В этой статье я хотел бы изложить свой взгляд на текущие проблемы российского рынка ИБ. Существующий рынок представляет собой своеобразное зрелище. С одной стороны — он динамичнее ИТ-рынка в целом и растет год от года, а цифры роста вызывают зависть ИТ-коллег.

С другой стороны, несмотря на рост, меня не покидает ощущение того, что на рынке давно существуют и год от года усугубляются некоторые проблемы. Рассмотрим их подробнее.

Проблема 1. Виртуальный размер рынка

Известно, что одним из основных показателей того или иного рынка является его объем. Если он известен, то можно определить рыночную долю той или иной компании, а с течением времени выявлять те или иные рыночные тенденции, то есть порождать некую аналитику.

Размер зрелых рынков оценивается и аналитиками рынка, и его участниками с определенной погрешностью, не превышающей 30%. Табели о рангах, которые выстраивают аналитические компании за полгода-год, показывают более или менее правдоподобные результаты участников рынка и тем самым побуждают их задуматься над эффективностью собственной деятельности.

В нашей стране в рассматриваемом сегменте дела обстоят совершенно иначе.

Популярный российский рейтинг в области ИБ строится методом опроса компаний-участников, представленные данные публикуются как есть, без проверки и сопоставления.

Отмечу две основные особенности построения этого рейтинга.

Во-первых, он объединяет совершенно разных игроков рынка: дистрибьюторов, интеграторов, вендоров, группы компаний. Вендор в основном получает деньги за свою продукцию. Но сами вендоры редко самостоятельно продают её потребителю. Поэтому возникают такие участники рынка, как дистрибьюторы и интеграторы, причем на пути к клиенту товар может перепродаваться более двух раз. При этом каждый участник цепочки продажи декларирует свою выручку. В результате происходит повторный подсчет одних и тех же денег. Количество денег, заплаченных потребителем за продукцию, остается неизменным, но объем рынка увеличивается пропорционально количеству участников перепродажи.

В результате получается интересная ситуация. В рейтинге мы видим знакомые названия компаний и цифры в рублях. Но над этими цифрами нельзя производить арифметические операции, потому что они хоть и написаны одними и теми же символами, но реально имеют совершенно разную природу.

Во-вторых, в силу принципа составления рейтинг содержит не выручку компаний, а их собственное мнение о своих финансовых результатах в прошедшем году. Достоверность этого мнения зависит прежде всего от той цели, которую ставит перед собой участник рейтинга.

Никто не мешает участнику рейтинга заявить какие угодно суммы, особенно если компания реализует ИБ-проекты наряду с ИТ-проектами. Если при этом компания не сдает статистические данные государству, то в принципе можно смело заявлять в рейтинг любые цифры, завышенные ровно до той величины, которая позволяет занять нужное место.

Таким образом, приведенные в рейтинге цифры лишь демонстрируют несовершенство методики подсчета и достаточно часто являются количественным отображением желания компании “застолбить” более высокое место.

Безусловно, создание высококачественной аналитики рынка — долгая и затратная вещь. Поэтому можно понять составителей рейтинга, которые минимизируют издержки на содержание штата маркетологов-аналитиков. Но как следствие мы получаем замену аналитики на PR со всеми вытекающими последствиями. При таком подходе дальше констатации фактов продвинуться невозможно.

На мой взгляд, рынку ИБ нужно более или менее объективное зеркало, а не портрет кисти неизвестного художника. Зеркало поможет рынку увидеть себя, ужаснуться или восхититься, но независимо от результата после этого все равно начать изменяться.

Проблема 2. Виртуальные ассоциации реальных участников рынка

Когда рынок переходит в стадию зрелости, обычно это сопровождается формированием определенных институтов, призванных решать те проблемы, которые возникают перед всеми участниками рынка. Давайте посмотрим на банковский рынок, страховое сообщество: везде есть свои ассоциации, объединяющие профессиональных участников рынка. Да что далеко ходить — на рынке ИТ такая практика существует и себя успешно зарекомендовала.

