«Маркетологи»
Автор
Илья Медведовский
Цифры можно показать бизнесу и тем самым обосновать расходы на ИБ; цифры также можно предоставить журналистам и получить требуемый шум в прессе.
Давайте начнем чуть издали. Так уж повелось, что все, что мы видим в открытой профессиональной печати, – это в основном новости, пресс-релизы и исследования. Здесь только одна отдушина, которую обычно не выделяет специфический запах, – статьи на технических ресурсах.
Я специально взял это слово в кавычки и в дальнейшем буду разделять маркетинг и «маркетинг», хотя эта статья безусловно о «маркетинге». О тех самых новостях, пресс-релизах и исследованиях.
Большинство информации, которую мы потребляем ежедневно, составляют вовсе не книги и отдельные статьи, а новости – то есть определенная маркетинговая субстанция, некая выжимка из реальной жизни. Зачем читать пространное описание продукта или экспертное исследование – пробегу-ка я лучше короткий пресс-релиз, созданный на его основе. Узнали себя? Я – да, особенно когда нет времени. Задела вас новость – возможно, вы найдете час, чтобы глубже изучить, что же там внутри. Нет – всё мимо, вас потеряли. Вот на этом и основан весь современный маркетинг. Надо быстро поставить якоря, зацепить и попытаться вытащить читателя из сотни ежедневных однотипных новостей про очередной суперпродукт или грандиозное событие. И это совершено нормально. Что же плохо? А плохо то, что нами зачастую начинают откровенно и цинично манипулировать. Я более чем уверен, что классический массовый маркетинг именно так и устроен, но мы же не об этом. Мы – технари, профессионалы, айтишники и безопасники – считаем себя белой костью. Мы же выше этого дешевого масс-маркетинга, и нас-то им в обычной жизни уж точно не проймешь. А уж в нашей профессиональной области и тем более. Но так ли это? Как быстро распознать «маркетинг» в ИБ, построенный на основе манипуляций?
«Маркетинг» как оскорбление XXI века
Вспомним, какие ощущения возникают у нас как специалистов при слове «маркетинг» (каждый по желанию может добавить «в области ИТ или ИБ»). Обычно сугубо негативные: «Хватит мне этого вашего маркетинга – давайте по сути...», «Маркетинговая чушь...». Причем последнее произносится презрительно и с соответствующим выражением на лице. Друзья мои, «маркетологи от российского ИБ», во что же вы превратили его величество МАРКЕТИНГ, если в среде технических специалистов это слово сегодня стало ругательным? И это тот самый маркетинг – один из важнейших двигателей практически любого западного бизнеса!
К такой ситуации привел ряд факторов, характерных именно для российского рынка ИБ, да, наверное, и ИТ тоже. Наш рынок всегда был и во многом остается крайне специфичным, продажи здесь практически не зависят от маркетинга – и это корень всех проблем. Маркетинг умирает, когда руководство компании говорит: «Нас и так все знают», или: «Да ерунда, пусть сейлы сами расскажут нашим клиентам про наш новый продукт». С учетом специфики продаж большинства российских «ибэшных» компаний у них исторически просто не было нужды в маркетинге, к тому же они часто путали и путают до сих пор маркетинг и пиар. Но все течет, все изменяется, руководству хочется, чтобы все было как на Западе, и постепенно стали вспоминать о маркетинге. Однако понимания, что же такое стратегический маркетинг и как он влияет на продажи, как не было, так и нет. Поэтому он и принимает у нас крайне уродливые формы, превратившись в откровенную пародию, а если и влияет на продажи, то скорее отрицательно, так как вызывает прежде всего отвращение своей беспредметной глупостью.
Исследования как повод для маркетинговых манипуляций
Что нужно маркетологу? Информационный повод. Для этого существует много вариантов, но в нашей среде традиционно самый весомый и обстоятельный – публикация исследования. С точки зрения технаря, правильная цепочка здесь: идея – анализ – исследование – (прошел год) – публикация – пиар. Правильный маркетолог – к сожалению, вид, редко встречающийся в природе. Понимая это, он задает темы, которые ложатся в канву корпоративного маркетинга, и терпеливо ждет результатов исследований. Однако, даже, с точки зрения «правильного маркетолога», чрезвычайно велик соблазн сильно сократить или упростить эту цепочку, чтобы максимально быстро и дешево добраться сразу до последнего пункта.
С точки же зрения «маркетолога», правильная цепочка строго обратная: продукт или услуга – PR-повод – факты, дающие такой повод, – сбор, подтасовка и выдумывание фактов для манипуляции и формирования нужного результата. А далее начинаются «исследования», и расчет тут один – что потребитель не заметит этой манипуляции. Ему просто не до этого. Причем, скорее всего, он просто увидит красивую новость и подумает: «О, как здорово» – не дойдя до сути. Чтобы быстро распознать таких маркетинговых «исследователей», я предлагаю воспользоваться простой классификацией, которая легко позволяет понять, на основе чего сделано исследование, и оценить базовую степень доверия к нему (см.табл).
