Исследование Symantec развеяло мифы об ИТ-рисках

Отчет показал, что ИТ-подразделения начинают следовать более взвешенному подходу к ИТ-рискам, в меньшей степени ориентированному на безопасность.

Корпорация Symantec выпустила второй том отчета об отношении организаций к управлению ИТ-рисками (Symantec IT Risk Management Report Volume II), из которого следует, что уровень осведомленности организаций о важности управления ИТ-рисками повышается, тем не менее, некоторые заблуждения по-прежнему сохраняются. Хотя отчет показывает, что руководители стали придерживаться более взвешенного подхода, который учитывает риски готовности, безопасности, производительности и соблюдения нормативных требований, неправильное отношение к управлению ИТ-рисками может привести к авариям ИТ-систем и в конечном итоге повлиять на непрерывность бизнеса. Отчет показывает также, что 53% всех ИТ-инцидентов вызвано проблемами, связанными с технологическими процессами, однако ИТ-руководители часто недооценивают частоту случаев утечки данных.

Подробный отчет, составленный на основе анализа более чем 400 углубленных, систематических опросов ИТ-профессионалов во все мире, вскрывает важнейшие проблемы и тенденции, анализируя и развеивая следующие четыре общих заблуждения, или мифа, связанных с ИТ-рисками:

• миф о том, что управление ИТ-рисками сосредоточено только на ИТ-безопасности;
• миф о том, что управление ИТ-рисками представляет собой проект;
• миф о том, что с ИТ-рисками можно справиться исключительно при помощи технологии;
• миф о том, что управление ИТ-рисками является научной дисциплиной.

1. Миф первый: ИТ-риск - это риск безопасности

   Несмотря на традиционное восприятие ИТ-риска, связывающее его главным образом с рисками безопасности, результаты исследования указывают на распространение среди ИТ-профессионалов более широкого взгляда. 78% опрошенных оценили как «критический» или «серьезный» риск готовности - при том, что для рисков безопасности, производительности и соответствия нормативным требованиям эта оценка составила соответственно 70%, 68% и 63%. Тот факт, что разница в оценке рисков по типам составляет всего 15%, указывает на то, что ИТ-профессионалы склоняются к более взвешенному отношению к ИТ-рискам, в меньшей степени сосредоточенному на безопасности.

   «Вывод отчета Symantec о том, что организации признают важность управления ИТ-рисками не только в сфере безопасности, но и в таких областях, как готовность и производительность, обнадеживает, - говорит старший аналитик Enterprise Strategy Group Джон Олтсик (Jon Oltsik). - Предприятия начинают понимать, что в современном взаимосвязанном мире на деятельность организации и её результаты могут повлиять неполадки в широком спектре систем».

   Выводы отчета подтверждают: риски безопасности и соответствия нормативам часто привлекают внимание ввиду того, что инциденты данного типа бросаются в глаза и имеют далеко идущие последствия - 63% респондентов оценили как оказывающие серьезное влияние на их бизнес инциденты, связанные с утечкой данных. Однако к рискам готовности относятся все серьезнее: как показывает отчет, даже мелкие проблемы производительности могут распространяться по стоимостной цепочке и приводить к потерям, измеряемым миллионами долларов. Недавно ученые Дартмутского колледжа и Университета штата Вирджиния установили, что гипотетический отказ системы диспетчерского управления и сбора данных (SCADA) на нефтеперегонном заводе может привести к последствиям, влияние которых оценивается в $405 млн., причем поставщик понесет убытки только в $255 млн., тогда как остальные потери лягут на плечи других участников цепочки поставок.

2. Миф второй: управление ИТ-рисками - это проект

   Миф о том, что управление ИТ-рисками можно осуществлять в рамках единого проекта или даже ряда отдельных мероприятий, проводимых в течение определенного бюджетного периода или года, игнорирует динамическую природу внутреннего и внешнего управления ИТ-рисками. Чтобы идти в ногу с меняющимися условиями, в которых приходится работать современным предприятиям, управление ИТ-рисками должно быть организовано как непрерывный процесс. Сегодня очень серьезное влияние на организацию могут оказать инциденты, связанные с ИТ-безопасностью, соблюдением нормативных требований, эксплуатационной готовностью и производительностью.

