Сегодня был на конференции IDC IT Security Roadshow . Из всех докладов на которых я присутствовал понравился лишь последний доклад независимого эксперта Глеба Лигачева, конспект которого и привожу здесь:
ДИТ в больших корпорациях в последние годы сильно деградировал.
Основными задачами ДИТ стали:
• не трогай раз работает;
• не трогай пока работает;
• если что-то поменяем, то вдруг не будет работать;
• а если вдруг не будет работать, вдруг не сможем откатиться назад;
• ничего не внедряй нового, а только поддерживай как можешь по той же причине.
Поэтому их методы работы стали:
• всячески оттягивать согласования;
• всячески оттягивать внедрения;
• прикрывать свою «плоскость опоры».
Про ДИБ:
• часто располагаются под руководством ДИТ, поэтому все вышеперечисленное это и про них;
• часто располагаются под обычной безопасностью, поэтому их задачами становятся: собирать материал и расследовать действия сотрудников;
• просто запрещать, т.е. создавать неудобства (про рациональность даже речь не идет).
Выводы:
• ДИТ и ДИБ являются обеспечивающими подразделениями;
• ДИТ и ДИБ не помогают, а только мешают бизнесу;
• если между бизнесом, ДИТ и ДИБ нет противостояний, то это уже хорошо.
Что делать:
• менять кадры, включая руководство;
• должна быть ротация кадров, например, 3-5 лет;
• нацеливать ДИТ/ДИБ на помощь бизнесу, т.е. на достижение конкурентных преимуществ;
• пиарить собственную деятельность ДИТ/ДИБ, чтобы все, включая руководство, знали и понимали, что они делают и какая от них есть польза.
Как пробивать проекты:
• обосновывать до копейки проекты бесполезно, т.к. бизнес в них ничего не понимает и поэтому они бизнесу не нужны;
• должно быть неформальное общение бизнеса/ДИТ/ДИБ/других подразделений тогда успех проектов более очевиден.
Нужно учитывать:
• что все системы нужно сильно кастомизировать и это большая головная боль для всех;
• если будет успех проекта, то бенефиты получит бизнес подразделение;
• если будет провал проекта, то виноватым будет ДИТ или ДИБ.
