Все новости от 19 сентября 2005 г.

Gartner: не доверяйте безопасность одним технарям

Выступив на конференции Gartner IT Security Summit в Лондоне, вице-президент Gartner Джей Хейзер заявил, что фундаментальная проблема чисто технического подхода заключается в том, что профессионалы по ИТ-безопасности не понимают бизнеса. Предприятиям нужно выращивать и продвигать людей, разбирающихся не только в вопросах безопасности, но и в хитросплетениях бизнеса.

«Ответственный за управление рисками» теперь важнее, чем традиционный специалист по безопасности, который, одновременно занимаясь сетевым администрированием, видит свою задачу в том, чтобы «тянуть деньги из директора по ИТ» и блокировать проекты, которые могли бы принести пользу организации, пояснил Хейзер. «Брандмауэром может управлять любой выпускник колледжа», — добавил он, призывая предприятия взяться за решение более важной задачи оценки собственных рисков и их приоритетов.

В качестве примера компании, принявшей подход использования на руководящих должностях в сфере безопасности бизнес-ориентированных менеджеров, можно привести страхового гиганта Zurich. Стефан Вогт, директор Zurich по ИТ-рискам, рассказал участникам конференции, что его компания отдала на субподряд традиционные аспекты ИТ и безопасности, такие как управление брандмауэром, профилями пользователей и доступом к данным, сосредоточившись на более стратегических вопросах.

«Мы не считаем управление брандмауэром своей повседневной задачей. У нас в организации нет людей, которые этим занимаются. Теперь мы работаем на стратегическом уровне, — сказал он. — Мы перешли от реагирования к предвосхищению и прогнозу возможных ситуаций в будущем». Вог добавил, что в верхней строке его списка приоритетов теперь значится политика, а брандмауэр опустился на последнее место. По его словам, принятие такого подхода внесло значительный вклад в снижение годовых расходов Zurich на ИТ почти с $2 млрд до «около $1 млрд».

По словам Хейзера, рано распознавая риск, вместо того, чтобы бороться с уже осуществившимися угрозами, предприятие значительно улучшает и окупаемость инвестиций. Например, компании, которые вкладывают слишком много средств в защиту по периметру, возможно, не понимают гигантского риска потери интеллектуальной собственности внутри предприятия из-за того, что персонал бесконтрольно вносит и выносит из компании портативные устройства.

«Перестаньте думать только о технике и позвольте предприятию интегрировать все вопросы безопасности», — заявил Хейзер, утверждая, что компании, которые продолжают бросать деньги в топку своих ИТ-подразделений, живут в «блаженном неведении» о том, на что расходуются их инвестиции. Идеальными кандидатами на роль моста через эту пропасть, по его словам, могут быть специалисты по коммуникациям и управлению проектами — желательно, окончившие также бизнес-школу по специальности «Управление рисками».

Хейзер добавил, что очень мало шансов на то, что технически мыслящий человек сможет перешагнуть на эту новую промежуточную почву, оставаясь в рамках ИТ-подразделения, если только у него нет очень хорошего представления об общей картине бизнеса.

Вице-президент Gartner Пол Проктор добавил, что требования регулирующих органов уже заставили компании вступить на этот путь: они начинают понимать, что хоть ИТ-подразделение и участвует в процессе выполнения этих требований, ему трудно охватить более широкую картину всех сторон бизнеса. 

 Предыдущие публикации:

