rispost Компания Symantec развеяла мифы об ИТ-рисках

января 31st, 2008

Отчет показал, что ИТ-подразделения начинают следовать более взвешенному подходу к ИТ-рискам, в меньшей степени ориентированному на безопасность.

Корпорация Symantec выпустила второй том отчета об отношении организаций к управлению ИТ-рисками (Symantec IT Risk Management Report Volume II), из которого следует, что уровень осведомленности организаций о важности управления ИТ-рисками повышается, тем не менее, некоторые заблуждения по-прежнему сохраняются. Хотя отчет показывает, что руководители стали придерживаться более взвешенного подхода, который учитывает риски готовности, безопасности, производительности и соблюдения нормативных требований, неправильное отношение к управлению ИТ-рисками может привести к авариям ИТ-систем и в конечном итоге повлиять на непрерывность бизнеса. Отчет показывает также, что 53% всех ИТ-инцидентов вызвано проблемами, связанными с технологическими процессами, однако ИТ-руководители часто недооценивают частоту случаев утечки данных.

* Подробный отчет, составленный на основе анализа более чем 400 углубленных, систематических опросов ИТ-профессионалов во все мире, вскрывает важнейшие проблемы и тенденции, анализируя и развеивая следующие четыре общих заблуждения, или мифа, связанных с ИТ-рисками: миф о том, что управление ИТ-рисками сосредоточено только на ИТ-безопасности;

* миф о том, что управление ИТ-рисками представляет собой проект;

* миф о том, что с ИТ-рисками можно справиться исключительно при помощи технологии;

* миф о том, что управление ИТ-рисками является научной дисциплиной.

1. Миф первый: ИТ-риск — это риск безопасности

Несмотря на традиционное восприятие ИТ-риска, связывающее его главным образом с рисками безопасности, результаты исследования указывают на распространение среди ИТ-профессионалов более широкого взгляда. 78% опрошенных оценили как «критический» или «серьезный» риск готовности — при том, что для рисков безопасности, производительности и соответствия нормативным требованиям эта оценка составила соответственно 70%, 68% и 63%. Тот факт, что разница в оценке рисков по типам составляет всего 15%, указывает на то, что ИТ-профессионалы склоняются к более взвешенному отношению к ИТ-рискам, в меньшей степени сосредоточенному на безопасности.

«Вывод отчета Symantec о том, что организации признают важность управления ИТ-рисками не только в сфере безопасности, но и в таких областях, как готовность и производительность, обнадеживает, — говорит старший аналитик Enterprise Strategy Group Джон Олтсик (Jon Oltsik). — Предприятия начинают понимать, что в современном взаимосвязанном мире на деятельность организации и её результаты могут повлиять неполадки в широком спектре систем».

Выводы отчета подтверждают: риски безопасности и соответствия нормативам часто привлекают внимание ввиду того, что инциденты данного типа бросаются в глаза и имеют далеко идущие последствия — 63% респондентов оценили как оказывающие серьезное влияние на их бизнес инциденты, связанные с утечкой данных. Однако к рискам готовности относятся все серьезнее: как показывает отчет, даже мелкие проблемы производительности могут распространяться по стоимостной цепочке и приводить к потерям, измеряемым миллионами долларов. Недавно ученые Дартмутского колледжа и Университета штата Вирджиния установили, что гипотетический отказ системы диспетчерского управления и сбора данных (SCADA) на нефтеперегонном заводе может привести к последствиям, влияние которых оценивается в $405 млн., причем поставщик понесет убытки только в $255 млн., тогда как остальные потери лягут на плечи других участников цепочки поставок.

2. Миф второй: управление ИТ-рисками — это проект

Миф о том, что управление ИТ-рисками можно осуществлять в рамках единого проекта или даже ряда отдельных мероприятий, проводимых в течение определенного бюджетного периода или года, игнорирует динамическую природу внутреннего и внешнего управления ИТ-рисками. Чтобы идти в ногу с меняющимися условиями, в которых приходится работать современным предприятиям, управление ИТ-рисками должно быть организовано как непрерывный процесс. Сегодня очень серьезное влияние на организацию могут оказать инциденты, связанные с ИТ-безопасностью, соблюдением нормативных требований, эксплуатационной готовностью и производительностью.

