Отчет показал, что ИТ-подразделения начинают следовать более взвешенному подходу к ИТ-рискам, в меньшей степени ориентированному на безопасность
Москва, 30 января 2008 г. – Корпорация Symantec выпустила второй том отчета об отношении организаций к управлению ИТ-рисками (Symantec IT Risk Management Report Volume II), из которого следует, что уровень осведомленности организаций о важности управления ИТ-рисками повышается, тем не менее, некоторые заблуждения по-прежнему сохраняются. Хотя отчет показывает, что руководители стали придерживаться более взвешенного подхода, который учитывает риски готовности, безопасности, производительности и соблюдения нормативных требований, неправильное отношение к управлению ИТ-рисками может привести к авариям ИТ-систем и в конечном итоге повлиять на непрерывность бизнеса. Отчет показывает также, что 53% всех ИТ-инцидентов вызвано проблемами, связанными с технологическими процессами, однако ИТ-руководители часто недооценивают частоту случаев утечки данных.
Подробный отчет, составленный на основе анализа более чем 400 углубленных, систематических опросов ИТ-профессионалов во все мире, вскрывает важнейшие проблемы и тенденции, анализируя и развеивая следующие четыре общих заблуждения, или мифа, связанных с ИТ-рисками:
· миф о том, что управление ИТ-рисками сосредоточено только на ИТ-безопасности;
· миф о том, что управление ИТ-рисками представляет собой проект;
· миф о том, что с ИТ-рисками можно справиться исключительно при помощи технологии;
· миф о том, что управление ИТ-рисками является научной дисциплиной.
Миф первый: ИТ-риск — это риск безопасности
Несмотря на традиционное восприятие ИТ-риска, связывающее его главным образом с рисками безопасности, результаты исследования указывают на распространение среди ИТ-профессионалов более широкого взгляда. 78% опрошенных оценили как «критический» или «серьезный» риск риск готовности — при том, что для рисков безопасности, производительности и соответствия нормативным требованиям эта оценка составила соответственно 70%, 68% и 63%. Тот факт, что разница в оценке рисков по типам составляет всего 15%, указывает на то, что ИТ-профессионалы склоняются к более взвешенному отношению к ИТ-рискам, в меньшей степени сосредоточенному на безопасности.
«Вывод отчета Symantec о том, что организации признают важность управления ИТ-рисками не только в сфере безопасности, но и в таких областях, как готовность и производительность, обнадеживает, — говорит старший аналитик Enterprise Strategy Group Джон Олтсик (Jon Oltsik). — Предприятия начинают понимать, что в современном взаимосвязанном мире на деятельность организации и ее результаты могут повлиять неполадки в широком спектре систем».
Выводы отчета подтверждают: риски безопасности и соответствия нормативам часто привлекают внимание ввиду того, что инциденты данного типа бросаются в глаза и имеют далеко идущие последствия — 63% респондентов оценили как оказывающие серьезное влияние на их бизнес инциденты, связанные с утечкой данных. Однако к рискам готовности относятся все серьезнее: как показывает отчет, даже мелкие проблемы производительности могут распространяться по стоимостной цепочке и приводить к потерям, измеряемым миллионами долларов. Недавно ученые Дартмутского колледжа и Университета штата Вирджиния установили, что гипотетический отказ системы диспетчерского управления и сбора данных (SCADA) на нефтеперегонном заводе может привести к последствиям, влияние которых оценивается в $405 млн, причем поставщик понесет убытки только в $255 млн, тогда как остальные потери лягут на плечи других участников цепочки поставок (http://www.ists.dartmouth.edu/library/207.pdf).
Миф второй: управление ИТ-рисками — это проект
Миф о том, что управление ИТ-рисками можно осуществлять в рамках единого проекта или даже ряда отдельных мероприятий, проводимых в течение определенного бюджетного периода или года, игнорирует динамическую природу внутреннего и внешнего управления ИТ-рисками. Чтобы идти в ногу с меняющимися условиями, в которых приходится работать современным предприятиям, управление ИТ-рисками должно быть организовано как непрерывный процесс. Сегодня очень серьезное влияние на организацию могут оказать инциденты, связанные с ИТ-безопасностью, соблюдением нормативных требований, эксплуатационной готовностью и производительностью. Отчет выявил следующие цифры, указывающие частоту ИТ-инцидентов разного типа:
· 69% респондентов ожидает мелких ИТ-инцидентов раз в месяц;
· 63% респондентов ожидает серьезных ИТ-инцидентов каждый год
· 26% ожидает как минимум раз в год инцидентов, связанных с несоблюдением нормативных требований;
· 25% ожидает как минимум раз в год инцидентов, связанных с утечкой данных.
Отчет показал, что наиболее эффективные организации придерживаются систематического подхода. Однако многие, похоже, упускают фундаментальные меры по управлению рисками, такие как классификация ресурсов и управление ими: всего 40% участников исследования оценили свою эффективность по этому показателю в 75% или выше. К тому же только 34% участников убеждены, что они располагают актуальным реестром своих беспроводных и мобильных устройств, без которого в современном деловом мире не обойтись.
