Международный стандарт управления информационной безопасностью ISO 27001 может закрывать около 60–75% требований к информационной безопасности ИТ-поставщиков, которые предъявляют заказчики в ОАЭ и Саудовской Аравии. Остальные требования задаются локальными регуляторами: в Саудовской Аравии это Essential Cybersecurity Controls Национального агентства кибербезопасности, в ОАЭ — UAE Information Assurance. Поэтому российским ИТ-поставщикам при выходе на эти рынки приходится заранее готовить не только сертификаты, но и доказательства соответствия локальным стандартам.

Для российских интеграторов это меняет логику выхода на сделку. Технологические характеристики, цена и опыт внедрений по-прежнему остаются важными факторами, однако уже на ранних этапах переговоров появляется дополнительный фильтр — готовность поставщика документально подтвердить, что его решение можно использовать в регулируемой среде. Заказчику нужны описание архитектуры, политики безопасности, порядок обработки данных, сценарии внедрения и карта соответствия конкретным пунктам местного регламента.

Из-за этого в процессе выбора поставщика растет влияние директора по информационной безопасности. Он участвует не только в технической оценке решения, но и в проверке рисков для бизнеса. Его задача — убедиться, что продукт можно безопасно встроить в ИТ-среду компании, пройти внутренний аудит и защитить выбор поставщика перед регулятором или советом директоров.

Для генеральных и финансовых директоров значимыми становятся устойчивость поставщика, качество локальной поддержки и способность сопровождать проект после внедрения. При этом руководство оценивает не только продукт, но и операционную модель партнера: кто отвечает за документы, как будет организована поддержка, как закрываются вопросы комплаенса и насколько предсказуемо будет развиваться проект после подписания договора.

«На Ближнем Востоке комплаенс становится частью сделки еще до тендера. Заказчику важно не только понять функциональность продукта, но и увидеть доказательную базу: какие требования закрывает решение, где остаются зоны ответственности клиента и как поставщик помогает пройти проверку. Для вендора это означает более раннее подключение инженеров, юристов и специалистов по информационной безопасности к продажам», — отмечает Виктор Гулевич, руководитель направления информационной безопасности управления международного бизнеса ГК Softline.

Дальнейшая конкуренция российских ИТ-компаний в регионе будет зависеть от качества предпродажной подготовки. Преимущество получат поставщики, которые смогут заранее собрать документы для проверки, адаптировать процессы под локальные стандарты и говорить с заказчиком на языке его регулятора, а не только на языке технических характеристик.

Источник: