На одном из круглых столов, организованных в рамках подготовки к выставке Infosecurity, известные эксперты российского рынка, обсуждая проблемы информационной безопасности (ИБ) для малого и среднего бизнеса (SMB), пришли к однозначному мнению: российский рынок SMB практически «не охвачен» основными поставщиками ИБ-решений. Одна из причин — его коренное отличие от корпоративного рынка и по игрокам, и по «менталитету» потребителя. В этом плане показательны и недавние исследования компании B2B Research по востребованности в сегменте SMB продуктов от утечек информации (DLP-систем).

Значимые факторы

Рынок средств ИБ, по сути, является нишевым и сегодня нацелен на корпоративное применение. На рынке же SMB действуют в первую очередь игроки ИТ- и сетевого рынков, предлагающие интегрированные решения (например, функции безопасности в ОС Windows и в маршрутизаторах). В настоящее время на этом рынке работают лишь компании, поставляющие «коробочный» вариант продукта (т. е. «включи — и работай»). Специализированные решения, требующие специальной настройки и поддержки, на рынке SMB «не в чести». И не без оснований.

Денег у небольшой компании негусто, а бюджет на ИБ у большинства — не 20%, как рекомендуют эксперты, а 1% от ИТ-бюджета (15-20% — только у крепких средних фирм). Стоимость же «некоробочных» продуктов часто даже не тысячи, а сотни тысяч рублей, не считая затрат на поддержку решения. Кроме того, у SMB-компаний, как правило, нет специализированных (по ИТ или ИБ) кадров.

К тому же в роли покупателя чаще всего выступает «простой бизнесмен» — отнюдь не специалист по ИБ или ИТ, по менталитету он, скорее, представитель массового рынка. Объяснить ему, почему он должен купить «это» — непросто. Нужна другая реклама, другая маркетинговая стратегия, другие подходы к клиенту.

Компании в 20—30 и даже в 200 человек просто не понимают, что такое защита информации, настолько низок «в массе» (а разноотраслевые SMB и есть та самая «масса») уровень образования в области ИБ. Что может заставить российские «малые и средние» покупать решения по безопасности?

Главная угроза и главный риск для них — государство в виде налоговых и иных надзорных органов: ФЗ 152 «О персональных данных» уже вступил в действие, и проверки пошли уже с начала 2009 г. Получается, что проверяющие от всех госструктур — российский двигатель ИБ.

Главный критерий — стоимость

Результаты исследования B2B Research, которое проводилось путем опроса немногим более 100 компаний с числом компьютеров от 200 до 1000 (вообще по российскому законодательству данные респонденты относятся к среднему, а не к малому бизнесу), отчасти подтверждают все вышеперечисленные выводы. «Отчасти», поскольку выборка оказалась не слишком равновесной по представительству разных сфер деятельности и технической оснащенности компаний, что, безусловно, повлияло на некоторые результаты.

Характер выборки и размер предприятий сильно повлиял, в частности, на степень осведомленности: 96% оказались осведомленными об отнюдь не «массовом» ИБ-решении (его средняя стоимость составляет 300–700 тыс. руб. «под ключ»). Такой высокий показатель объясним и тем, что, согласно тому же исследованию, 61% респондентов (очевидно, из финансовой сферы) уже используют такое решение.

При опросе участников, имеющих или планирующих приобретение ИБ-решения, только 10% видели такие преимущества, как отсутствие инцидентов в ИС или быстрая реакция на них, и всего 20-25% считали, что оно облегчит мониторинг событий и упростит работу ИТ-персонала. Напрашивается вывод, что главные выгоды от ИБ-решения не очевидны потребителю.

Показателен и тот факт, что количество респондентов, которые не понимают, зачем им то или иное ИБ-решение — 20% — примерно одинаково с числом тех, кто назвал такие причины его покупки, как общий рост рисков ИБ и экономическая целесообразность (см. рис.1).

Рис. 1. Причины покупки DLP-системы.

Борьба с инцидентами волнует только около 4% респондентов. Законопослушных компаний, для которых жизненно важно соблюдать ФЗ 152, оказалось 15%. При этом почти 100% респондентов намерены защищать именно персональные данные (см. рис.2), примерно 60% — финансовые данные компании, а свыше 70% — базы данных клиентов и информацию о платежах.

Рис. 2. Основные объекты защиты.

И наконец, самые показательные выводы исследования — причины отказа от покупки (см. рис.3). Выяснилось, что главная причина нежелания покупать ИБ-продукты — финансовая, — так ответили 45% из тех, кто не планировал приобретение DLP-системы в ближайшее время. А если принять во внимание и те 26% респондентов, которые не могут убедить руководство затратить средства на ИБ, и те 6%, которые не видят в них необходимости, то получается, что свыше 60% из 39 компаний-участников данного опроса вряд ли в ближайшее время купят DLP-систему.

Рис. 3. Причины отказа от покупки DLP-системы.

Возможно, что около 40% компаний и купят продукт по «приемлемой стоимости» (см. рис. 4). Но при этом почти половина опрошенных видимо не совсем понимают, зачем им непростые средства ИБ (около 50% затруднились назвать причины отказа).

Рис. 4. Условия, при которых компании могут купить DLP-систему.

Выводы, которые напрашиваются при анализе результатов данного исследования, несколько отличаются от выводов B2B Research.

Средний и даже совсем мелкий бизнес активно приобретают средства безопасности, если они специально сфокусированы на отсутствие в компаниях очень квалифицированных людей и не требуют серьезных затрат на внедрение и поддержку (антивирусные продукты, ОС и маршрутизаторы со встроенными функциями защиты). Именно в таких продуктах нуждается сектор SMB.

Российский потребитель сегмента SMB в массе своей пока не видит выгоды от средств ИБ для своего бизнеса. Понимание полезности продукта, скорее, характерно для относительно крупных компаний данной группы (с числом ПК более 500). Предприятия нижней части этого сегмента в России очень бедны финансово и лишних покупок не делают. С другой стороны, недорогим может быть только продукт массового спроса. И столь необходимые для SMB решения появятся в том случае, если производители поймут, что могут продавать очень много таких решений. Пока же потребность в средствах защиты информации рынком в целом (от малых до средних предприятий) не осознана, она наблюдается лишь у технически оснащенных компаний, с выделенным ИТ-подразделением.

Одна из весомых причин приобретения средств ИБ в нашей стране, наряду с повышением уровня рисков ИБ, — требования вступившего в силу законодательства. Но здесь компанию подстерегает еще одна, сугубо российская, проблема — лицензирование деятельности по защите информации. Но это уже тема другой статьи.

Полная электронная версия этой статьи доступна только для подписчиков. Для получения полной электронной версии статьи сейчас Вы можете оформить запрос.