Сравнение систем SGRC (Security Governance, Risk, Compliance) 2017

В статье мы проанализировали и сопоставили лидирующие на отечественном рынке системы автоматизации процессов ИБ (SGRC - Security Governance, Risk, Compliance) от российских производителей. Результаты сравнения помогут понять, чем принципиально различаются существующие на рынке SGRC-системы ePlat4m, R-Vision и Security Vision, и на что следует ориентироваться при их выборе.

1. Введение
2. Методология сравнения SGRC-систем
3. Сравнение SGRC-систем на российском рынке
1. 3.1. Общая информация
2. 3.2. Управление соответствием и аудит
3. 3.3. Управление инцидентами
4. 3.4. Управление уязвимостями
5. 3.5. Управление рисками
6. 3.6. Управление активами и знаниями
7. 3.7. Управление осведомленностью пользователей
8. 3.8. Планирование и аналитика
9. 3.9. Другие функциональные возможности
10. 3.10. Системная архитектура
11. 3.11. Защищенность системы
12. 3.12. Обьекты системы — методы кастомизации и разработка
13. 3.13. Интеграционные возможности
14. 3.14. Техническая поддержка
15. 3.15. Лицензирование

Введение

Российский рынок информационной безопасности достиг определенной степени насыщения. Внедрены десятки и сотни (а в топовых корпорациях тысячи и десятки тысяч) средств защиты информации, и наступает момент, когда бизнес требует большей прозрачности и управляемости систем ИБ.

Из-за сложности и неоднородности системы безопасности сколь-нибудь крупной компании качественное управление ИБ невозможно без автоматизации процессов — для чего и предназначен класс решений Security GRC (Security Governance, Risk, Compliance). Ранее мы публиковали Обзор рынка Security GRC в России.

Security GRC вполне может быть уникально российским изобретением — внутри «большого» класса GRC Gartner выделил сперва 2, а потом 6 — но так и не вычленил собственно Security GRC. В российских организациях SGRC часто является одним из первых промышленных средств автоматизации и измерения процессов ИБ, органически накапливая знания (исподволь становясь базой знаний по безопасности организации), и сразу же помогает «просчитать» безопасность — благо, конкуренция в виде специализированных Security BI присутствует уж совсем в небольшом числе организаций. Существующие в организациях решения смежных классов (ITSM, CMDB, BPMS) обычно управляются и развиваются ИТ, что делает их менее гибкими и приспособленными для задач ИБ.

Однако выбор независимого от ИТ решения ставит новые вопросы. Чем принципиально отличаются между собой различные решения? На что ориентироваться при выборе SGRC-системы? Как выбрать наиболее подходящее решение для вашей компании? К сожалению, универсального решения, подходящего любой компании, сегодня нет. Именно поэтому важно понимать, чем один продукт отличается от другого. Данное сравнение следует рассматривать как базисное. Во всех тонкостях работы SGRC-систем зачастую трудно разобраться даже профессионалам, не говоря уже о потенциальных клиентах. Еще сложнее сравнить возможности решений между собой. Стоит понимать, что в рамках этого материала мы не сравниваем эффективность или удобство того или иного решения. Для этого необходимо проводить детальный маппинг процессной модели конкретной службы ИБ к функциональности решений — определять процент покрытия процессной модели (требований/контролей системы ИБ) функциональностью решений.

Методология сравнения SGRC-систем

Краеугольным камнем любого сравнения является набор критериев, по которому оно производится. Их количество зависит от ряда факторов: от глубины исследования, а также степени различий между системами, которую мы хотим подчеркнуть. В то же время важно не только количество выбранных в рамках сравнения критериев, но и развернутые ответы по каждому из них, так как сравниваемые системы могут серьезно различаться даже на этом уровне. Следуя этому принципу, мы отобрали более 180 критериев, сравнение по которым упростит выбор SGRC-системы. К некоторым из критериев были добавлены пояснения. Отметим, что при разработке критериев учитывался опыт автора в подготовке сделок и реализации проектов по выстраиванию конвеера контроля ИТ-проектов по требованиям безопасности, экспертных аудитов ИБ, аудитов соответствия требованиям по ИБ, формализации и автоматизации процессов управления инцидентами для организаций топ-500 российской экономики в государственном, нефтегазовом и финансовом секторах.

Фактически SGRC-системы развиваются в двух направлениях — IRP (Incident Response Platform), Risk Management и платформы-конструкторы. Ни один из участников не делает упор лишь на управление рисками, IRP напротив является хитом сезона. Столь большой упор на IRP может быть вызван популярностью и объемом спроса на тему Security Operations Center и выстраивания процессов управления инцидентами в целом. Например, недавний публичный тендер на IRP-систему в Пенсионном фонде России пробил уровень в 1 миллион долларов.

Для удобства все сравнительные критерии были разделены на 16 категорий:

1. Общие параметры
2. Управление соответствием и аудит
3. Управление инцидентами
4. Управление уязвимостями
5. Управление рисками
6. Управление активами и знаниями
7. Управление осведомленностью пользователей
8. Планирование и аналитика
9. Другие функциональные возможности
10. Системная архитектура
11. Защищенность системы
12. Объекты системы — методы кастомизации и разработка
13. Интеграционные возможности
14. Техническая поддержка
15. Лицензирование

Для участия в сравнении было отобрано четыре наиболее известных и популярных в России SGRC-системы — зарубежная RSA Archer и российские ePlat4m, R-Vision и Security Vision.

Производитель RSA не ответил на запрос нашего аналитического центра и выбыл из сравнения, остальные производители перечисленных выше SGRC-систем активно участвовали в выработке списка критериев сравнения и помогали со сбором необходимой информации.

Сравнение SGRC-систем на российском рынке

Общая информация

Управление соответствием и аудит

Управление инцидентами

Управление уязвимостями

Управление рисками

Управление активами и знаниями

Управление осведомленностью пользователей

Планирование и аналитика

Другие функциональные возможности

Системная архитектура

Защищенность системы

Обьекты системы — методы кастомизации и разработка

Интеграционные возможности

Техническая поддержка

Лицензирование

В приведенном сравнении SGRC-систем мы не делали их итогового ранжирования, надеясь, что, ознакомившись с представленными нами результатами сравнения, каждый читатель сможет самостоятельно решить, какая из SGRC-систем наиболее подходит для его целей. Ведь в каждом конкретном случае заказчик сам определяет требования к технологиям или функциональным возможностям решения, а значит, сможет сделать из сравнения правильный именно для него вывод.

Коллектив Anti-Malware.ru выражает особую благодарность за помощь в подготовке данного материала коллегам:

Антон Еркин, генеральный директор, ePlat4m

Анна Пенкина, ведущий консультант, ePlat4m

Игорь Сметанев, коммерческий директор, R-Vision

Александр Бондаренко, генеральный директор, R-Vision

Руслан Рахметов, генеральный директор, Security Vision

Роман Овчинников, старший аналитик, Security Vision