Czy rosnący popyt na specjalistów przyczyni się do wzrostu popularności szkoleń i powstania nowych firm świadczących usługi cyberbezpieczeństwa?

Kamil Pszczółkowski Dostrzegamy taki trend. Ludzie zaczynają uczęszczać na bardzo drogie studia dyplomowe. Znam na przykład osoby, które prowadziły biznes związany z marketingiem, ale teraz chcą się całkowicie przebranżowić i zająć cyberbezpieczeństwem. Poza tym warto zwrócić uwagę na różnego rodzaju ankiety przeprowadzane wśród dzieci i młodzieży dotyczące zawodów przyszłości. Najczęściej jest to youtuber, ale także… haker. To, niezależnie od konotacji, pokazuje zainteresowanie tematyką cyberbezpieczeństwa.

Grzegorz Świrkowski Dlatego właśnie warto rozmawiać o roli firm MSSP. Jeśli integrator dysponuje odpowiednimi zasobami informatycznymi i specjalistami, może szybko zareagować na potrzeby klienta, nawet już po pierwszym spotkaniu. Jest to szczególnie istotne, ponieważ użytkownicy, napotykając poważne problemy związane z cyberbezpieczeństwem, często poszukują natychmiastowych rozwiązań. W takich krytycznych momentach, MSSP może okazać się skuteczną alternatywą dla kosztownego zatrudnienia specjalisty na etat.

Paweł Jurek MSSP jest wdzięcznym modelem biznesowym z myślą o obsłudze małych i średnich firm. Duże przedsiębiorstwa muszą zatrudnić specjalistów ds. cyberbezpieczeństwa niezależnie do tego czy korzystają z konsultingu bądź partnerów zewnętrznych. Natomiast w sektorze MŚP, gdzie istnieje duża rotacja pracowników, może się okazać, że najlepsi specjaliści zaczną masowo odchodzić i dana firma pozostanie z młodymi, niedoświadczonymi osobami. W takich sytuacjach partner zewnętrzny, oferujący usługi zarządzane, stanowi optymalne rozwiązanie.

   Jaki wpływ na rynek MSSP ma konsolidacja wśród producentów? Czy przyspieszy tempo adaptacji tych usług?

Krzysztof Hałgas Konsolidacja ułatwi adaptację MSSP, ponieważ usługi staną się bardziej kompletne i obejmą szerszy zakres. Tym samym łatwiej będzie dotrzeć do klientów i rozmawiać o ich potrzebach w zakresie cyberbezpieczeństwa. Niemniej uważam, że ważniejsza jest promocja. Należy tłumaczyć ludziom, dlaczego warto korzystać z tego modelu. Kiedyś podobnie było z leasingiem samochodów czy wynajmem długoterminowym. Dziesięć lat temu nikt nie korzystał z takich usług, bo nie wiedział o ich istnieniu… Z drugiej strony podejmowania decyzji nie ułatwia fakt, że w Polsce, mimo obowiązywania prawa unijnego, ustawy o krajowym systemie cyberbezpieczeństwa czy RODO, nie ma wysokich kar za wycieki danych. To istotne niedopatrzenie. 

Paweł Jurek Niedawno przeglądałem materiały dotyczące grantów na infrastrukturę cyberbezpieczeństwa. Część informatyków pracujących w samorządach jest zszokowanych tym, że trzeba przeprowadzić audyt czy zbadać realne potrzeby danego podmiotu. Takie podejście dla wielu samorządów jest czymś nowym, ale to się zmienia. Nawet mniejsi klienci zaczynają sobie uświadamiać, że nie wystarczy kupić kilku produktów, które niejako wypada obecnie mieć. Najpierw trzeba określić potrzeby, przeprowadzić analizę ryzyka, wdrożyć system zarządzania informacją. Wreszcie trzeba zdecydować czy dbamy o cyberbezpieczeństwo sami czy szukamy zewnętrznych firm.

  Integratorzy przyznają, że coraz częściej spotykają klientów proszących o audyt, po którym decydują się na podjęcie konkretnych działań. W tej sytuacji integrator pełni niejako rolę lekarza i apteki – najpierw bada, a potem aplikuje leki. Czy dostrzegacie ten trend?

Paweł Jurek Wielokrotnie wygląda to w ten sposób, kontynuując analogię do lekarza i apteki, że ktoś idzie do apteki, pomijając lekarza i kupuje paraleki na wymyślone choroby.

Krzysztof Hałgas Zasadniczy problem polega na tym, że to nie przykładowa pani Zofia czy pan Stanisław, ale często sami administratorzy sieci nie mają szerszej świadomości w obszarze cyberbezpieczeństwa lub nie koncentrują się na tym. Ten obszar wciąż traktowany przez nich jest reaktywnie, co powoduje że nie jest traktowany priorytetowo w organizacjach, zarówno jeśli chodzi o budowanie kompetencji, jak i inwestycje.

Grzegorz Świrkowski Nie narzekałbym na klientów, aczkolwiek rzeczywiście mamy wciąż wiele do zrobienia w zakresie ich edukacji. Zwłaszcza, że istnieje wspomnianych już wcześniej 17 różnych kategorii rozwiązań bezpieczeństwa. W rezultacie użytkownicy końcowi są wręcz zasypywani informacjami. Co wtedy, gdy – jak ma to miejsce w przypadku dotacji do infrastruktury bezpieczeństwa – klienci otrzymują długą ankietę do wypełnienia, a czas składania wniosków jest mocno ograniczony? Z jednej strony zgadzam się z tym, że w polskich firmach oraz urzędach postępowanie związane z tworzeniem haseł, przeglądaniem poczty mejlowej czy zapobieganiem phishingowi pozostawiają sporo do życzenia. Trzeba nad tym pracować, bo świadomość w tym zakresie nie zmienia się od lat. Z drugiej strony widzimy jednak, że klienci zaczynają przeznaczać więcej pieniędzy na edukację. Co ważne, rośnie świadomość zarządów firm dotycząca cyberochrony. Jednocześnie wszyscy są przebodźcowani atakami i awariami, a przy tym każdy spodziewa się, że przyjdzie do nich integrator z jednym uniwersalnym narzędziem. Niestety, takiego narzędzia nie ma.