Кто/что влияет на инвестиции в ИБ?

Вот сижу и смотрю интересное исследование, посвященное анализу стратегий инвестирования в ИБ. Оно конечно проводилось в США, но его выводы можно транслировать и на Россию. Как всем известно, основным драйвером инвестиций в ИБ внутри компаний является регулирование и законодательство. По данным отчета, этот драйвер оценивается в 30% от общего числа.

Второй, уже более интересный аспект касается того, что больше всего влияет на принятие решения об инвестициях в ту или иную технологию и проект ИБ. На первом месте находится мнение квалифицированного персонала, который знает, что лучше для компании. На втором месте - требования федерального или отраслевого законодательства. На третьем месте - результаты внутреннего аудита. Именно внутреннего. Результаты внешнего аудита оказались на одном из последних мест (всего в 12.5% организаций). Четвертое место по праву заняли данные, полученные от уже внедренных в компании систем защиты или от подразделений, ответственных за те или иные решения в данной области. В качестве таких данных могут быть отчеты Help Desk или бухгалтерии по срезу ИБ. Пятерку лидеров замыкают рекомендации и лучшие практики от NIST. На сегодня национальный институт стандартов США (аналог нашего Ростехрегулирования) выпустил свыше сотни документов, аккумулирующих лучшие практики по безопасности тех или иных аспектов. Все остальные аспекты, влияющие на инвестиции, учитываются в менее чем 25% организаций.

К чему это я все веду? Да к тому, что наши регуляторы могли бы пойти по пути NIST и вместо обязательных, но параноидальных требований "для всех" выпустить грамотные и полезные рекомендации. Они пользовались бы куда большей популярностью, да и эффект бы был для ФСТЭК более положительный. И с точки зрения репутации, и с точки зрения роста рынка, и с точки зрения финансовых вливаний в аккредитованные при ней организации ;-)