यूक्रेन के सूचना सुरक्षा बाजार का अवलोकन

यूक्रेन में सूचना सुरक्षा बाजार से संबंधित कई विश्लेषणात्मक सामग्रियों से खुद को परिचित करने के बाद, हम कई महत्वपूर्ण सवालों के जवाब देने में असमर्थ थे। अर्थात्: किसे बाजार भागीदार माना जाना चाहिए? बाजार के विकास में क्या समस्याएं हैं? इस क्षेत्र के लिए विकास की संभावनाएं क्या हैं? इन सवालों के जवाब के लिए हम नीचे कोशिश करेंगे।

सूचना सुरक्षा बाजार संरचना

आइए स्पष्ट तथ्यों के साथ शुरू करें - यूक्रेन में सूचना सुरक्षा बाजार मौजूद है और विकसित होता है, सामान्य प्रतिकूल बाजार की स्थिति के बावजूद। हमारी समझ में, सूचना सुरक्षा (आईएस) बाजार के प्रतिभागियों, उपभोक्ताओं और सेवाओं और समाधानों के आपूर्तिकर्ताओं के अलावा, यूक्रेनी और अंतर्राष्ट्रीय नियामक भी हैं। प्रतिभागियों को यूक्रेन के लिए सूचना प्रौद्योगिकी जोखिम बीमा का एक नया खंड भी माना जा सकता है (यूक्रेन में एक सेवा अभी शुरू हुई है)। चित्रा 1 यूक्रेन के आधुनिक सूचना सुरक्षा बाजार की संरचना को दर्शाता है।







चित्र 1. यूक्रेन के सूचना सुरक्षा बाजार में प्रतिभागियों की संरचना



बाजार के खिलाड़ियों के प्रत्येक समूह पर अधिक विस्तार से विचार करें। चलो "डार्क हॉर्स" से शुरू करते हैं - सूचना प्रौद्योगिकी (आईटी) जोखिम बीमा। आईटी जोखिमों के लिए देयता बीमा का आधार है:



* सूचना के बौद्धिक संपदा अधिकारों का उल्लंघन;

* नुकसान या सूचना संपत्ति का नुकसान;

* निम्न-गुणवत्ता और झूठी जानकारी का प्रावधान;

* निम्न-गुणवत्ता की सूचना प्रणाली या प्रक्रियाओं और उनके समर्थन के साधन का निर्माण;

* सूचना परिसंपत्तियों के गठन के लिए प्रक्रियाओं और नियमों का उल्लंघन;

* सूचना उत्पादों और सेवाओं की तैयारी, प्रावधान और प्राप्ति के लिए प्रक्रियाओं और नियमों का उल्लंघन, जानकारी का असामयिक प्रावधान, या जानकारी देने के लिए अनुचित अस्वीकृति।



इस मामले में, सूचना जोखिम बीमाकर्ता कानूनी संस्थाएं और व्यक्ति हो सकते हैं, जिनकी संपत्ति की रुचि सूचना या सूचना परिसंपत्तियों के कब्जे, प्रसार, उपयोग और निपटान से संबंधित है।



दुर्भाग्य से, फिलहाल, इन सेवाओं में से अधिकांश यूक्रेनी बाजार पर उपलब्ध नहीं हैं (या ऐसी सेवाओं के आपूर्तिकर्ताओं को खोजने का प्रयास एक जासूसी कहानी में बदल जाता है)।



बाजार नियामकों के साथ, स्थिति कम पारदर्शी है, हालांकि इसे हल्के से अस्पष्ट बनाने के लिए। सूचना सुरक्षा के क्षेत्र में कोई भी कार्य, उत्पाद या सेवाएं (यूक्रेनी कानून के संस्करण में - सूचना सुरक्षा का क्षेत्र) लाइसेंस के अधीन हैं। इस क्षेत्र में एक नियामक के रूप में कार्य करने वाला निकाय और, तदनुसार, लाइसेंस जारी करना यूक्रेन में विशेष संचार और सूचना संरक्षण के लिए राज्य सेवा (www.dsszzi.gov.ua) है। लाइसेंसिंग की वस्तुएं तकनीकी और क्रिप्टोग्राफिक सूचना सुरक्षा के क्षेत्र में गतिविधियां हैं। यह संगठन किसी राज्य के गुप्त सूचना के संरक्षण को विनियमित करने या राज्य की संपत्ति होने पर अधिक केंद्रित है, इसलिए वाणिज्यिक और बैंकिंग रहस्यों का क्षेत्र इस विभाग के दायरे से बाहर रहता है।



