Gartner: 63% компаний во всем мире внедрили стратегию нулевого доверия

24 апреля 2024 г.

Как показало исследование Gartner, 63% компаний во всем мире полностью либо частично внедрили стратегию нулевого доверия, причем для 78% из них эти инвестиции составили менее 25% их общего бюджета на кибербезопасность.

Опрос 303 руководителей служб ИБ в 4 квартале прошлого года, чьи организации уже внедрили (полностью или частично) либо планируют внедрить стратегию нулевого доверия, показал, что 56% компаний избирают эту стратегию главным образом потому, что она считается лучшей практикой в ИБ.

«Несмотря на такое мнение, компании не вполне представляют себе, как лучше подойти к внедрению нулевого доверия, — пишет в пресс-релизе Джон Уоттс (John Watts), вице-президент-аналитик по программе KI Leaders в Gartner. — В большинстве организаций эта стратегия обычно охватывает не более половины всей среды и снижает не более четверти общих корпоративных рисков».

Gartner сформулировал три главные рекомендации по внедрению стратегии нулевого доверия:

1. Заранее продумайте объем охвата корпоративной среды

Для успешного внедрения нулевого доверия руководители служб ИБ должны понимать, какая часть корпоративной среды и какие домены будут охвачены и какой объем риска это может снизить.

Стратегия нулевого доверия, как правило,, не охватывает всю корпоративную среду, но при этом 16% респондентов ответили, что она охватит 75% или более и лишь 11% — что охватит менее 10% всей рабочей среды (см. рис. 1).

Рис. 1. Процент охвата корпоративной среды стратегией нулевого доверия

(сверху вниз):

• менее 5%
• от 5% до <10%
• от 10% до <25%
• от 25% до <50%
• от 50% до <75%
• 75% и более

База: 289 респондентов (за исключением ответов «не знаю» и «у нас нет заданного процента охвата»)

Вопрос: Какую часть корпоративной среды Вы планируете охватить стратегией нулевого доверия?

Примечание: Сводная статистика представляет собой приближение к срединной точке. Сумма процентов ответов может не быть равной 100% из-за округления.

«Объем охвата — важнейший аспект при внедрении нулевого доверия, — подчеркивает Уоттс. — Корпоративный риск гораздо шире, чем то, что охватывается этой стратегией, и лишь определенная часть этого риска может быть снижена. Тем не менее, оценка снижения риска и повышение уровня защищенности служат важным показателем успеха политик нулевого доверия».

2. Используйте специальную метрику оценки успеха

Опрос показал, что 79% организаций, полностью либо частично внедривших нулевое доверие, используют стратегические показатели успеха, а 89% этих организаций — метрику измерения риска.

Следует также подчеркнуть, что 59% внедрений нулевого доверия финансируются по решению ИТ-директора либо CEO/президента или совета директоров, и руководителям ИБ нужно держать их в курсе прогресса этих инициатив.

«Метрики успеха нулевого доверия должны быть заточены на результаты именно этой стратегии, а не повторять те, что используются в других областях, таких как оценка эффективности обнаружения и реагирования на клиентских устройствах, — пишет Уоттс. — Меры нулевого доверия дают свои собственные результаты (в частности, затрудняют боковое смещение по сети при атаке), которые часто не отражаются существующими показателями кибербезопасности».

3. Будьте готовы к росту затрат и потребностей в кадрах

Как показал опрос, 62% организаций ожидают увеличения затрат, а 41% — рост потребностей в персонале вследствие внедрения нулевого доверия.

«Влияние на бюджет будет варьироваться в зависимости от объема внедрения мер нулевого доверия, а также от того, насколько продумана эта стратегия на ранних этапах планирования, — указывает Уоттс. — Понятно, что меры нулевого доверия влияют на бюджет, поскольку организации используют системный итеративный подход, чтобы усилить свои политики адаптивными средствами контроля с оценкой рисков, что вносит дополнительные затраты к текущим операционным издержкам компании».

Хотя лишь 35% компаний столкнулись с трудностями, помешавшими им внедрить стратегию нулевого доверия, следует иметь стратегический план ее реализации, включающий метрики оценки эффективности политик, чтобы свести к минимуму возможные задержки, подчеркивает Gartner.

Источник: Пресс-служба компании Gartner