Не секрет, что многие отечественные компании испокон веку живут по принципу «денег нет, но вы держитесь» вне зависимости от реальной прибыли. Переехав за рубеж, я с некоторым удивлением заметил, что такой же подход часто исповедуется и здесь. В этом смысле законы бизнеса, как и законы физики, интернациональны.
Главный метод экономии тот же: использовать аутсорсинг или хотя бы аутстаффинг. Например, если компании нужен департамент ИБ, то она может:
- Создать собственное ИБ-подразделение.
- Делегировать ряд функций через аутстаффинг (то есть заменить своих сотрудников штатом подрядчика).
- Отдать эти функции на аутсорсинг (при этом исполнители будут лишь минимально интегрированы в компанию).
Первого варианта все боятся как огня: тут и повышенные расходы на оплату труда, и кадровые сложности. Поэтому основная битва обычно разворачивается между опциями два и три.
После пандемии компании стали куда охотнее разрешать «удалёнку» — даже в сфере ИБ, что раньше было практически немыслимым. И вроде бы логичен следующий шаг — отдать всё на полный аутсорсинг. С точки зрения менеджмента, это сущий рай: не нужно больше столько офисных площадей, возни с техникой и прочими проблемами. Можно наконец расслабиться, откинуться в кресле и просто читать ежемесячные, еженедельные, а то и ежедневные — это уж насколько паранойя позволяет — отчёты от подрядчика со сверкающими графиками и сияющими таблицами, наглядно демонстрирующими успехи, достигнутые в борьбе с киберугрозами. Но так ли всё светло и радужно в действительности?
Да, переход на аутсорсинг обычно приводит к заметному падению расходов. Дело не только в освобождённых офисных пространствах, но ещё и в том, что зарплата специалиста в холодной Сибири (или солнечной Индии) в разы ниже, чем в Москве (или Дубае). Однако надо понимать, что бесплатного сыра, как и серебряной пули, не существует и за всё в этой жизни приходится платить.
Первое, что пострадает от перехода, — это знание инфраструктуры. Когда специалист находится на площадке и всё своё время посвящает одному заказчику, он будет глубже и лучше понимать его сеть, технологии, особенности и проблемы. Ожидать того же от работника на аутсорсинге нельзя. И дело не просто в физическом отсутствии человека на площадке, но ещё и в размытии фокуса: с огромной вероятностью исполнители будут «размазываться» подрядчиком по нескольким клиентам, ведь экономить и оптимизировать хотят все, а не только вы.
Вторая проблема — коммуникация. С 2020 года множество совещаний переместилось из офлайна в Teams — и на мой взгляд, они стали гораздо менее эффективны. То, что можно за пятнадцать минут объяснить на пальцах или нарисовать на доске, в онлайне часто выливается в часовую встречу с непредсказуемыми результатами.
Конечно, информационная безопасность как функция ни в коем случае не должна быть вещью в себе, и расходы на неё должны всегда соизмеряться с пользой, которую она приносит. И если компания не может себе позволить больших расходов, то аутсорсинг — прекрасный выход. В остальных же случаях всегда нужно помнить, что он далеко не во всём хорош, что бы там ни обещали красочные презентации и пламенные речи экспертов и консультантов. Ожидания от аутсорсинга должны быть адекватны его реальным возможностям, а не рекламным буклетам.
Ваш покорный слуга сейчас наблюдает, как любимый заказчик стоит на этом перекрёстке и мучительно выбирает, по какому пути двинуться. Пожелаем же ему удачи!