बैंक गोपनीयता मुद्दों को यूक्रेन के नेशनल बैंक द्वारा विनियमित किया जाता है, जो कई वर्षों से लगातार और सुरक्षा सूचना सुनिश्चित करने के लिए अंतरराष्ट्रीय दृष्टिकोणों को सफलतापूर्वक लागू कर रहा है। एकमात्र खराब विनियमित क्षेत्र उद्यमों का व्यापार रहस्य बना हुआ है। इसके अलावा यूक्रेन में सूचना सुरक्षा बाजार पर कुछ प्रभाव पीसीआई एसएससी भुगतान कार्ड उद्योग सुरक्षा समिति, अंतरराष्ट्रीय विनिमय संरचनाओं (नियामक अधिनियम एसओएक्स 404, बेसल II या अंतरराष्ट्रीय मानकों आईएसओ 27001, पीसीआई एसएसएस, आदि के अनुपालन की आवश्यकता) के प्रतिनिधित्व वाले अंतरराष्ट्रीय नियामकों द्वारा लगाया जाता है। हम पत्रिका के अगले मुद्दों में नियामक क्षेत्र में स्थिति का अधिक विस्तृत विश्लेषण करेंगे।



आईएस सेवा प्रदाताओं और समाधानों में सूचना सुरक्षा उत्पादों (सॉफ्टवेयर और हार्डवेयर), निर्माण करने वाली कंपनियों (सॉफ्टवेयर और हार्डवेयर) और लेखा परीक्षा प्रदान करने वाली कंपनियों और सूचना सुरक्षा मुद्दों पर परामर्श और परामर्श में विशेषज्ञता वाली सभी कंपनियां शामिल हैं। यूक्रेन के लिए, एक विशेषता यह तथ्य है कि आप अपनी उंगलियों पर अत्यधिक विशिष्ट कंपनियों की गिनती कर सकते हैं। असल में, इंटीग्रेटर कंपनी अपने कार्यान्वयन के बाद एक उत्पाद या समाधान और सूचना सुरक्षा का ऑडिट प्रदान करती है, जो कि मौलिक रूप से गलत है, क्योंकि इस मामले में यह एक इच्छुक पार्टी है। यह भी विशेषता है कि सेवा प्रदाता ग्राहक सूचना सुरक्षा के क्षेत्र में बिल्कुल सभी मुद्दों को हल करने का प्रयास करते हैं, उदाहरण के लिए, नेटवर्क में घुसपैठ का पता लगाने के लिए एक प्रणाली डिजाइन करके, परिधि के लिए एक वीडियो निगरानी प्रणाली शुरू करने और एक ही समय में एंटी-वायरस सॉफ़्टवेयर (सॉफ़्टवेयर) बेचकर। उसके बाद, सूचना सुरक्षा मानकों के अनुपालन के लिए एक ऑडिट किया जाता है। यह स्थिति उपभोक्ता के लिए सुविधाजनक है, क्योंकि पहली नज़र में एक सप्लायर के साथ कई प्रक्रियाओं का प्रबंधन करना आसान है, लेकिन दूसरी ओर, नियंत्रण और विशेषज्ञता की कमी से व्यक्तिगत कार्यों के खराब-गुणवत्ता कार्यान्वयन, बढ़ी हुई लागत और विस्तारित कार्यान्वयन अवधि होती है।



सूचना सुरक्षा सेवाओं के उपभोक्ताओं के कर्मियों के प्रशिक्षण या उन्नत प्रशिक्षण के लिए सेवाओं का एक समूह भी है। प्रशिक्षण सेवाओं को मुख्य रूप से विशेष सुरक्षा कंपनियों, या सिस्टम इंटीग्रेटर्स से परामर्श करके, सूचना सुरक्षा समाधान के कार्यान्वयन के ढांचे में एक अतिरिक्त सेवा के रूप में पेश किया जाता है।



हम उपभोक्ताओं को बाजार खंडों में विभाजित कर सकते हैं:



