Аналитическая компания IDC изучила по заказу Microsoft изменение отношения к информационной безопасности во время пандемии и вынужденного перехода на удаленную работу и подготовила отчет, который получил название Microsoft IT Cloud Security Survey. Исследование проводилось с сентября по ноябрь 2020 года в Венгрии, Греции, Польше, России, Румынии и Чехии, в нем приняли участие специалисты по безопасности, а также ИТ-специалисты и руководители предприятий из разных отраслей. Компании отвечали на вопросы о событиях 2020 года и о планах на два года вперед. В исследовании приняли участие 1500 человек, из них 400 – из России, из которых 48% составили представители малого и среднего бизнеса.
Переоценка безопасности
Как отметил на пресс-конференции по случаю публикации отчета руководитель отдела корпоративной безопасности, соответствия требованиям и идентификации Microsoft в Центральной и Восточной Европе Андрей Савчук «при переходе на удалённую работу руководство компаний поняло необходимость обеспечения кибербезопасности своих активов, поскольку ее обеспечение стало критическим для бизнеса». Это изменение отношения к безопасности также зафиксировано и в данных отчета: 9 из 10 компаний планируют сохранить или увеличить бюджет на безопасность в ближайшие два года. Правда, у российских компаний этот показатель несколько ниже — 60% из них сохранят прежний бюджет на ИБ, и только 28% повысят расходы на информационную безопасность в ближайшие два года. Это ниже средней доли компаний, планирующих увеличить бюджет в странах Центральной и Восточной Европы — таких было 36% из общей выборки. Возможно, это связано с тем, что в России уже были достаточно жесткие требования по информационной безопасности, и компании уже тратят на нее достаточно много и больше не в состоянии увеличивать эти траты.
При этом только 23% опрошенных компаний ответили, что у них нет никаких проблем с обеспечением информационной безопасности своих информационных систем. Больше всего инцидентов связано с вредоносными программами и вымогателями — их указали в качестве основной проблемы 39% респондентов. Еще 30% назвали основной проблемой безопасности использованием устаревших процессов и систем защиты. Действительно, массовый переход на удаленную работу потребовал пересмотреть подходы к обеспечению информационной безопасности. Еще 27% указало в качестве основной причины проблем с ИБ рассогласование мер безопасности в локальных и облачных средах. Пандемия заставила персонал перейти на облачные сервисы, где, как оказалось, невозможно применять корпоративные политики безопасности. А еще у четверти респондентов проблемы оказались банальными — недостаточно денег на построение качественной системы защиты.
Кроме того, стратегия защиты у большинства компаний не очень-то и проработана. Во всяком случае по данным опроса только 42% компаний в Центральной и Восточной Европе разработали комплексную стратегию безопасности, при этом 86% респондентов заявили, что удовлетворены уровнем кибербезопасности своей организации. Это может означать, что некоторые компании испытывают ложное чувство безопасности. Причем в России доля тех, кто разработал комплексную стратегию еще меньше — 39%, что можно объяснить тем, что в требованиях наших регуляторов разработка такого документа не требуется.
Накопление компетенций
При этом в Microsoft считают, что одним из важных ресурсов по увеличению защищенности информационных ресурсов является повышение осведомленности всего персонала компаний в вопросах информационной безопасности. В 2020 году 54% респондентов проводили обучение по вопросам ИБ только на разовой основе. Однако в планах на ближайшие два года у 68% компаний в Центральной и Восточной Европе есть обучение сотрудников принципам кибергигиены, при этом 56% также уделят внимание повышению уровня технических специалистов. В России сравнимые показатели: 68% планируют повышать знания по кибербезопасности для сотрудников, а 48% планируют разработать стратегию безопасности или улучшить существующую стратегию. Похоже, что ситуация с информационной безопасностью должна в ближайшее время измениться, поскольку компании рассматривают повышение квалификации как основной драйвер повышения защищенности своих информационных систем. Кибергигиена и обучение ИТ-специалистов правильным настройкам встроенных средств защиты должны сделать корпоративные сети компании более защищенными.