При создании ассоциаций на этих рынках четко соблюдается один принцип: ассоциация не должна быть коммерческим игроком рынка, конкурировать с компаниями-участниками или давать формальное преимущество при получении доступа к тем или иным работам. Виртуальность существующих ассоциаций на рынке ИБ заключается в том, что они есть, но их как бы и нет. Они не объединяют рынок ИБ, а разделяют его на группы и служат средством конкурентной борьбы, тем самым не решая основной задачи — выражения консолидированной позиции участников.

Отсутствие единой ассоциации не позволяет отстаивать позицию участников рынка ИБ при решении спорных вопросов на уровне правительства и Думы. Примером может являться регулирование защиты персональных данных. Обратите внимание, как умело работает банковское и страховое сообщество и как незаметно сообщество профессионалов в области ИБ.

Сейчас на российском рынке ИБ явно видны две основные тенденции. Первая — это усиление требований к безопасности государства, что связано с политикой, проводимой нашей страной. И вторая тенденция — общемировая: информационные технологии все больше проникают в повседневную жизнь граждан, и при этом требуется их защита от различных “плохих парней”.

Эти тенденции на самом деле противоречивы. Перенос методов и способов защиты интересов государства на защиту частных интересов граждан ни к чему хорошему не приводит, что можно видеть на примере реализации закона о персональных данных.

Посему все чаще и чаще в обществе будет вставать вопрос о том, как обеспечить в том или ином случае безопасность граждан при использовании тех или иных технологий. Если будет отсутствовать ассоциация, отражающая мнение участников рынка, то в этом случае решения будут приниматься как и сейчас, без учета мнения специалистов по ИБ, что, несомненно, негативно скажется и на их качестве, и на последствиях их реализации.

Проблема 3. Виртуальные требования реальных регуляторов

С существующими регуляторами рынка проблема обстоит несколько сложнее.

Если объемные показатели рынка ИБ и его структура — это зеркало текущей ситуации на нём, а ассоциация — это возможность влияния на будущие проблемы и возможность выразить консолидированное мнение игроков рынка, то требования регуляторов — это одна из фундаментальных компонент рынка ИБ, и от качества этих требований зависит не только текущее состояние, но и перспективы развития рынка.

Ситуация с законом о персональных данных, на мой взгляд, выявила одну большую проблему в деятельности регуляторов, которая затронула не только игроков рынка ИБ, но и всех потребителей.

Предлагаемые регуляторами требования по защите персональных данных малоприменимы к современным системам обработки информации. И часто приходится выбирать: либо работать, либо соблюдать требования. То есть регуляторы есть и требования есть, но требования и реальная жизнь редко пересекаются друг с другом.

Можно сколь угодно долго возмущаться деятельностью регуляторов, но, на мой взгляд, основная причина обозначенной проблемы в том, что устарела сама система регулирования рынка ИБ.

Существующая модель регулирования строилась исходя из того, что потребителей ИБ-услуг немного и все они в основном обслуживают государственные интересы. Именно эта установка определила функции регуляторов, их права и обязанности, а также штатную численность.

Но когда это было? Более пятнадцати лет назад, еще в другом веке и при другом государственном устройстве. Тогда ИТ изменялись медленно, крупные системы строились исключительно в интересах государства, а число контролируемых организаций измерялось десятками или сотнями в масштабах страны.

Именно для такой ситуации и были разработаны универсальные требования по ИБ, которые не зависели от отрасли, а контроль исполнения этих требований проводился непосредственно самими регуляторами.

Вполне естественно, что увеличение участников рынка и усложнение технологий сделало такую модель в текущих условиях почти неработоспособной.

С другой стороны, понятно, что государство не может оставить этот рынок без внимания, потому что одна из функций государства — защита своих интересов и интересов граждан. Получаем противоречие.