* सार्वजनिक क्षेत्र (राज्य के स्वामित्व वाले उद्यम और शासी निकाय, सैन्य इकाइयाँ, आदि);

* बैंकिंग क्षेत्र (बैंकिंग और अन्य वित्तीय संस्थान);

* वाणिज्यिक क्षेत्र (अर्थव्यवस्था के स्वामित्व और क्षेत्रों के विभिन्न पैटर्न के उद्यम)।



वाणिज्यिक क्षेत्र में, दूरसंचार कंपनियों के एक उपसमूह को भेद करना आवश्यक है, क्योंकि उनकी गतिविधियों को कानूनों और नियमों के एक अलग समूह द्वारा विनियमित और लाइसेंस दिया जाता है, जिसमें अक्सर सूचना सुरक्षा प्रदान करने के लिए विशिष्ट आवश्यकताएं होती हैं। दूरसंचार कंपनियों में मोबाइल और फिक्स्ड-लाइन ऑपरेटर, इंटरनेट प्रदाता, सामग्री प्रदाता और अन्य कंपनियां शामिल हैं जिनकी गतिविधियों को यूक्रेन के राष्ट्रीय संचार आयोग (NCCR) द्वारा विनियमित किया जाता है।



आइए अब हम चित्र 2 में सूचना सुरक्षा बाजार में मुख्य खिलाड़ियों के बारे में अधिक विस्तार से जांच करने का प्रयास करते हैं।







चित्रा 2. यूक्रेन के सूचना सुरक्षा बाजार में प्रतिभागियों (विकल्प)।



इसलिए, सूचना जोखिम बीमाकर्ताओं के लिए बाजार के अपवाद के साथ, सामान्य रूप से, यूक्रेन में सूचना सुरक्षा बाजार मूल रूप से बनता है और काफी सफलतापूर्वक विकसित हो रहा है।

यूक्रेन के सूचना सुरक्षा बाजार के समस्याग्रस्त पहलू



हमारी राय में, सूचना सुरक्षा बाजार के लिए मुख्य समस्याएं आज हैं:



* एक व्यापार रहस्य बनाने जानकारी की सुरक्षा के विनियमन के मामलों में कानून का पिछड़ापन;

* अधिकांश कंपनियों के प्रबंधन की मनोवैज्ञानिक समस्या (पहले एक सूचना सुरक्षा घटना हानिकारक होनी चाहिए और उसके बाद ही सूचना सुरक्षा उपाय शुरू होते हैं);

* एक प्रभावी ब्रांड मूल्यांकन तंत्र की कमी (कंपनी के लिए प्रतिष्ठा जोखिम का आकलन करने में असमर्थता);

* सूचना सुरक्षा बाजार का फजी विभाजन, और परिणामस्वरूप, गैर-पारदर्शी मूल्य निर्धारण।



स्वाभाविक रूप से, उपरोक्त के अलावा, कई और समस्याग्रस्त पहलू हैं, लेकिन हमारी राय में ये सबसे सामयिक हैं। आइए हम उन पर अधिक विस्तार से ध्यान दें।



विधायी और नियामक ढांचा राज्य और बैंकिंग रहस्यों से संबंधित मुद्दों को काफी पारदर्शी तरीके से नियंत्रित करता है। दोनों नियामकों ने रिपोर्टिंग संस्थानों में प्रभावी सूचना सुरक्षा तंत्र को स्पष्ट और कार्यान्वित किया। पहली नज़र में, सब कुछ सरल है - राज्य रहस्य या गोपनीय जानकारी है जो राज्य की संपत्ति है, कृपया एक व्यापक सूचना सुरक्षा प्रणाली बनाने के लिए दयालु बनें। यदि आप बैंकिंग करने का निर्णय लेते हैं, तो पर्यवेक्षी अधिकारियों के माध्यम से नेशनल बैंक यह भी जाँच करेगा कि आपका बुनियादी ढांचा उसके नियमों का अनुपालन करता है या नहीं। राष्ट्रीय संचार नियामक आयोग भी कुछ आवश्यकताओं को आगे रखता है, मुख्य रूप से अपने वार्ड ऑपरेटरों और प्रदाताओं के लिए सेवाओं की निरंतरता सुनिश्चित करने के लिए।



