Поделиться
Может ли сертификация гарантировать безопасность?
В последнее время у специалистов появилось много вопросов о международном стандарте ISO 27001. Глядя на ситуацию с ISO 9000 в России, многие делают вывод, что сертификация "не работает" и якобы ISO 27001 не нужен. Хотелось бы внести ясность и разобраться с этим вопросом.Николай Федотов: Безопасность - предмет темный
Своим экспертным мнением с CNews поделился Николай Федотов, главный аналитик InfoWatch.
Не вполне ясно, чем подтверждается мнение, что сертификация "не работает". В отношении ISO-9001 об этом можно судить, например, по увеличению сбыта. А как померить улучшение информационной безопасности? Ее влияние на финансовые показатели компании весьма опосредовано. Тем более что безопасность, как известно, не приносит прибыль, а избавляет от убытков, да и то не всегда.
На наш взгляд, сертификация по 27001 приносит выгоды не столько самой сертифицированной компании, сколько ее менеджменту. В силу упомянутой особенности ИБ, трудно оценить эффективность вложений в нее. Скажем, потратила компания кучу денег на организацию защиты, на соответствующее оборудование и специалистов. Никаких значимых инцидентов не случилось. Защита эффективна? Или просто повезло? У руководства компании всегда таится мысль: не зря ли мы тратим деньги на нашу защиту? Может быть, она не работает? Может быть, мои безопасники просто вешают мне лапшу на уши, выпрашивая деньги на свои высокотехнологичные игрушки, на свои мужские игры? Когда что-то неприятное случится, и обнаружится, что наша защита не сработала, будет уже поздно. А как проверить? Устроить учебную тревогу?
Проведение сертификации по стандарту ГОСТ-27001:2005 - это хороший способ выяснить, работает ли твоя "безопасность", не напрасно ли потрачены деньги. Мне кажется, что приобретение сертификата в качестве конкурентного преимущества - это вторичная задача для наших крупных компаний. Первичная - убедиться, что имеющаяся система защиты построена "по науке" и сработает против распространенных угроз. Не зря в списке прошедших такую сертификацию мы видим только крупные предприятия, с многоуровневой бюрократической системой управления. Они больше других должны опасаться нерационального расходования средств.
Поделиться
Короткая ссылка