   Отчет выявил следующие цифры, указывающие частоту ИТ-инцидентов разного типа:
   • 69% респондентов ожидает мелких ИТ-инцидентов раз в месяц;
   • 63% респондентов ожидает серьезных ИТ-инцидентов каждый год
   • 26% ожидает как минимум раз в год инцидентов, связанных с несоблюдением нормативных требований;
   • 25% ожидает как минимум раз в год инцидентов, связанных с утечкой данных.

   Отчет показал, что наиболее эффективные организации придерживаются систематического подхода. Однако многие, похоже, упускают фундаментальные меры по управлению рисками, такие как классификация ресурсов и управление ими: всего 40% участников исследования оценили свою эффективность по этому показателю в 75% или выше. К тому же только 34% участников убеждены, что они располагают актуальным реестром своих беспроводных и мобильных устройств, без которого в современном деловом мире не обойтись.

3. Миф третий: ИТ-риски можно уменьшить при помощи одной лишь технологии

   Хотя технология играет важную роль в предотвращении ИТ-рисков, эффективность программы управления ИТ-рисками определяют также люди и процессы, обслуживаемые этой технологией. Согласно отчету, 53% ИТ-инцидентов вызваны проблемами, связанными с технологическими процессами. Обеспокоенность вызывает также снижение рейтинга некоторых факторов по сравнению с предыдущим, прошлогодним отчетом. Например, оценка фактора обучения и информирования по вопросам безопасности снизилась почти с 50% в первом томе отчета всего до 43% респондентов, оценивающих эффективность своих программ обучения и информирования на 75% и выше. Как и первый том, свежий отчет демонстрирует очень незначительный прогресс в области оценки фактора классификации ресурсов. Наконец, всего 43% участников исследования оценили на «выше 75%» эффективность управления жизненным циклом данных, что на 17% меньше, чем в первом томе отчета. Пренебрежение этим фактором предполагает одинаковое отношение ко всем ресурсам, так что одни системы, процессы и объекты будут излишне защищены от ИТ-рисков, а другие - недостаточно защищены, что ведет к экономической и производственной неэффективности.

   Во втором томе отчета об отношении организаций к управлению ИТ-рисками подчеркивается, что число участников, считающий «эффективной более чем на 75%» разработку безопасных приложений, увеличилось на 10%. Отчет указывает также на повышение рейтинга дисциплины управления проблемами.

4. Миф четвертый: управление рисками - научная дисциплина

   Отчет ясно дает понять, что управление ИТ-рисками - это не научная работа, а развивающаяся бизнес-дисциплина, так как оно опирается на практический опыт, накопленный отдельными людьми и организациями в процессе развития деловой и технологической среды. Усиливается понимание того, что управление ИТ-рисками включает в себя факторы управления операционными рисками, контроля качества и руководства производственными и ИТ-подразделениями. Однако к этому добавляются также организационные и технологические факторы, уникальные для мира ИТ.

Отчет проливает свет и на состояние управления ИТ-рисками в отдельных отраслях. В числе его выводов, например, то, что больше всего инцидентов ожидают представители здравоохранения. Учитывая сложность и высоко индивидуальную природу услуг здравоохранения, а также строжайшие требования по соблюдению нормативов, это вызывает некоторую обеспокоенность. Активнее всех средства управления ИТ-рисками внедряют в индустрии связи, за которой близко следует сфера банковских и финансовых услуг. Этот успех, вероятно, вызван растущим числом нормативных актов и строгостью требований по их соблюдению для перечисленных секторов, а также заботой о защите информации частного характера.

«Второе издание годового отчета об отношении организаций к управлению ИТ-рисками обеспечивает ИТ-профессионалов и руководителей высшего звена проникающим взглядом в дисциплину управления ИТ-рисками - от понимания того, что работает, а что - нет, до практических рекомендаций и действенных советов по реализации программы, - говорит вице-президент отделения Symantec Information Technology and Services Group Дэвид Томпсон (David Thompson). - Лучшее понимание практики управления ИТ-рисками позволяет организациям с уверенностью брать на себя точно рассчитанные риски и использовать ИТ для достижения конкурентного преимущества».