Не так важно, к какой из этих двух групп вы относите себя, уверены – взглянуть в 2024-ый из уже наступившего 2025-го полезно будет всем. Поэтому давайте вспомним вместе, какими тенденциями нам запомнился ушедший год, чтобы учесть их в году наступившем.
Итак, поехали!
Кадровый дефицит усилился
Мы много писали об этой теме в нашем tg-канале еще в 2023-ем году. В 2024 тренд продолжился, а эксперты прогнозируют дальнейшее усиление кадрового дефицита в сфере и в будущем.
Ужесточаются требования регуляторов, развивается импортозамещение, растет потребность бизнеса в новых кадрах не только на привычных позициях, но и на новых, ранее невостребованных ролях. Все это ведет к сильному росту спроса на квалифицированные кадры. А эти кадры, в свою очередь, все чаще переходят в смежные отрасли, например, в безопасную разработку, так называемый DevSecOps, что дополнительно сокращает объем рынка.
На ближайшие годы единственным решением традиционно останется ИТ-аутсорсинг, или Security as a Service. Этот комплекс услуг помогает бизнесу закрывать свои потребности, снижая издержки и time-to-market, но магии здесь нет: компании, предоставляющие такие услуги, испытывают те же проблемы, что вынуждает их предлагать более выгодные условия специалистам, и, как следствие, поднимать цены на услуги. Но, по крайней мере, их процессы налажены, а ИБ является основным бизнесом, что, чаще всего, выглядит более интересным с точки зрения специалиста, так как подобные работодатели могут предложить не только конкурентные условия, но и более интересные, технологичные проекты и задачи, то есть – более качественный профессиональный рост.
В 2025 году прогнозируем рост спроса на услуги такого типа вместе с ростом дефицита кадров. Поэтому снова рекомендуем бизнесу взглянуть в сторону аутсорсинга, который поможет не только повысить качество защиты, но и заметно минимизировать издержки, связанные с решением кадровых задач.
В тренде атаки на цепочки поставок
Коллеги отмечают значительный рост подобных атак в 2024 году. Причем, как количественный – атак стало больше, так и качественный – успешность подобных атак растет.
Если еще несколько лет назад подобные инциденты, скорее, можно было назвать исключением, то в 2024 году это уже стало нашей новой реальностью.
Связываем это с тем, что крупный российский бизнес, в целом, уже вышел на достаточно высокий уровень защищенности, который опережает возможности подавляющего числа злоумышленников. Вместе с этим, взломщикам не так интересно проводить атаки на мелкий бизнес, т.к. зачастую в этом банально нет никакого финансового смысла.
Эти факторы мотивируют их обратить свой взор на подрядчиков – третьих лиц, которые в силу специфики своего бизнеса могут иметь доступ к чувствительным данным крупных игроков, и одновременно не иметь соответствующего уровня защиты. Многие подобные атаки достигают успеха, что подтверждается и ростом их числа в абсолюте.
Прогнозируем дальнейший рост числа подобных атак, законодательные изменения, направленные на повышение защищенности цепочек со стороны бизнеса, а также развитие рынка ПО, направленного на обеспечение безопасности во взаимодействии с контрагентами.
Также рекомендуем вам особенно ответственно подходить к вопросам безопасности при работе с третьими лицами – угроза утечек с этой стороны сейчас особенно высока.
Успехи в импортозамещении
В конце года мы также высказывались на эту тему в нашем tg-канале.
Согласно данным экспертов, на конец 2024-го года уровень импортозамещения достиг порядка 80% от общего числа инструментов, используемыми коммерческими организациями.
Можно назвать этот факт успехом. Однако многие причастные отмечают, что качество российских решений пока еще уступает зарубежным аналогам. Но это, как нам кажется, вопрос, решаемый со временем.
Прогнозируем, что теперь бюджеты на ИБ получится частично перенаправить на другие не менее важные вещи, в частности – на выстраивание полноценных и работающих процессов по обеспечению ИБ, в чем видим сейчас основную точку роста индустрии в ближайшие годы.
Подключение к ГосСОПКА стало проще
В сентябре 2024 года Национальный координационный центр по компьютерным инцидентам (НКЦКИ) упростил процедуру присоединения к Государственной системе обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА). Теперь регламенты взаимодействия можно заключать методом присоединения. Процесс стал более удобным и понятным для бизнеса, в связи с чем, мы наблюдаем растущий интерес к этому инструменту.
Это решение определенно положительно скажется на общей зрелости ИБ, сделает непрерывный мониторинг доступнее. Другой, менее очевидный плюс – рост популярности коммерческих SOC (безусловно, имеющих все лицензии и аккредитации) позволит поставщикам этого сервиса выделить больше ресурсов на его развитие, что, соответственно, окажет дополнительное позитивное влияние на качество работы.