* Отчет выявил следующие цифры, указывающие частоту ИТ-инцидентов разного типа: 69% респондентов ожидает мелких ИТ-инцидентов раз в месяц;

* 63% респондентов ожидает серьезных ИТ-инцидентов каждый год

* 26% ожидает как минимум раз в год инцидентов, связанных с несоблюдением нормативных требований;

* 25% ожидает как минимум раз в год инцидентов, связанных с утечкой данных.

Отчет показал, что наиболее эффективные организации придерживаются систематического подхода. Однако многие, похоже, упускают фундаментальные меры по управлению рисками, такие как классификация ресурсов и управление ими: всего 40% участников исследования оценили свою эффективность по этому показателю в 75% или выше. К тому же только 34% участников убеждены, что они располагают актуальным реестром своих беспроводных и мобильных устройств, без которого в современном деловом мире не обойтись.

3. Миф третий: ИТ-риски можно уменьшить при помощи одной лишь технологии

Хотя технология играет важную роль в предотвращении ИТ-рисков, эффективность программы управления ИТ-рисками определяют также люди и процессы, обслуживаемые этой технологией. Согласно отчету, 53% ИТ-инцидентов вызваны проблемами, связанными с технологическими процессами. Обеспокоенность вызывает также снижение рейтинга некоторых факторов по сравнению с предыдущим, прошлогодним отчетом. Например, оценка фактора обучения и информирования по вопросам безопасности снизилась почти с 50% в первом томе отчета всего до 43% респондентов, оценивающих эффективность своих программ обучения и информирования на 75% и выше. Как и первый том, свежий отчет демонстрирует очень незначительный прогресс в области оценки фактора классификации ресурсов. Наконец, всего 43% участников исследования оценили на «выше 75%» эффективность управления жизненным циклом данных, что на 17% меньше, чем в первом томе отчета. Пренебрежение этим фактором предполагает одинаковое отношение ко всем ресурсам, так что одни системы, процессы и объекты будут излишне защищены от ИТ-рисков, а другие — недостаточно защищены, что ведет к экономической и производственной неэффективности.

Во втором томе отчета об отношении организаций к управлению ИТ-рисками подчеркивается, что число участников, считающий «эффективной более чем на 75%» разработку безопасных приложений, увеличилось на 10%. Отчет указывает также на повышение рейтинга дисциплины управления проблемами.

4. Миф четвертый: управление рисками – научная дисциплина

Отчет ясно дает понять, что управление ИТ-рисками — это не научная работа, а развивающаяся бизнес-дисциплина, так как оно опирается на практический опыт, накопленный отдельными людьми и организациями в процессе развития деловой и технологической среды. Усиливается понимание того, что управление ИТ-рисками включает в себя факторы управления операционными рисками, контроля качества и руководства производственными и ИТ-подразделениями. Однако к этому добавляются также организационные и технологические факторы, уникальные для мира ИТ.

Отчет проливает свет и на состояние управления ИТ-рисками в отдельных отраслях. В числе его выводов, например, то, что больше всего инцидентов ожидают представители здравоохранения. Учитывая сложность и высоко индивидуальную природу услуг здравоохранения, а также строжайшие требования по соблюдению нормативов, это вызывает некоторую обеспокоенность. Активнее всех средства управления ИТ-рисками внедряют в индустрии связи, за которой близко следует сфера банковских и финансовых услуг. Этот успех, вероятно, вызван растущим числом нормативных актов и строгостью требований по их соблюдению для перечисленных секторов, а также заботой о защите информации частного характера.

«Второе издание годового отчета об отношении организаций к управлению ИТ-рисками обеспечивает ИТ-профессионалов и руководителей высшего звена проникающим взглядом в дисциплину управления ИТ-рисками — от понимания того, что работает, а что – нет, до практических рекомендаций и действенных советов по реализации программы, — говорит вице-президент отделения Symantec Information Technology and Services Group Дэвид Томпсон (David Thompson). — Лучшее понимание практики управления ИТ-рисками позволяет организациям с уверенностью брать на себя точно рассчитанные риски и использовать ИТ для достижения конкурентного преимущества».

www.securitylab.ru

Нет комментариев

No comments yet.

RSS feed for comments on this post.

Sorry, the comment form is closed at this time.

При наполнении сайта использована информация из открытых источников. Владелец сайта не несет ответственности за недостоверную и заведомо ложную информацию размещенную на страницах сайта. При использовании информации опубликованной на нашем сайте, ссылка обязательна.
Реклама на сайте: