Объектом исследования специалистов стали 52 российских компании с выделенной функцией информационной безопасности, представляющие промышленность, финансовую, ИТ- и ИБ-отрасли, здравоохранение, строительную индустрию и другие направления. В исследовании приняли участие 28 компаний с выручкой до 2 млрд руб. в год, 15 компаний с выручкой от 2 млрд до 10 млрд руб. и девять компаний с выручкой более 10 млрд руб.
Исследование оценивало уровень зрелости по пяти основным критериям: «Управление информационной безопасностью» (управление процессами обеспечения ИБ); «Базовая ИТ- и ИБ-гигиена»; «Обеспечение ИБ» (техническое оснащение службы ИБ); «Мониторинг, реагирование и восстановление» и «Комплаенс», связанный с выполнением требований регуляторов.
В среднем по всем компаниям наиболее высокая оценка была по направлениям «Базовая ИТ- и ИБ-гигиена» — 46% (компании в среднем набрали 6,85 балла из 15 возможных). Аналитики объясняют это тем, что это направление не требует существенных вливаний бюджета и позволяет решать задачи собственными силами специализации.
Затем идет оценка комплаенса — в среднем он реализован в компаниях на 45%. Уровень управления ИБ исследователи оценили в 40%, мониторинг, реагирование и восстановление — тоже в 40%, обеспечение ИБ — в 29%.
В разбивке по масштабу компаний результат исследования таков, что у крупных компаний уровень обеспечения ИБ оказался ниже, чем у малых и средних — всего 24% по сравнению с 30% и 31% соответственно. Уровень управления ИБ у крупных компаний также оказался чуть ниже, чем у малых, — 35% против 44%.
Председатель Ассоциации пользователей стандартов по информационной безопасности («АБИСС») и руководитель AKTIV.CONSULTING Анастасия Харыбина объяснила, что дельта от малого к крупному бизнесу по направлениям «Управление ИБ» и «Обеспечение ИБ» (6−9%) обусловлена тем, что обеспечить грамотное управление ИБ в небольшой компании проще и дешевле — с ростом компании растет и составляющая бюрократизации процессов.
Согласно выводам исследователей, небольшие и средние компании относительно преуспели в комплаенсе, потому что он является в некотором смысле драйвером для внедрения требований по ИБ и для обоснования выделения ресурсов и финансов на развитие функции ИБ.
