Интересное
Виртуальный CISO. Что это и как поможет обеспечить устойчивость бизнеса в условиях дефицита кадров?
В 2022 году, по данным BI.ZONE, количество кибератак в России выросло в три раза. При этом в Минтруде отмечают, что каждый год дефицит специалистов в области информационной безопасности увеличивается на 18 000 человек, а 80% отечественных компаний заявили о нехватке таких сотрудников.
Чем выше квалификация, тем сложнее и дольше искать специалиста. Например, сегодня в России наём в штат CISO (Chief Information Security Officer, директор по кибербезопасности) в среднем занимает от 4 до 6 месяцев. Это общая для всех стран проблема, в мире её решают различными способами.
Потребность в квалифицированных специалистах по кибербезопасности возросла в связи с принятием указа Президента Российской Федерации № 250, по которому большинство российских компаний должны сформировать собственные подразделения информационной безопасности. Кроме того, необходимо больше специалистов для реализации проектов импортозамещения, развития новых систем и миграции на отечественные продукты.
Дефицит кадров
Одним из способов преодолеть дефицит экспертов по кибербезопасности являются специальные сервисы vCISO, которые называют также CISO-as-a-Service. Вместе с Андреем Быковым, владельцем сервиса BI.ZONE vCISO, разбираемся, что это такое, как они работают и какому бизнесу подходят.
Что такое vCISO
vCISO (Virtual Chief Information Security Officer) — директор по кибербезопасности компании, привлечённый в качестве стороннего эксперта топ-уровня. «Это ключевая управленческая роль, — подчёркивает Андрей Быков. — Он должен сформировать стратегию кибербезопасности, выстроить комплексную систему защиты, которая реализует положения, описанные в стратегии, и заниматься её дальнейшим развитием».
Эксперт отмечает, что, как правило, vCISO подчиняется высшему руководству компании-заказчика, однако ситуации могут быть разными. Если он, например, отвечает за кибербезопасность в дочерних компаниях, то может подчиняться ИТ-директору или директору по безопасности всего холдинга.
При этом сервис vCISO позволяет привлекать к работе над проектом не только эксперта топ-уровня, но и команду профильных специалистов. Сервис BI.ZONE состоит из трёх основных компонентов.
Кому будет полезен такой сервис
По сути, потребность в таком сервисе может возникнуть у компании любых размеров. В качестве ограничения можно выделить, например, органы государственной власти, где есть жёсткие требования, что руководитель такого уровня обязательно должен быть в штате. Или маленькие компании, в большинстве из которых должность CISO просто не предусмотрена из-за масштабов бизнеса. Но и в этих случаях vCISO может подключаться в качестве временного проектного помощника на периодической основе.
В целом же можно выделить три типовые группы компаний, которым подходит такой сервис.
«Варианты сотрудничества могут быть самые разные, — объясняет Андрей Быков. — Например, мы уже сталкивались с такой ситуацией, когда vCISO должен был сформировать внутреннюю команду по кибербезопасности. В результате он остался на менеджерской роли, а его „руками“ были специалисты из штата. Есть гибридные модели, в которых эксперты из vOffice подключаются для отдельных прикладных задач, на которые у компании не хватает собственных ресурсов».
Как работает сервис
В BI.ZONE выделяют несколько ключевых этапов работы сервиса.
Пример использования сервиса vCISO
Крупный холдинг приобрёл три предприятия, которые затем должны были войти в его структуру и стать дочерними. Необходимо было провести аудит кибербезопасности и оценить будущие вложения в её повышение до необходимого уровня, затем внедрить новую систему киберзащиты и назначить ответственного в каждой новой организации.
Применение сервиса vCISO в данном случае помогло на 30% оптимизировать бюджет за счёт привлечения одного эксперта vCISO и его команды вместо отдельного CISO для каждой организации. Это также позволило оперативно встроить безопасность во все бизнес- и ИТ-процессы компаний и повысить их общий уровень киберзрелости в соответствии с требованиями головной организации.
Сейчас государство много делает для того, чтобы российскому рынку хватало специалистов по кибербезопасности. Например, в отечественных вузах появились специализированные программы по кибербезопасности критической информационной инфраструктуры. Однако чаще всего такие меры являются стратегическими, а рынку нужны инструменты, которые могут решать сложные задачи здесь и сейчас, сервис vCISO является одним из них.
