Выводы или Как не ошибиться с выбором консультанта?!

При создании или модернизации системы информационной безопасности компании часто обращаются за помощью к внешним консультантам. Как выбрать надежного партнера, которому можно было бы доверить одну из самых критичных областей бизнеса? Ведь выбор консалтинговой компании определяет успех не только в реализации какого-то одного проекта по ИБ, но и дальнейшее развитие организации.

Деятельность квалифицированного консультанта, предоставляющего услуги в области информационной безопасности, должна быть подчинена ряду требований, основными из которых являются:

• консультант (либо консалтинговая компания) обязан владеть методической базой и технологиями, необходимыми для выполнения работ. Важной составляющей здесь является наличие собственных комплексных методик аудита, построения СУИБ, анализа и управления рисками и т. п., которые бы включали в себя не только директивы международных стандартов в области ИБ, но и были бы расширены за счет использования собственного экспертного опыта по консалтингу в области ИБ;

• консультант (либо консалтинговая компания) должен быть независим от поставщиков продуктов и решений в избранной области, а также традиций, «неписаных законов» и политики управленческого аппарата организации заказчика. Мнение консультанта должно носить свободный и объективный характер;

• консультант (либо консалтинговая компания) должен являть собой структуру, внешнюю по отношению к консультируемой организации. Соблюдение этого принципа позволяет добиться объективности при решении множества важнейших задач консалтинга (например, оценка степени зрелости, определение направления развития и т.п.) в области информационной безопасности;

• консультант (либо консалтинговая компания) обязан оказывать заказчикам помощь в использовании их собственного опыта для непрерывного совершенствования деятельности в области информационной безопасности;

• консультант (либо консалтинговая компания) должен обладать достаточным опытом проведения работ не только по консалтингу в области ИБ, но и в предметной области, в отрасли, в которой работает заказчик услуг.

Одним из основных факторов, влияющих на выбор компании, оказывающей услуги по консалтингу в области информационной безопасности, является уровень доверия к консультанту. Это объясняется тем, что в большинстве случаев компании-консультанту предоставляется доступ к конфиденциальной информации заказчика, поэтому к ней предъявляются повышенные требования. Такой уровень доверия может быть обеспечен не только заключением соответствующих договоров о конфиденциальности и неразглашении сведений, которые станут известны консультанту в ходе работ по консалтингу, но и наличием необходимых лицензий государственных и регулирующих органов, предоставляющих право осуществлять работы в области информационной безопасности.

Компания, оказывающая услуги консалтинга в области ИБ, должна иметь соответствующие партнерские статусы от ведущих вендоров на рынке информационной безопасности, при этом данный статус должен определять возможности компании не только по дистрибуции средств защиты, но и способности консультанта по внедрению и технической поддержке данных средств.

Преимуществом компании-консультанта является также наличие тесного взаимодействия с различными ассоциациями, органами по сертификации, разработчиками стандартов и требований в области ИБ. Это позволяет консультантам быть в курсе последних изменений и тенденций в области информационной безопасности, что соответственно повышает уровень их компетенций в вопросах ИБ. Примерами таких взаимодействий могут являться:

• членство и участие в работе ассоциации ABISS – сообщества пользователей стандартов Центрального Банка РФ по обеспечению информационной безопасности организаций банковской системы РФ, чья деятельность связана с развитием и продвижением Cтандарта Банка России в области ИБ СТО БР ИББС-1.0 и связанных с ним стандартов;

• взаимодействие с международными платежными системами VISA и Master Card в части выполнения требований по приведению платежных систем организаций в соответствие требованиям стандарта PCI DSS. Данное взаимодействие со стороны компании-консультанта может быть в любой форме, в том числе и в форме аккредитации консалтинговой компании в качестве органа по сертификации по стандарту PCI DSS. Такая аккредитация, помимо права на проведение сертификационного аудита, позволяет понимать видение разработчиков стандарта и предлагать качественные услуги по консалтингу в данной области;

• партнерство с разработчиками международных стандартов, такими как компания BSI (Британский Институт Стандартов), позволяющее лучше понимать требования стандартов к системам менеджмента, в том числе и в области ИБ, и предлагать качественные услуги по созданию таких систем.

Принять решение о том, какую консалтинговую компанию выбрать для решения вопросов по информационной безопасности – непростая задача. Надеемся, что данная статья поможет многим организациям в ее решении.