Краткий итог

Количественные показатели рынка ИБ и требования регуляторов все больше превращаются в кантовскую “вещь в себе” и в PR-продукт для средств массовой информации. Реальный рынок ИБ начал жить своей жизнью, в отрыве от наших представлений о нем. Он перерос наши представления и продолжает расти дальше. А мы пока не поспеваем. Под словом ”мы” я понимаю сообщество профессионалов в области ИБ в России.

Здесь возникает любимый национальный вопрос — что делать? Думаю, со мною многие согласятся: нужны глубокие системные изменения.

Часть из них реализовать просто. Для получения более или менее адекватной картины рынка необходимы три действия. Первое — сегментировать рынок ИБ и в соответствии с принятыми правилами собирать и анализировать данные. Второе — научиться не врать (это сложно) или для начала врать не сильно (трудно, но уже реально) насчет собственных достижений. Третье — подвергать заявленные компаниями данные элементарным проверкам, по подобию, например, рейтингов РА “Эксперт”. В результате цифры наполнятся смыслом.

Для организации ассоциации тоже нужно немного — несколько активных и неангажированных профессионалов, которые разбираются не только в механизмах защиты и хитросплетениях политических интриг, но и в экономических механизмах рынка. Если мы преодолеем феодальную раздробленность, существующую сейчас на рынке ИБ, то от этого выиграют как его участники, так и потребители.

И если формирование системы анализа рынка и создание ассоциации — это скорее косметические изменения, то создание новой схемы регулирования рынка ИБ — это задача, решение которой требует политической воли, системного подхода и нешуточного напряжения сил.

На мой взгляд, подходы к регулированию государственного и негосударственного сегментов рынка ИБ должны различаться.

В государственном сегменте целесообразно сохранить ранее созданный порядок регулирования и контроля за его соблюдением. Вполне возможно, что в перспективе его тоже придется модернизировать, но на несколько ближайших лет его надо оставить без изменений.

В негосударственном же сегменте, думаю, роль регуляторов должна быть изменена. Коммерческому сегменту нужны “мета”-регуляторы, которые определят прежде всего ответственность (административную, финансовую и др.) за нарушение прав тех лиц, чья информация или информация о ком обрабатывается в информационных системах, а также самые общие функциональные требования к системам безопасности. Когда ответственность и функциональные требования будут обозначены, контроль за их исполнением можно осуществлять по формальным признакам. Не хочешь обеспечивать безопасность — не надо. Считаешь излишним или слишком дорогим — значит, так тому и быть, ведь фирмы-то частные и приказать им сложно. Но если безопасность данных нарушена, то ответственность менеджмента определена и исчисляется во вполне ощутимых и понятных показателях, влекущих за собой финансовые, репутационные, административно-правовые последствия. Таким образом, коммерческим компаниям нужно просто дать возможность выбора и понимание цены последствий.

При таком положении дел логичным способом минимизации рисков является следование стандартам. Эти стандарты вместе с правилами их контроля разрабатываются внутри каждой отрасли и регистрируются у мета-регулятора. Они отражают специфику той или иной отрасли относительно рисков и технологий обработки информации и детализируют функциональные требования мета-регулятора.

Контроль исполнения этих требований внутри отрасли производится уполномоченными аудиторами, прошедшими аккредитацию как у мета-регулятора, так и в отрасли.

Мета-регулятор производит выборочный контроль за сделанными проверками для того, чтобы обеспечить контроль качества этих проверок и держать в тонусе аудиторов.

Такой подход позволит, с одной стороны, уделить должное внимание именно безопасности, а не хитрым способам составления формальных документов во избежание замечаний по проверкам, а с другой стороны, даст возможность государству выполнить свои функции по защите интересов граждан.

Предложенный комплекс мер, на мой взгляд, обеспечит защиту интересов потребителей, поднимет уровень профессионализма участников рынка и вместе с этим даст мощный импульс развитию всего рынка ИБ.

Автор статьи — генеральный директор группы компаний “Информзащита”