Сергей Петренко - Политики безопасности компании при работе в Интернет

• свыше 80 % организаций регулярно проводят аудит безопасности информационных активов и компании в целом;

• большинство организаций не передают работы по обеспечению информационной безопасности сторонним организациям. Среди тех организаций, которые считают это возможным, процент работ по обеспечению информационной безопасности на основе аутсорсинга является весьма низким;

• законодательные акты, и в частности закон Сарбейнса-Оксли, оказывают определенное влияние на организацию режима информационной безопасности компании;

• подавляющее большинство организаций считают обучение сотрудников компании вопросам защиты информации достаточно важным элементом общей программы обеспечения безопасности. При этом респонденты исследования считают, что текущие затраты на обучение являются скорее необходимыми, чем достаточными.

В начале 2004 года компания «Эрнст энд Янг» опубликовала результаты своего исследования состояния информационной безопасности в СНГ ( www.eu.com/russia ). В этом исследовании специалисты «Эрнст энд Янг» провели анализ и сопоставили проблемы, мнения и действия компаний стран СНГ по вопросам информационной безопасности в сравнении с ведущими мировыми компаниями. Далее рассмотрены основные результаты исследования и комментарии к ним «Эрнст энд Янг».

Краткая справка

Один из основных результатов данного опроса – вывод о том, что во всем мире компании сталкиваются с одинаковыми проблемами по информационной безопасности. Сбои в работе важнейших информационных систем компаний продолжают оставаться серьезной помехой для ведения бизнеса во всех странах мира. Несмотря на то, что такие сбои в основном связаны с проблемами программно-аппаратного комплекса и каналов связи, компании все чаще сталкиваются со сбоями, вызванными компьютерными вирусами либо злоумышленными действиями и недобросовестной работой сотрудников, что приводит к отказу в работе информационных систем. Для предотвращения этого и повышения существующего уровня защиты корпоративных систем необходимы дополнительные инвестиции в обеспечение информационной безопасности. За последние годы мы также осознали необходимость контроля и управления в этой сфере.

Многие компании используют разнообразные технические решения для защиты информационных систем. Однако в странах СНГ принятые меры не позволили достичь желаемого эффекта. Наш опрос помог выяснить, что руководители многих компаний, работающих в СНГ, менее уверены в достаточности принятых мер по обеспечению безопасности, чем их зарубежные коллеги. Некоторые из специфичных проблем, с которыми они сталкиваются, такие, как: недостаточная системная интеграция, использование устаревшей инфраструктуры и отсутствие комплексного подхода к внедрению средств обеспечения информационной безопасности, существенно затрудняют достижение приемлемого уровня информационной безопасности.

Еще одним фактором, усложняющим ситуацию, может быть нежелание использовать сторонних подрядчиков даже при отсутствии собственных специалистов и ресурсов для осуществления управления информационными рисками, требующего серьезной технической и организационной работы.

В международном опросе по информационной безопасности приняли участие более 1 400 генеральных директоров, директоров по информационным системам и других руководителей компаний из 66 стран (включая страны СНГ).

В настоящем обзоре рассматриваются ответы, полученные только от компаний, ведущих свою деятельность в СНГ. В опросе приняли участие 56 компаний, работающих в России, Украине, Казахстане и Беларуси.