Что интересно, подключиться к ГосСОПКА может любой бизнес. Если для субъектов КИИ это – обязательное требование, то для остальных компаний, на данный момент – рекомендация. Но общий тренд в российском цифровом законодательстве таков, что в обозримой перспективе это может ужесточиться, а перечень компаний, кто обязательно должен подключиться к системе – расшириться.
Мы рекомендуем принять соответствующие решения, так как это позволит поднять реальный уровень ИБ не только в конкретной компании, но и в целом: чем больше источников информации об инцидентах, инфраструктуре и процессах – тем эффективнее решения, принимаемые на всех уровнях.
Сохраняется тренд «Не хочу быть субъектом КИИ»
Не смотря на упрощение механизмов защиты КИИ согласно предыдущему пункту, мы отмечаем другой, негативный тренд – многие компании, подпадающие под определение субъектов КИИ, чаще стали стремиться занизить те или иные параметры, чтобы избежать категорирования, и, как следствие, не выполнять соответствующие требования.
Мотивация бизнеса вполне понятна – никто не хочет брать на себя дополнительные риски и расходы. Но такая порочная практика может привести к серьезным проблемам в будущем, даже таким, которые кажутся совершенно неочевидными.
Рынок предлагает решение и для таких ситуаций – поставщики услуг и вендоры обладают ограниченными фиксированными тарифами и более дешевыми продуктами, построенными на базе OpenSource-решений, которые обойдутся дешевле. Да, в таком случае приходится жертвовать удобством или функциональностью в обмен на экономию бюджета. Но это значительно лучше, чем жертвовать защищенностью. Особенно в свете принятия нашумевшего закона об оборотных штрафах за утечки персональных данных, о котором речь пойдет дальше.
Прогнозируем, что со стороны регулятора в будущем году может быть принят ряд решений, исключающих такую возможность, поэтому избежать ответственности со всеми вытекающими станет сложнее.
Принятие знаковых изменений в законодательстве
В конце года президент Российской Федерации Владимир Путин подписал закон об оборотных штрафах, значительно ужесточив наказание за допущение утечек персональных данных как для юридических, так и для физических лиц. Кроме того, была введена уголовная ответственность за их незаконное использование. Подробнее о нововведениях мы рассказали в нашем tg-канале.
Это – результат многолетней дискуссии в отрасли, который еще несколько лет назад предрекали различные эксперты. Главная цель нововведений – мотивировать бизнес реально инвестировать в защиту информации и избежать курьезов, когда одна строка скомпрометированных данных обходится компании в несколько копеек штрафа.
В 2025 году закон вступит в силу, а значит, ценность качественной информационной безопасности многократно возрастет. Безусловно, это повысит спрос на услуги и продукты ИБ, а дополнительные издержки, как всегда, лягут на плечи конечного потребителя. Но мы считаем, что это – разумная плата за безопасность.
Прогноз на 2025 год
Подводя итог всему вышесказанному, в 2025 году мы прогнозируем дальнейшее развитие и совершенствование регуляторных требований к бизнесу, устранение оставшихся “дыр” в законодательстве и особое внимание к защищенности третьих лиц – подрядчиков. Продолжится упрощение взаимодействия регулятора и бизнеса, чтобы процесс повышения уровня ИБ стал еще удобнее, дешевле и быстрее.
Сохранится и даже усилится кадровый дефицит, так как спрос на квалифицированные кадры возрастет. В этой связи прогнозируем развитие отечественных программ подготовки специалистов, привлечение интереса к отрасли среди начинающих специалистов, появление первых системных профессиональных стандартов на замену ушедшим из России – как частных, так и государственных.
Особое внимание будет уделяться работе с кибергигиеной как среди “рядовых” граждан, так и на корпоративном уровне. Будет вестись активная работа над централизованными площадками для обучения и сертификации должностных лиц.
2025-ый год станет годом, когда ценность реальной, результативной ИБ возрастет многократно, а номинальная или “бумажная” безопасность начнет уходить в прошлое. В этом году проблемы в кибербезе станут реальной проблемой всего бизнеса, как следствие – рост спроса на решения и услуги. Вслед за этим, продолжится развитие рынка отечественных решений, а процесс импортозамещения будет завершен практически на 100%.
Поэтому не откладывайте принятие и реализацию решений для развития вашей корпоративной ИБ в долгий ящик, ведь избежать этого не получится. И чем раньше вы начнете заниматься этими задачами, тем проще и быстрее сможете достигнуть результат.
Предыдущая статья
