Журнал "Information Security/ Информационная безопасность" #5, 2023

Запрос со стороны бизнеса Мы всегда занимались безопас- ностью самостоятельно: строили файр- волы, внедряли антивирусную защиту. Но с тех пор, как наш ЦМИ МГУ 1 стал заключать договоры с крупными ком- паниями, в которых обязательным усло- вием прописано сохранение конфиден- циальности информации, возникла необходимость в разработке целого пакета документов по защите коммер- ческой тайны. Поэтому потребовалось усилить политики информационной без- опасности, и для их исполнения необхо- дима система защиты от рисков ИБ. Мы искали ПО, которое позволило бы не только защитить компанию, конт- ролировать данные, но и повысить уро- вень киберграмотности сотрудников, не нарушая их привычную работу, – важно было донести до них необходи- мость соблюдения мер безопасности. Свой специалист или аутсорсинг? Мы пробовали закрывать ИБ-задачи своими силами: изучили рынок решений для информационной безопасности, выбрали DLP-систему и взяли ее для тестирования. В ЦМИ МГУ не было собственной ИБ-службы, поэтому на первом этапе передали работу с систе- мой ИТ-отделу, но, когда разобрались, как именно все устроено, поняли: чтобы качественно заниматься контролем, требуется минимум 4–5 часов в день, которых нет у наших специалистов. Конечно, можно было бы "все" забло- кировать, но это риск парализовать работу сотрудников. С DLP должен работать грамотный ИБ-аналитик, в ней нет единой "волшебной кнопки", кото- рая позволила бы с помощью одного нажатия выявить и решить проблемы. Когда мы поняли, что рабочих рук не хватает, перед нами встал выбор: нанять специалиста в штат или под- ключить аутсорсинг. Исходя из наших потребностей, решили в пользу второго варианта, выбрав услугу ИБ-аутсор- синга на базе решений "СёрчИнформ" 2 . Таким образом, мы защитились от внут- ренних угроз – утечек информации, неправомерного доступа к данным и др. Почему приняли решение в пользу аутсорсинга – увидели несколько рис- ков, связанных с наймом специалиста в штат. Во-первых, у любого сотрудника ограниченный набор компетенций, зна- ний и опыта. Конечно, есть исключения, но хорошего специалиста, который при этом не занят в другой компании, найти крайне сложно. Во-вторых, не учитывая ситуации, когда компании могут позво- лить себе нанять целый ИБ-отдел, при найме специалиста в штат безопасность организации попадает в зависимость от компетенций одного ИБ-сотрудника. Если он столкнется с проблемой, кото- рую не сможет решить из-за нехватки знаний, то в защите компании легко образуется брешь. В-третьих, если ИБ- специалист заболеет или уйдет в отпуск, то контроль за безопасностью остановится, так как проводить мони- торинг будет некому. В противовес всему этому – при аутсорсинге ИБ заключается договор с компанией, в которой работает много взаимозаме- няемых специалистов, что дает больше гибкости, компетенций и разнообраз- ного опыта для предотвращения рисков. В работе всегда могут подстраховать коллеги, а если возникнет сложная задача, то ее решат совместными уси- лиями. Не будет ступора и долгого чте- ния мануалов, чтобы понять, как и что работает в системе. В этом смысле аутсорсинг показался нам более эффективным и удобным. Учить ученого В Центре морских исследований МГУ работают в основном ученые, наши задачи отличаются от задач коммерче- ских фирм. У нас нет кассы, мы не занимаемся агрегацией большого коли- чества персональных данных. В первую очередь нам важно защищать разра- ботки и исследования, которые прово- дим в рамках сотрудничества с другими компаниями, а во вторую – обучать сотрудников правилам ИБ через прак- тику. Возьмем документацию: в организа- ции есть пачка документов по инфор- мационной безопасности, условно 500 листов, – все наизусть не выучишь. Кроме того, у нас семь основных направлений деятельности, у каждого свои бизнес-процессы: есть "полевики", гидрометеорологи, заведующий скла- дом, специалисты по математическим расчетам, разработчики и др. Непра- вильно подходить ко всем специали- стам с одной линейкой и говорить: работаем только так, вне зависимости от особенностей вашего направления. Однако хочется, чтобы все специа- листы работали с информацией гра- мотно с точки зрения безопасности. Наличие DLP-системы, помимо прямой задачи по защите предприятия, дей- ствует на персонал как сдерживающий механизм. Само знание о том, что в компании используют систему ИБ, заставляет сотрудника задуматься: "Правильно ли я делаю и нужно ли так поступать?" Например, мы выявили привычку сотрудников, которая шла вразрез с принятой политикой парольной защиты. Специалисты "кидали" друг другу паро- 64 • УПРАВЛЕНИЕ Зачем ученым ИБ-аутсорсинг? История о внедрении услуги в Центре морских исследований МГУ енис Илюшин, директор по информационным технологиям Центра морских исследований МГУ им. М.В. Ломоносова (ЦМИ МГУ), рассказал, почему информационную безопасность организации отдали на аутсорсинг. Д Денис Илюшин, директор по информационным технологиям Центра морских исследований МГУ им. М.В. Ломоносова 1 https://marine-rc.ru/ 2 https://searchinform.ru/services/outsource-ib/