Если не рассматривать крупные организации, службы ИБ которых насчитывают сотни человек, то в массе своей нам обычно не хватает людей на все наши хотелки и мы всегда чувствует дефицит персонала. И чем мельче компания, тем сильнее этот дефицит, который надо как-то закрывать. И когда ты приходишь к генеральному директору за одобрением новых ставок в штат ИБ, ты часто слышишь: «Вас и так много (а «вас» в реальности всего один или двое)» или «И так непонятно, что вы там в ИБ делаете, дармоеды». И ты выходишь весь оплеванный и не знаешь, как обосновать выделение ресурсов. Могу поделиться достаточно простой моделью, которая, если и не обеспечит 100% выделение нужных ресурсов, но позволит с цифрами в руках обосновать, что вам нужно именно такое количество людей; не больше и не меньше.
Идея заключается в том, что мы должны выписать все функции, которые нам нужны для обеспечения ИБ в табличку и против каждой функции проставить число часов, которые эта функция требует. Подсчитать число часов не так уж и сложно — достаточно просто замерить, сколько времени тратится на работу с тем или иным техническим решением или на организацию какой-либо задачи/процесса. В качестве примера могу привести такую табличку для небольшой компании с достаточно простой инфраструктурой.
Такой расчет является точкой отсчета для общения с руководством, которое начинает понимать, что вы не из пальца высосали нужное вам количество людей, а имеете подтвержденные цифрами доказательства. Когда вы просто приходите с протянутой рукой, вы находитесь в позиции человека просящего. Когда у вас есть обоснованные расчеты, у вас появляется предмет обсуждения с руководством, которое будет стоять перед вполне осознаваемым ими выбором:
- Выделить вам деньги на эти две вакансии.
- Отказать в выделении вакансий, но предложить подумать об аутсорсинге указанных функций во внешней сервисной компании. Лично знаю ооооочень крупную компанию из списка Fortune500, которая имеет бюджеты на закупки различных игрушек по ИБ, но выбить там увеличение фонда оплаты труда (ФОТ) практически невозможно.
- Подумать о сокращении времени на выполнение описанных функций за счет их автоматизации, то есть приобретении соответствующего инструментария.
- Попросить вас сократить число функций или объем усилий по ним.
Возможно, вам стоит заранее подготовить этот список альтернатив с описанием каждой из них, чтобы руководство принимало решение, опираясь на конкретику, а не на эмоции. Теперь, когда вам надо будет добавить новых функций, например, после появления новой нормативки, вам будет проще добавлять к имеющемуся расчету новые FTE. Допустим, вы банк и вам «навесили» обеспечение непрерывной надежности и уведомление ФинЦЕРТ об инцидентах ИБ, а ИТ сбагрила вам проект по идентификации и аутентификации. В итоге у вас получится уже 260 часов или 6,5 FTE (7 человек).
Бывает конечно и так, что в организации один человек — «и швец, и жнец, и на дуде игрец», то есть этакий многостаночник, который способен работать за двоих, а то и троих человек, подменяя собой 2-3 FTE. Это редкость, но бывает. Также бывает и обратная история, сотрудник вроде и есть, штатную единицу занимает, но при этом работает вполсилы, а то и вовсе на четверть от требуемого. Обычно каждый руководитель ИБ обладает о своих сотрудниках такими сведениями и может планировать работу службы исходя из реалий, а не теории, но это не лучший вариант. Вот уйдет такой многостаночник и придется где-то искать ресурсы закрывать то, что он раньше делал в одиночку. Но это уже лирика.
Если вы хотите увидеть какие-то иные оценки временных затрат на обеспечение отдельных функций ИБ, то я могу порекомендовать интереснейший документ от Банка России, а именно РС 2.7 2015-го года по ресурсному обеспечению ИБ в финансовой организации. Он, правда, ориентирован еще на СТО БР ИББС, но ежегодные усилия для каждого процесса ИБ там расписаны достаточно детально. Согласно Банку России минимальный состав службы ИБ банка составляет 12 человек (при росте числа филиалов и отделений и число растет пропорционально). Там приводится более сложная формула расчета ресурсов, но суть у нее та же.
Если вы дочитали эту заметку до конца и решили, что я выложил на блюдечке рецепт выбивания ставок из начальства, то не обольщайтесь. Все зависит не от используемых формул и затрачиваемых вами усилий, а от того, умеете ли вы общаться с руководством «на равных» и доверяет ли оно вам.
Сколько работаю, такая табличка ни разу не сработала. Неоднократно подходил к руководству разных компаний, где работал, реакции было 2: "что за фигню ты тут нарисовал" или "работайте эффективней в три раза" (количество раз руководитель считал от того, насколько нужно уменьшить нормо-часы). Предлагал проверить на практике, с контролем времени и т.д. По итогу руководитель принимал решение провести оптимизацию (сократить специалистов по ИБ), поскольку "те, что есть слишком много жалуются". Не работает такой подход на практике, если руководство лично не заинтересовано в ИБ.
Ну попытка не пытка, как говорил товарищ Берия 🙂 Но если руководство не заинтересовано в ИБ, то причин этому 2 (по крупному) — мы не смогли заинтересовать руководство и мы не стали заинтересовывать руководство. Других причин нет. Если руководство не заинтересовано в ИБ, то зачем ему вообще создавать такую ставку или отдел? Так принято? Нормативка требует? Чего-то боимся, но боимся признаться? Какая-то причина все-таки была же?
Таблички полезные, но они могут не сработать даже если вы общаться с руководством «на равных» и оно вам доверяет, надо уметь показывать свою работу. Как это делать, отдельная тема, и этому нужно учить. Хотя, если руководство вам доверяет, это означает, чаще всего, что вы умеете показывать свою работу.
Да, это классический парадокс. Если вам не доверяют, то таблички могут и не помочь. А если доверяют, то таблички и не нужны 🙂
Эникеев хотят все и платить хотят как вздумаеться вот это реалии.
Но однако при выботе места труда никто и никому не запрещает втретиться с руководством и сразу рассставить приоритеты. Тут нет никакой «куда кривая вывезет», а есть конкретный настрой заниматься безопасностью и об этом надо говорить сразу — до того как.
И сразу станет ясно, что стоит там трудиться или это мало интересно. Всё зависит от вас уважаемые и только от вас.
Очевидно, но не все к этому готовы 🙂