Число инцидентов растет, а ИБ-бюджеты уменьшаются

Аналитическая компания PwC опубликовала результаты глобального исследования по обеспечению информационной безопасности в 2014 г. Аналитики PwC совместно с сотрудниками журналов CIO и CSO опросили более 9700 респондентов (финансовых, ИТ- и ИБ-директоров, руководителей служб безопасности, вице-президентов и директоров по ИТ и ИБ, руководителей предприятий) из 154 стран, чтобы определить состояние информационной безопасности в компаниях.

Установлено, что количество ИБ-инцидентов в прошлом году резко выросло – на 48% (для сравнения: в 2013 г. значение этого показателя было в 3 раза меньшим – на 16%). PwC зафиксировала рост среднего ущерба крупной компании на 53% (до 5,9 млн долл.), а средней – на 25% (до 1,3 млн долл.). Выяснилось также, что средний ущерб от одного инцидента на небольших предприятиях снизился на 37% (до 410 тыс. долл.), т.е. хакеры сконцентрировали внимание на крупных компаниях, приносящих им значительные денежные суммы. При этом выделяемые на обеспечение ИБ бюджеты крупных компаний увеличились на 4%, средних – на 7%, а на небольших предприятиях уменьшились на 20%. Отметим: в течение последних 5 лет эти бюджеты не превышали 4% ИТ-бюджетов компаний.

Последнее исследование охватило, в том числе, и российские предприятия. В нашей стране средние годовые потери компании от инцидентов составляют примерно 9 млн долл., что в полтора раза больше, чем в среднем по миру. При этом средний ИБ-бюджет отечественного предприятия – 1,5 млн долл., и это в три раза меньше среднего мирового. В таких условиях следует эффективно планировать затраты на ИБ-технологии. PwC предлагает использовать при построении защиты риск-ориентированный подход. «Сейчас оптимальный подход к обеспечению информационной безопасности состоит в регулярном профессиональном тестировании защищенности компании и  применении риск-ориентированного подхода к ИБ-инвестициям в тесной взаимосвязи с бизнес-целями и трендами», – рекомендует Роман Чаплыгин, директор PwC по анализу и контролю над рисками в сфере кибербезопасности.