний по проверкам, а с другой стороны, позволит государству выполнить свои функции в части защиты интересов граждан.
Предложенный комплекс мер, на мой взгляд, позволит защитить интересы потребителей, поднять уровень профессионализма участников рынка и вместе с этим дать мощный импульс развитию всего рынка ИБ.