Обсуждение и комментарии

	ну да вот оно 19 Sep 2005 11:06 AM
перевод чуден. лишнее убеждение того, что лучше читать первоисточник
	ммм 19 Sep 2005 12:38 PM
Правильно, всех технарей - в космос!
	(80) 19 Sep 2005 1:08 PM
Всех технарей - в два ряда по Садовому кольцу развесить. Так сказать, периметр безопасности. Дурацкие откровения и открытия, которые еще до появления интернета применялись в крупных компаниях, а уж у нас то в ВПК и подавно. Просто забывать не надо.
	dimav 19 Sep 2005 1:09 PM
"«Перестаньте думать только о технике и позвольте предприятию интегрировать все вопросы безопасности», — заявил Хейзер, утверждая, что компании, которые продолжают бросать деньги в топку своих ИТ-подразделений, живут в «блаженном неведении» о том, на что расходуются их инвестиции. Идеальными кандидатами на роль моста через эту пропасть, по его словам, могут быть специалисты по коммуникациям и управлению проектами — желательно, окончившие также бизнес-школу по специальности «управление рисками»." однзначно лучше кидайте эти деньги в топку одетых в дорогие костюмы выпусников бизнес школ...
	dimav 19 Sep 2005 1:26 PM
"По словам Хейзера, рано распознавая риск, вместо того, чтобы бороться с уже осуществившимися угрозами, предприятие значительно улучшает и окупаемость инвестиций. Например, компании, которые вкладывают слишком много средств в защиту по периметру, возможно, не понимают гигантского риска потери интеллектуальной собственности внутри предприятия из-за того, что персонал бесконтрольно вносит и выносит из компании портативные устройства" какие проблемы с такими устройствами ? или в его компании кто угодно может что угодно подключить к рабочему компьютеру ? держу пари что у автора статьи в качестве рабочего компьютера используется современный нотебук. с многоскоростным dwd-rw способным записать все конфиденциальную информацию за время пока владелец пьет кофе или вышел в туалет...
	dimav 19 Sep 2005 2:04 PM
"Вог добавил, что в верхней строке его списка приоритетов теперь значится политика, а" политикой особенно в большой западной корпорации всегда заниматься лучше чем конкретными вопросам - ничего не делаешь ничего с тобой не сделают и деньги платят,,,
	7X 19 Sep 2005 10:57 PM
Хотелось бы поздравить Gartner с очередным открытием Америки. АНАЛитики как всегда, в своем амплуа.
	Реалист 20 Sep 2005 3:47 AM
БИЗНЕСУ ДОЛЖНЫ УЧИТЬСЯ ВСЕ! Учите матчасть http://ek-lit.agava.ru/stksod.htm - почему, если обучение работяг на заводе в бандитском пригороде Чикаго подняло его капитал со 100 тыс. до 20 лимонов, и это в годы "рейганомики", специалистам в офисах должно быть пох, чем занимается их фирма? Другое дело - хозяин не хочет открываться, ну и фиг ему в руки, долго не протянет. Вообще само слово "специалист" нуждается в переосмыслении. Узкий специалист никогда не то что не начнет своего бизнеса, ни даже не поработает на пользу чужого. Капиталисты это скрывают и всячески дискредитируют идеи, изначально привитые в России: разностороннее образование, "живой" взгляд на вещи, комбинирование коллективной и индивидуальной работы. Дело в том, что если каждый будет относиться к своему рабочему месту по-ХОЗЯЙСКИ, то не только в разы повысится общая эффективность (саботажа не будет в принципе), но при этом и сверхприбыли единиц станут невозможными. А тут еще и пендосскую формулу счастья нам пытаются подсунуть, якобы счастье - не тогда, когда хорошо, а когда лучше, чем у соседа. Чисто пендосское "открытие", нафига только его проецировать на 6,5 миллиардов? Хотя каких шесть. Судя по изначально спроектированной 32-разрядности IP-адресов, "золотых" или даже просто "позолоченных" миллиардов (человеков, имеющих хотя бы свой комп) должно было быть не более 4-х с копейками. Кто-нибудь задумывался об этом? Я уже не говорю про биллово высказывание насчет 640 КБ. И теперь "открытие" Гартнера. Оказывается, все зло - в том, что сотрудники куда-то сливают инфу, являющуюся интеллектуальной собственностью компании. А может проще организовать структуру компании так, чтобы она стала для сотрудника второй семьей? Всего-навсего выдать маленький пакетик неотчуждаемых (это важно) акций или паев. Кому захочется гадить против того, что принадлежит в частности и тебе? И это не абстрактное "ничье" как госсобственность, а полноценный капитал. Если уже нельзя передать какую-либо работу в аутсорс, без контакта с капитальной инфой ("интеллектуальной собственностью"), то почему не призвать на помощь природное чувство собственника? Зачем превращать компанию в армию, кому и какой долг служат ее сотрудники? Зарплата? Как правило, стабильна на протяжении месяцев, если не лет. Но за зарплату не будешь вылезать из шкуры, пахать по 12-14 часов в день в условиях дедлайна, да и трудовое законодательство тут как тут. Какая тут эффективность, если материальная выгода компании и ее сотрудников разнесена по разным сторонам бухгалтерского баланса, а значит находится в противоречии; если законодательство накладывает налог на зарплату в 2 раза больше, чем на прибыль? Кто захочет работать в таком монстре? Индус? Они уже не такие наивные. Китаец? Малаец? Таджик? Что будет, когда и эти прозреют? Ничего страшного. Просто в один прекрасный момент фраза Microsoft must die! будет реализована. Напоминаю, что Google не только распространяет акции среди сотрудников, но и позволяет им 20% времени работать абсолютно на себя, на свои проекты. В маздайной империи такого нету и никогда не было, да и скорее всего не будет. Поэтому не надо гнать, что гугл - это новый майкрософт. Гугл - это гугл, и без Google Earth, например, ни NASA, ни M$ не выпустили бы свои поделки. А Гартнер? Эти просто пытаются тоже "заработать" денег.
	Илья 20 Sep 2005 7:13 AM
2Реалист - согласен с тобой. А вообще "АНАЛитики" должны знать, что безопасность нужно доверять специалистам по безопасности. Они все учтут - и физическую, и информационную, и интеллектуальную, причем в таких деталях, которые "рисковым" выпускникам и не снились.
	ммм 20 Sep 2005 9:13 AM
2 Реалист: ты чево, к сдаче MBA готовишься? В 4 утра :-) Демократия в пределах фирмы - ах как интересно. КАждая домохлзяйка должна уметь управлять государством... Насчет мотивации сотрудников путем распространения пакетов акций - как же, пробовали... Приватизация 90-х. Каков результат? Продавали эти пакеты за бесценок, лишь бы реальные деньги получить... Так что хорошую зарплату как мотив ничем не заменишь.
	Вася 20 Sep 2005 10:34 AM
2MMM не стоит сравнивать акции гугла и ваучеры 90-х.
	Kon 20 Sep 2005 5:25 PM
2 Реалист: Любая уважающая себя фирма продает сотрудникам акции по льготным ценам. У меня есть знакомые на майкрософте, интеле, марвеле - все имеют акции и все заинтересованы в процветании своей фирмы. Видно до совка эта технология еще не дошла... А этот м..., пардон чудак, Гартнер путает вопросы технической безопасности и юридической. Системный администратор не защитит фирму от кражи документов, да это и не его дело. Но без него сеть сдохнет обязательно. Вот тогда и можно будет заниматься только политикой...
	ммм 20 Sep 2005 5:30 PM
2 Вася: Гугль - это Гугль, очень редкое исключение :-) Гуглевская схема менеджмента будет работать далеко не во всех компаниях.
	1 20 Sep 2005 11:38 PM
Казалось бы, а причем здесь МС:) МС до 2003 включительно, т.е. больше 20 лет своего существования давала своим сотрудникам опционы в виде своих акций:) Google Earth появилась на тройку (может больше) лет позже аналогичной службы у МС в MSN. Короче учите мат часть.