Одна из основных проблем маркетинга в ИБ состоит в том, что крайне сложно получить как оценку числа реальных инцидентов, так как никто не горит желанием о них рассказывать без крайней необходимости, так и самое главное – оценить потери в случае инцидента. В случае утечки информации оценка ущерба чрезвычайно затруднена сложностью в определении, а сколько же стоила украденная информация; а даже казалось бы в простом случае атаки на банк с непосредственной кражей денег – не существует никакой открытой статистики ущерба по банковской сфере, в частности, РФ. Все это дает прекрасный повод для любых манипуляций с цифрами – все равно проверить невозможно. Но цифры хотят все. Цифры можно показать бизнесу и тем самым обосновать расходы на ИБ; цифры также можно предоставить журналистам и получить требуемый шум в прессе. Но взять адекватные цифры потерь просто неоткуда. В итоге «маркетологи» идут на всяческие ухищрения: от простых экспертных оценок ущерба методом «тыка пальцем в небо», до нелепых формул, основанных опять же на экспертных оценках ущерба, где одна чушь перемножается на другую, потом умножается на «ущерб», и на выходе получается любая нужная «маркетологу», но уже абсолютно гипертрофированная чушь глобального ущерба за год или в целом по индустрии, отличающаяся от реальности на порядок. За примерами далеко ходить не нужно. Проверить все эти цифры ущерба в принципе невозможно – поэтому раздолье для манипуляторов здесь огромное, пиши все что хочешь, бумага стерпит. А главное все у нас привыкли к таким «исследователям» относиться снисходительно – парни то они хорошие, но работа у них такая… это ж просто маркетинг, что с него взять.
Фальсификация вывода путем манипуляции фактами
Ошибочное трактование, манипуляция, выпячивание одних и заведомое скрытие других невыгодных фактов с целью фальсификации и подтасовки итогового вывода – любимый грех «маркетологов». Ведь даже если исследование основано на неопровержимых фактах, никто не мешает провернуть манипуляцию с их трактовкой, дабы исказить вывод в нужную сторону. Иногда это бывает по ошибке, а иногда вполне сознательно. За примерами далеко ходить не нужно, возьмем достаточно невинный и мне близкий. Многие годы мы можем наблюдать тиражируемый вывод, что после сканирования мировой сети Интернет исследователями было обнаружено более 60 тыс. напрямую подключенных к ней АСУ ТП. Это же ужасный и крайне настораживающий факт! Мы все сразу представляем десятки тысяч опасных производств, к которым злоумышленник может получить удаленный доступ из Интернета, открываем кошелек и срочно нанимаем аудиторов, а потом интеграторов, вендоров и далее по пищевой цепочке акул капитализма, резко начиная заниматься безопасностью АСУ ТП (что, кстати, само по себе неплохо, ибо это во многом ложь во спасение).
Однако исследователи заведомо вводят всех в заблуждение, так как подавляющее большинство из этих 60 тыс. объектов не имеют вообще никакого отношения к заводам и являются… «умными» домами, обладающими вполне себе зрелыми системами автоматики, которые по своей сути просто обязаны быть подключены к Интернету и которых огромное количество по всему миру. Что примечательно, после выхода оного исследования несколько лет назад инженеры сразу же обратили на этот факт внимание авторов. Но те упорно не хотят признавать свою ошибку и из года в год до сих пор упрямо распространяют заведомо выгодный им миф о якобы массовой доступности АСУ ТП через Интернет. Это типичный пример запугивания и манипуляции в стиле продавцов страха – FUD в действии.
Привязка к стандартам или громким событиям
Традиционный для «маркетолога» и давно набивший оскомину способ повышения значимости выводов исследования (в том числе правильных) или обоснования продукта – привязка к любому известному стандарту. Главное, чтобы он был у всех на слуху. Поэтому, как только появляется какой-либо стандарт – как мухи слетаются «маркетологи», которые своим главным долгом считают сообщить потребителю, что именно их продукт на «100% соответствует требованиям стандарта». Обязательно надо придумать и внедрить в мозг, что именно их продукт позволяет решить все проблемы с комплаенсом . Вспомните, какая вакханалия в этом плане была несколько лет назад с PCI DSS, когда всем поголовно обещали быстрый комплаенс после внедрения очередных безопасных сапог-скороходов. А с СТО БР ИББС – ну, казалось бы, какое этот процессный стандарт имеет отношение к средствам защиты, однако это не может остановить истинного «маркетолога».