हालांकि, तस्वीर इतनी रसीली नहीं है, अगर आप यूक्रेन के नियामक क्षेत्र को अधिक ध्यान से देखें। लाक्षणिक अर्थ में, यह "फ़ील्ड" विधायी जाल के "खानों" के साथ बहुतायत से निर्मित है और विरोधाभासों के "कांटेदार तार" में उलझा हुआ है। GOSTs सहित अधिकांश मानक कृत्यों को 90 के दशक के अंत में - 2000 के दशक की शुरुआत में अपनाया गया था और आधुनिक बहुक्रियाशील वातावरण में लागू करना काफी कठिन है, जो सूचना सुरक्षा या आईटी के विभागों के प्रमुखों द्वारा निपटा जाता है। यूएसएसआर राज्य तकनीकी आयोग द्वारा उनकी मंजूरी के बाद से कुछ मानदंड अपरिवर्तित रहे हैं। आईटीएस प्रणाली और सूचना सुरक्षा प्रणालियों के विकास और कार्यान्वयन के लिए मानक भी यूएसएसआर के समय से बदलाव के बिना लागू किए जाते हैं। कुछ इंटीग्रेटर कंपनियां केवल अपनी आवश्यकताओं को अनदेखा करती हैं, क्योंकि सिस्टम के कार्यान्वयन के लिए वर्षों तक खींच सकते हैं, और युवा विशेषज्ञ - सूचना सुरक्षा परियोजनाओं के मुख्य निष्पादक, उनके अस्तित्व के बारे में भी नहीं जानते हैं। यूक्रेन में अंतर्राष्ट्रीय मानकों की सलाह है, जिसका आधुनिक परिस्थितियों में मतलब है - यदि आवश्यक नहीं है, तो आवश्यक नहीं है।



यहां हम सूचना सुरक्षा के मनोवैज्ञानिक पहलू के करीब आते हैं। यह उद्यम प्रबंधन की जड़ता में निहित है, क्योंकि किसी भी व्यवसाय का मुख्य कार्य पैसा कमाना है। सूचना सुरक्षा की लागत को इस मामले में एक निवेश के रूप में प्रस्तुत किया जाता है जिसमें एक स्पष्ट परिणाम होता है (जब तक कि गड़गड़ाहट नहीं होती, आदमी खुद को पार नहीं करता)। लेकिन पैसा बनाने के बाद, लगभग किसी को याद नहीं है कि जो कमाया गया है उसे संरक्षित किया जाना चाहिए, और यह सूचना सुरक्षा के मुख्य कार्यों में से एक है। व्यापार प्रक्रियाओं के लिए जानकारी की गोपनीयता, अखंडता और पहुंच की आवश्यक स्तर को बनाए रखना सूचना सुरक्षा प्रबंधन प्रणाली के सबसे महत्वपूर्ण कार्य हैं।



प्रबंधन की गलत धारणा की एक निश्चित डिग्री यह भी है कि सूचना सुरक्षा परियोजनाओं का कार्यान्वयन कंपनी के आईटी विभाग का एक अतिरिक्त कार्य है। वास्तव में, आईटी परियोजनाएं और आईएस परियोजनाएं, कंपनी की प्रबंधन प्रणाली और / या कंपनी की व्यावसायिक प्रक्रियाओं में हस्तक्षेप के बिना लागू नहीं की जा सकती हैं।



इसके अलावा, प्रबंधन की शांति, सबसे अधिक संभावना है, यह निर्धारित करने में असमर्थता पर आधारित है और मात्रात्मक या गुणात्मक रूप से गोपनीय डेटा या सिस्टम डाउनटाइम के नुकसान के साथ जुड़े कंपनी के प्रतिष्ठा जोखिमों को व्यक्त करता है। IBox तत्काल भुगतान प्रणाली के साथ एक हालिया उदाहरण दिखाता है कि आपकी प्रतिष्ठा कितनी विघटनकारी हो सकती है। सूचना सुरक्षा खतरों के वैश्विक रुझान को देखते हुए, एक को सोचना चाहिए, शायद आपको गड़गड़ाहट के हमलों तक इंतजार नहीं करना चाहिए?







