ГК Softline: почему ISO 27001 недостаточно для выхода на рынок ОАЭ и Саудовской Аравии

Международный сертификат ISO 27001 не гарантирует российскому ИТ-поставщику доступ к проектам в ОАЭ и Саудовской Аравии.

По оценке наших аналитиков Softline, стандарт может закрывать около 60–75% требований заказчиков к информационной безопасности, остальное зависит от местного регулирования и способности поставщика документально подтвердить соответствие требованиям.

В Саудовской Аравии речь идет о Essential Cybersecurity Controls Национального агентства кибербезопасности, в ОАЭ — UAE Information Assurance. Поэтому подготовка к выходу на эти рынки включает не только получение международных сертификатов, но и проверку требований конкретной страны.

Проверка безопасности начинается до тендера

Технические характеристики, стоимость и опыт внедрений по-прежнему влияют на выбор поставщика. Однако еще на этапе переговоров заказчик должен понять, можно ли использовать предложенное решение в регулируемой среде и подтвердить его соответствие внутренним и внешним требованиям.

Для этого нужны документы, описывающие архитектуру решения, политики безопасности, порядок обработки данных и сценарии внедрения. Важна и карта соответствия локальному регламенту: она показывает, какие требования уже выполнены, а какие вопросы необходимо дополнительно проработать.

По сути, поставщику приходится готовить доказательную базу параллельно с коммерческим предложением. Наши специалисты Softline обращают внимание: если отложить эту работу до тендера или финального согласования, дополнительные проверки могут осложнить продвижение сделки.

Почему в переговорах растет роль директора по ИБ

При оценке поставщика все большее значение имеет директор по информационной безопасности заказчика. Он проверяет не только технические возможности продукта, но и риски его использования в корпоративной инфраструктуре.

В частности, мы в Softline считаем, что необходимо убедиться: решение можно безопасно интегрировать в существующую ИТ-среду, провести внутренний аудит и обосновать выбор поставщика перед регулятором или советом директоров.

Это влияет и на организацию продаж со стороны вендора. Специалистам по информационной безопасности, инженерам и юристам приходится подключаться к переговорам еще до завершения технической оценки. Их задача — помочь подготовить документы и объяснить, как решение соответствует применимым требованиям.

Заказчик оценивает и самого поставщика

Помимо характеристик продукта, генеральные и финансовые директора оценивают устойчивость поставщика и его способность сопровождать проект после внедрения. Значение имеют качество локальной поддержки, распределение ответственности за документацию и комплаенс, а также предсказуемость дальнейшей работы.

Виктор Гулевич, руководитель направления информационной безопасности управления международного бизнеса ГК Softline, отмечает:

«На Ближнем Востоке комплаенс становится частью сделки еще до тендера. Заказчику важно не только понять функциональность продукта, но и увидеть доказательную базу: какие требования закрывает решение, где остаются зоны ответственности клиента и как поставщик помогает пройти проверку. Для вендора это означает более раннее подключение инженеров, юристов и специалистов по информационной безопасности к продажам».

Эксперты Softline считают, что готовность поставщика к проверке безопасности становится частью общей оценки партнера. Недостаточно заявить о соответствии стандарту: необходимо показать, какие именно требования выполнены и как организована работа с оставшимися рисками.

Что определит конкурентоспособность вендоров

Для российских ИТ-компаний, работающих в ОАЭ и Саудовской Аравии, качество предпродажной подготовки становится одним из факторов конкуренции. Мы в Softline считаем, что поставщикам необходимо заранее собирать документы, учитывать местные требования и привлекать специалистов по безопасности к обсуждению проекта.

Чем раньше компания подготовит доказательства соответствия, тем проще заказчику оценить риски и пройти внутренние процедуры согласования. Поэтому работа с регуляторными требованиями должна начинаться до тендера — одновременно с технической и коммерческой проработкой решения.