Миф третий: ИТ-риски можно уменьшить при помощи одной лишь технологии
Хотя технология играет важную роль в предотвращении ИТ-рисков, эффективность программы управления ИТ-рисками определяют также люди и процессы, обслуживаемые этой технологией. Согласно отчету, 53% ИТ-инцидентов вызваны проблемами, связанными с технологическими процессами. Обеспокоенность вызывает также снижение рейтинга некоторых факторов по сравнению с предыдущим, прошлогодним отчетом. Например, оценка фактора обучения и информирования по вопросам безопасности снизилась почти с 50% в первом томе отчета всего до 43% респондентов, оценивающих эффективность своих программ обучения и информирования на 75% и выше.
Как и первый том, свежий отчет демонстрирует очень незначительный прогресс в области оценки фактора классификации ресурсов. Наконец, всего 43% участников исследования оценили на «выше 75%» эффективность управления жизненным циклом данных, что на 17% меньше, чем в первом томе отчета. Пренебрежение этим фактором предполагает одинаковое отношение ко всем ресурсам, так что одни системы, процессы и объекты будут излишне защищены от ИТ-рисков, а другие — недостаточно защищены, что ведет к экономической и производственной неэффективности.
Во втором томе отчета об отношении организаций к управлению ИТ-рисками подчеркивается, что число участников, считающий «эффективной более чем на 75%» разработку безопасных приложений, увеличилось на 10%. Отчет указывает также на повышение рейтинга дисциплины управления проблемами.
Миф четвертый: управление рисками – научная дисциплина
Отчет ясно дает понять, что управление ИТ-рисками — это не научная работа, а развивающаяся бизнес-дисциплина, так как оно опирается на практический опыт, накопленный отдельными людьми и организациями в процессе развития деловой и технологической среды. Усиливается понимание того, что управление ИТ-рисками включает в себя факторы управления операционными рисками, контроля качества и руководства производственными и ИТ-подразделениями. Однако к этому добавляются также организационные и технологические факторы, уникальные для мира ИТ.
Разброс по отраслям
Отчет проливает свет и на состояние управления ИТ-рисками в отдельных отраслях. В числе его выводов, например, то, что больше всего инцидентов ожидают представители здравоохранения. Учитывая сложность и высоко индивидуальную природу услуг здравоохранения, а также строжайшие требования по соблюдению нормативов, это вызывает некоторую обеспокоенность. Активнее всех средства управления ИТ-рисками внедряют в индустрии связи, за которой близко следует сфера банковских и финансовых услуг. Этот успех, вероятно, вызван растущим числом нормативных актов и строгостью требований по их соблюдению для перечисленных секторов, а также заботой о защите информации частного характера.
«Второе издание годового отчета об отношении организаций к управлению ИТ-рисками обеспечивает ИТ-профессионалов и руководителей высшего звена беспрецедентным проникающим взглядом в дисциплину управления ИТ-рисками — от понимания того, что работает, а что – нет, до практических рекомендаций и действенных советов по эффективной реализации программы, — говорит вице-президент отделения Symantec Information Technology and Services Group Дэвид Томпсон (David Thompson). — Лучшее понимание практики управления ИТ-рисками позволяет организациям с уверенностью брать на себя точно рассчитанные риски и использовать ИТ для достижения конкурентного преимущества».
Второй том отчета об отношении организаций к управлению ИТ-рисками доступен на веб-сайте Symantec по адресу: www.symantec.com/
Российское представительство Symantec оказывает помощь и консалтинговые услуги по разработке и внедрению систем:
· управления операционными рисками, включая ИТ-рисками
· управления производительностью и хранением информации, ее доступностью и безопасностью
· управления бесперебойностью бизнеса и предоставления ИТ-услуг.
· управления ИТ-инфраструктурой и ИТ подразделением
За более подробной информацией обращайтесь в представительство корпорации Symantec в России и странах СНГ.
О корпорации Symantec
Корпорация Symantec — мировой лидер по разработке и продаже программного обеспечения инфраструктуры, которое позволяет предприятиям и индивидуальным пользователям обрести уверенность в мире, где все связаны друг с другом. Компания помогает заказчикам защитить свою инфраструктуру, информацию и контакты, предлагая программное обеспечение и услуги, устраняющие риски для безопасности, доступности, соблюдения нормативных требований и производительности. Штаб-квартира Symantec расположена в Купертино, штат Калифорния, США. Корпорация имеет представительства в 40 странах. За более подробной информацией обращайтесь, пожалуйста, на веб-сайт www.symantec.com
###
ПРИМЕЧАНИЕ ДЛЯ РЕДАКТОРОВ. Если вам потребуется дополнительная информация о корпорации Symantec или о ее продукции, обратитесь в пресс-центр по адресу http://www.symantec.com/PressCenter/ на веб-узле Symantec. Все цены указаны в долларах США и действуют только на территории Соединенных Штатов.
Symantec, эмблема Symantec, VERITAS и эмблема VERITAS являются товарными знаками или охраняемыми товарными знаками корпорации Symantec и ее дочерних компаний в США и ряде других стран. Названия других упомянутых в документе компаний и продуктов являются товарными знаками или охраняемыми товарными знаками соответствующих владельцев.