Průzkum stavu informační bezpečnosti v ČR 2007
|
|
Letošní ročník se nese obecně v optimistickém duchu. Přípravy a aktualizace plánů obnovy funkčnosti, přijímání bezpečnostních politik nebo nezávislé externí posuzování informační bezpečnosti jsou dnes pro většinu společností samozřejmou součástí řízení informační bezpečnosti. Také používání elektronického podpisu zažívá, podle účastníků průzkumu, v tomto roce raketový růst. A konečně i sebehodnocení úrovně řešení bezpečnosti samotnými respondenty je zase o kousek pozitivnější než v roce 2005.
Průzkum má ale také své „stálice“, které ukazují, že budování a řešení informační bezpečnosti není úkol, ale celoživotní mise. Existence rozpočtů na informační bezpečnost je pořád ještě spíše výjimkou, a jednou z hlavních postrádaných vlastností pracovníků informační bezpečnosti jsou stále znalosti finančního řízení. Tvrdošíjně také lpíme na zařazení bezpečnosti do útvarů IS/IT. Obecné bezpečnostní povědomí nás trápí již od počátků průzkumu, ale zatím jsme asi nenašli způsob jak s ním bojovat.
Letošní průzkum je zkrátka opět plný zajímavých informací, které nám pomáhají udělat si obrázek o tom, kam jsme se, a v jakém stavu, se zaváděním informační bezpečnosti v ČR dostali. Pokud je možné vypůjčit si terminologii z oblasti výtvarného umění, je to však obrázek spíše abstraktní, který nabízí více způsobů výkladu a při každém dalším pohledu přináší nová překvapení, možné souvislosti, významy a náměty k diskusím. Příjemný „umělecký“ zážitek vám přejí partneři, kteří se podíleli na vzniku letošního průzkumu: Ernst & Young, Národní bezpečnostní úřad a časopis DSM - data security management.
HLAVNÍ ZJIŠTĚNÍ
- Přes 80 % organizací hodnotí vlastní úroveň řešení informační bezpečnosti jako minimálně dobrou. Téměř pětina organizací hodnotí vlastní úroveň jako výbornou. Nejlépe se hodnotí společnosti v oblasti IT/telekomunikací a financí/bankovnictví.
- Tlak zákazníků má, ze všech sledovaných okolností, nejrychleji rostoucí význam na prosazování informační bezpečnosti.
- Roste zapojení vyššího managementu do řízení informační bezpečnosti.
- Vzrůstá diverzita odměňování pracovníků působících v oblasti informační bezpečnosti. Nejrychleji rostoucí kategorií odměňování jsou platy nad 70 tis. Kč a od 25 do 40 tis. Kč.
- Nejvíce postrádanými vlastnostmi pracovníků informační bezpečnosti jsou znalosti finančního řízení, manažerské a prezentační dovednosti.
- Roste role dedikovaných útvarů bezpečnosti, nicméně informační bezpečnost je v 70 % začleněna do úseků IS/IT.
- 80 % organizací nemá zaveden funkční program pro zvyšování bezpečnostního povědomí svých zaměstnanců. Přitom obecně nízké bezpečnostní povědomí je vnímáno jako nejvýznamnější překážka rychlejšího prosazování informační bezpečnosti u nás.
- Přes polovinu společností má definovanou a nejvyšším vedením přijatou bezpečnostní politiku.
- 45 % společností spoléhá při řízení informační bezpečnosti na interně vyvinuté standardy, ať již na lokální, či korporátní úrovni.
- Stále roste výskyt nevyžádané elektronické komunikace (SPAMu). V posledních dvou letech se s ním setkalo 92 % společností.
- Výpadky proudu zůstávají nejčastějším bezpečnostním incidentem. Selhání WAN je bezpečnostním incidentem s nejvyššími průměrnými přímými dopady ve výši 1,2 mil. Kč.
- Došlo ke skokovému nárůstu počtu společností, které mají vypracované a připravené plány obnovy funkčnosti informačních systémů. 68 % společností tyto plány testuje nejméně každé dva roky.
- Pětina společností nikdy neprovedla analýzu rizik IS.
- Řešení problematiky informační bezpečnosti ve spolupráci s externími firmami je běžný postup pro 60 % společností.
- Naprostá většina (80 %) společností nemá na informační bezpečnost vyhrazen finanční rozpočet.
- U organizací nad 1000 zaměstnanců došlo ve srovnání se situací v roce 2005 k poklesu poměru celkových ročních výdajů na bezpečnost v porovnání s celkovým rozpočtem na IS/IT. U menších organizací se tento poměr naopak zvýšil.
- Přes 60 % společností má, nebo plánuje mít, oblast informační bezpečnosti posouzenou externím subjektem.
- Pouze 6 % společností nepředpokládá v budoucnosti využití elektronického podpisu. 20 % společností však není schopno identifikovat výhody, které používání elektronického podpisu přináší.
„Zdroj PSIB ČR ‘07, Ernst & Young, NBÚ, DSM – data security management“
2007 © Ernst & Young, NBÚ, DSM – data security management