चित्रा 3. मार्च 2010 तक सूचना सुरक्षा के लिए मुख्य खतरा

(स्रोत प्रारंभिक समेकित परिणाम। सूचना सुरक्षा फोरम बेंचमार्क।)



और सबसे महत्वपूर्ण, हमारी राय में, समस्या सूचना सुरक्षा बाजार के विभाजन या वर्गीकरण की कमी है। आज बाजार में सूचना सुरक्षा सेवाओं की पेशकश करने वाली कंपनियों की कई श्रेणियां हैं - ये सूचना सुरक्षा, स्थानीय कंपनियों के साथ-साथ अपनी स्वयं की पूंजी के साथ प्रसिद्ध अंतरराष्ट्रीय कंपनियों की शाखाएं हैं, और यह रूसी कंपनियों को उजागर करने के लायक भी है। ऐसी प्रतिनिधि संरचना के कारण, समान सेवाओं के लिए कीमतें काफी भिन्न हो सकती हैं। दूसरी ओर, सूचना सुरक्षा के क्षेत्र में अधिकांश समाधान अद्वितीय हैं और परियोजना को छोड़ने से पहले सटीक राशि कहना असंभव है जैसे कि सुपरमार्केट छोड़ना। हालांकि, विभिन्न कारकों के आधार पर, दुनिया भर में समझने योग्य और पारदर्शी मूल्य निर्धारण का अभ्यास अपनाया गया है, जो कि यूक्रेन में लागू करने के लिए अपेक्षाकृत समस्याग्रस्त है, जब तक कि सभी कंपनियां नियामकों या ट्रेड यूनियन से किसी भी समन्वय के बिना अपने दम पर संचालित होती हैं।



भ्रम और इस तथ्य को जोड़ता है कि आईटी या संबंधित क्षेत्रों के कई इंटीग्रेटर सूचना सुरक्षा के क्षेत्र में उत्पादों और सेवाओं को बेचते हैं। इसके अलावा, यह व्यवसाय उनके लिए महत्वपूर्ण नहीं है, और कार्यान्वयन की गुणवत्ता वांछित होने के लिए बहुत कुछ छोड़ देती है।

सूचना सुरक्षा बाजार के विकास की संभावनाएँ

अजीब तरह से पर्याप्त है, लेकिन 2010 और 2011 सूचना सुरक्षा के क्षेत्र में हमारे बाजार के लिए महत्वपूर्ण हैं। सबसे पहले, यूक्रेन के नेशनल बैंक की पहल के लिए धन्यवाद, जो सूचना सुरक्षा आईएसओ 27001 के लिए अंतरराष्ट्रीय मानक के प्रावधानों के आधार पर एक उद्योग मानक को अपनाने की तैयारी कर रहा है। इस प्रकार, बैंकिंग क्षेत्र को खेल के और भी अधिक पारदर्शी नियम प्राप्त होंगे, और सूचना सेवा और उत्पाद प्रदाताओं के लिए परियोजनाओं को लागू करने के नए अवसर होंगे। इसके अलावा, आईएस के खतरों को बेअसर करने के लिए वैश्विक रुझानों का प्रभाव बढ़ रहा है, क्योंकि यूक्रेन वैश्विक सूचना समुदाय में एक कमजोर कड़ी नहीं रह सकता है। यह उम्मीद की जाती है कि विदेशी निवेशक और अंतर्राष्ट्रीय संस्थान आईएस के बड़े खतरों की संभावना को कम करने के लिए दबाव बनाएंगे।



यह भी स्पष्ट है कि सूचना सुरक्षा के क्षेत्र में परियोजनाओं का कार्यान्वयन मुख्य रूप से सूचना सुरक्षा के संकीर्ण क्षेत्र में विशेषज्ञता वाली पेशेवर कंपनियों द्वारा किया जाएगा। प्रबंधकों और कंपनियों के आईटी निदेशकों को प्रतिमान द्वारा निर्देशित किया जाएगा: "जोखिम मूल्यांकन - आईएस ऑडिट - ऑडिट के परिणामों के आधार पर उत्पादों और गतिविधियों के कार्यान्वयन - मानक के अनुपालन के लिए प्रमाणीकरण।" हम आशा करते हैं कि सूत्र "कुछ करने की आवश्यकता है, चलो एक फ़ायरवॉल (एंटीवायरस, UTM, स्पैम फ़िल्टर ...) खरीदें जो आवश्यक है" को विस्मरण में डूब जाएगा।