Другой пример. Выходит исследование по анализу защищенности интернет-ресурсов банков, в котором делается пафосный и солидный вывод о том, что, оказывается, существенный процент систем ДБО не соответствуют PCI DSS. «Маркетолог» привязался к стандарту – молодец, Eagle landed. Но мало того что само исследование по приведенной ранее в статье классификации попадает на самый нижний уровень доверия, так еще и… системы ДБО не имеют никакого отношения к PCI DSS, вообще не попадая под его область действия. Но слово-то PCI DSS красивое и у всех на слуху – правильный выбор для истинного «маркетолога».
Выдать желаемое за действительное, сравнив несравнимое, преувеличив и т. п.
Самый простой и прозаичный грех «маркетолога» – сморозить откровенную чушь в пресс-релизе. Для этого истинный «профи» для большего эффекта всегда обязан использовать вариации и синонимы слова «гарантия». Это прекрасно, когда речь идет о безопасности, где в принципе ничего нельзя гарантировать. «Сертификация по стандарту гарантирует безопасность…», «Проведенный аудит безопасности дает гарантию надежной защиты банка…» и т. п. – знакомо? Вывести на задний двор и расстрелять за профнепригодность. «Маркетологи», показывайте свои пресс-релизы инженерам! Руководители, категорически запретите маркетологам от ИБ, записав это жирными буквами прямо в их трудовом договоре, использовать слово «гарантия» – пусть не позорят профессию!
Другой пример – заведомое преувеличение для громкого эффекта. Назвать исследованием обычный обзор – будни. Нашел четыре простых уязвимости в продукте – обязательно пиши про «масштабное исследование защищенности». Нашел одну уязвимость в продукте за полгода, когда остальные находят их пачками ежемесячно, – преподнеси это как исследование и великую победу, обязательно громко сообщив о своих якобы «особо тесных отношениях» с данным вендором. Список можно продолжать бесконечно – «маркетологи» не дремлют.
Не менее любимым развлечением «маркетологов» является сравнение несравнимого. Успешно применяется, когда речь идет о продуктах. Особенно если взять продукты разного класса. Или придумать специальные хитрые критерии (и желательно побольше), под которые не попадет ничто, кроме твоего продукта. Типовых способов масса. А еще можно сравнивать продукты, основываясь на данных из рекламных буклетов, – и это встречается сплошь и рядом. А когда вендор начнет возмущаться этим «сравнением», доблестный «маркетолог» радостно ударит себя пяткой в грудь и скажет: «О, наше исследование заметили, и оно вызвало широкое обсуждение в социальных сетях!» Все верно – истинным «маркетологам» не важна суть – им важно именно «широкое обсуждение». И плевать, что в обсуждении все называли их исследование «сплошным позором» и «пятном на репутации».
Что делать?
Такой вот суровый у нас «маркетинг». И такие же суровые маркетинговые конференции, на которые все устали ходить из-за обилия маркетинговой чуши, льющейся с трибун. Чем отличаются западные технические хакерские конференции от российских маркетинговых конференций по ИБ?
На западных хакерских конференциях невозможно купить выступление даже спонсору, а на российских иногда, в виде исключения, можно выступить бесплатно. На BlackHat за выступление платят спикеру, а у нас наоборот – платит спикер. Поэтому выступления на топовых западных конференциях столь ценятся и являются определенным показателем качества презентуемых на них исследований – там выступают действительно только лучшие в мире, а не обладающие наибольшим маркетинговым бюджетом. Правда, сейчас ситуация с конференциями у нас стала постепенно выправляться – критика подействовала на ряд организаторов, и это отрадно видеть.
На самом деле весь этот «маркетинг» – крайне грустное и чрезвычайно опасное для рынка в целом явление. Зачем заниматься тяжелыми фундаментальными исследованиями в области ИБ, тратить многие месяцы, а иногда и годы, а затем создавать на их базе лучшие в мире продукты, если можно путем простых манипуляций и подтасовки фактов быстро получить нужный бизнес-результат и продать очередную поделку. Это убивает технарей и их исследования, это также убивает рынок продуктов – о каком импортозамещении может идти речь? А самое страшное, что «маркетологи» своей бурной деятельностью упорно каннибализируют рынок, уничтожая в зародыше самый главный его элемент – доверие между всеми участниками.
Давайте задумаемся: а так ли безобидны «маркетологи», как кажется на первый взгляд? Да, большинство из нас привыкли снисходительно смотреть на них, похлопывая по плечу и повторяя из раза в раз: «Как же вы надоели с этой своей маркетинговой чушью», постоянно слыша в ответ: «Да ладно, это же маркетинг, зато смотри, какой мы подняли шум в соцсетях!» Может быть, пора уже начать вместе бороться и открыто высказывать свое отношение к этой вакханалии бессмысленного и беспощадного российского «маркетинга от ИБ», буквально уничтожающего наш рынок? Думается, что всему экспертному сообществу, и прежде всего потребителям, пора подвергать остракизму наиболее отличившихся «маркетологов», дабы попытаться хотя бы приостановить этот мутный поток. Пока это еще, наверное, возможно...
Опубликовано 27.10.2014