62
Также изменится структура программного обеспечения.
новая операционная система рабочий станций MS Windows 10
операционная система сервера БД MS Windows Server 2016
операционная система серверов семейства Linux
добавлен антивирус Антивирус Касперского для Linux/FreeBSD File
Servers и Workstations;
СУБД MS Windows SQL Server 2017
«1С: Бухгалтерия 8»
пакет прикладных программ MS Office 2016
добавлен межсетевой экран;
создано разграничение прав пользователей, добавлена процедура
авторизации в сети. [27]
Обновленная программная архитектура информационной системы
компании ООО «Интер-Прайс» представлена на рисунке 2.2.
TCP/IP
Сервер БД
MS Windows Server 2016
1С Бухгалтерия 8.0
MS Windows 10
MS Office 2016
Рабочая станция
Почтовый сервер
Linux
Прокси-сервер
http
Интернет
Kaspersky Enterprise
Space Security
Kaspersky Enterprise
Space Security
Kaspersky for Linux/
FreeBSD
Linux
Kaspersky for Linux/
FreeBSD
Рисунок 2.2. Программная архитектура информационной системы
компании ООО «Интер-Прайс»
63
В качестве программно-аппаратных средств защиты в системе
предполагается использовать следующее: антивирус, межсетевой экран
(файрвол), систему авторизации, ИБП и антивирус Касперского для
Linux/FreeBSD и Windows.
2.2.2. Контрольный пример реализации проекта и его описание
Пример практической реализации новой системы защиты информации
копании ООО «Интер-Прайс» будет выглядеть следующим образом:
1. Разработка Политики безопасности компании.
Пример Политики безопасности, написанной для компании ООО «Интер-
Прайс», представлен в Приложении Б.
Документ должен содержать такие разделы, как:
цель политики информационной безопасности
цель управления информационной безопасностью
область применения документа
какие данные, информационные ресурсы подлежат защите
состав персональных/ конфиденциальных данных
содержание обработки персональных данных
как осуществляется обработка данных
какие средства используются для обработки персональных данных
сотрудников и клиентов компании
основные правовые и нормативные документы, законодательные акты
и стандарты, на основе которых строится Политика безопасности [18].
2. Рассылка Политики безопасности сотрудникам для изучения. Сбор
подписей, подтверждающий факт изучения и согласия с действующей
Политикой.
3. Подготовка «Договора о неразглашении конфиденциальной
информации» для сотрудников, работающих с особо ценной информацией.
4. Рассылка Договора для ознакомления и последующее двухстороннее
подписание.
64
5. Разработка Правил поведения и реагирования для всех сотрудников
компании с целью повышения бдительности за контролем доступа в помещения
посторонних лиц, а также доступа посетителей и посторонних лиц к
техническим и программным средствам информационной системы компании.
6. Рассылка Правил для ознакомления и сбор подписей в качестве
подтверждения с ознакомлением и принятием документа.
7. Осуществление контроля посещения помещений компании
посторонними лицами и контроля доступа к информационно-техническим
средствам посторонних лиц силами сотрудников компании. Контроль
закрытия всех помещений.
8. Разработка штрафных санкций, порядка их применения и размера
штрафов за невыполнение сотрудниками мероприятий по контролю за
помещением и доступу к технических средствам информационной системы.
9. Проведение обучающего семинара по вопросу обеспечения
информационной безопасности компании. Примерный перечень тем,
затрагиваемых в ходе проведения семинара:
суть информационной безопасности и ценность ее для сотрудников и
компании в целом;
объекты и субъекты информационной безопасности;
последствия кражи, порчи или удаления ценной информации для
отдельных сотрудников и компании в целом;
действия и бездействия, нарушающие целостность системы
информационной безопасности;
персональная информационная безопасность сотрудников на рабочем
месте (рекомендации по выбору и хранению надежного пароля, правила
использования внешних устройств (flash-накопителей), выход из
информационных систем и блокировка экрана компьютера перед уходом с
рабочего места, проверка выключения рабочей станции и закрытия помещений
перед концом рабочего дня, действия в случае обнаружения постороннего
человека или подозрительных действий на рабочей станции и другие действия);
65
санкции, применяемые к сотрудникам за нарушение системы
информационной безопасности.
10. Анализ места расположения каналов связи информационной
системы компании с целью выявления недостаточной степени защищенности
тех или иных участков кабеля от внешних случайных и преднамеренных угроз
повреждения физического характера.
11. Организация защиты кабелей информационной системы
компании путем прокладки новых сетей в защищенных местах, заключения
имеющихся участков сети в короба и т. д.
12. Закупка и установка ИБП на все рабочие станции и сервера
компании.
13. Закупка и установка нового программного обеспечения, в том
числе антивирусов, операционных систем, межсетевого экрана и т.д.
14. Обновление программного обеспечения, установленного в ИС
компании.
15. Ввод штатной единицы «Системный администратор» и прием на
работу нового специалиста.
66
3. Обоснование экономической эффективности проекта
3.1. Выбор и обоснование методики расчета экономической
эффективности
Экономическая эффективность — это результативность экономической
системы, которая выражается в соотношении полезных конечных результатов
ее функционирования к затраченным ресурсам [21]. Иными словами, если
затраты на производство какой-либо продукции, проведение какого-либо
мероприятия, закупки какого-либо оборудования превышают конечную
стоимость этой самой продукции или пользы, то деятельность считается не
выгодной.
Безусловно, говоря о рентабельности нельзя опираться только лишь на
цифры, нужно подключать логику и здравый смысл: так с одной стороны какое-
либо мероприятие может не принести видимой выгоды в краткосрочной
перспективе, но может сыграть на руку в долгосрочном планировании
Что касается вопросов информационной безопасности, то при оценке
рентабельности модернизации прямой выгоды в краткосрочном периоде
компания, безусловно, не получит. Но при наличие свободных или
относительно свободных денежных средств необходимость потратить их,
чтобы обезопасить себя в дальнейшем от существенных затрат на следствие,
адвокатов и суды, а также уберечь компанию от полного краха с точки зрения
логики кажется вполне уместным.
Но вернемся к понятию экономической эффективности. Оно
складывается из многих факторов: от эффективности производства в целом и
отдельных его частей, профессиональной составляющей (уровень и качество
образования сотрудников, знания, опыт работы, желания развиваться и расти
профессионально), эффективности системы управления. Эффективность
каждой из этих сфер определяется отношением полученных результатов к
затратам и измеряется совокупностью количественных показателей. Для
измерения эффективности производства, например, используются показатели
фондоотдачи, рентабельности, окупаемости и др. С их помощью
67
сопоставляются различные варианты развития производства, решения его
структурных проблем.
Измерение эффективности профессиональной сферы заключается в
соотношении совокупных затрат на оплату труда, обучение сотрудников и
отдачи от них. Эффективность можно оценить как увеличение
производительности сотрудника за единицу времени за счет приобретенных
знаний или использования новых методов или оборудования в работе. К
примеру, рассмотрим работу менеджера по работе с клиентами. Допустим, он
заключал сделок на 100 тыс. руб. в месяц и был направлен на обучение, которое
обошлось компании в 50 тыс. руб., но после него менеджер стал заключать
сделок на 200 тыс. руб. В этом случае можно сказать, что эффективность его
работы повысилась в 1,5 раза, а денежные средства, потраченные на его
образование, окупились в первый же месяц работы. Эти показатели объединены
в группу показателей производительности труда и учитываются при расчете
общей экономической эффективности деятельности компании.
Эффективность управления заключается своевременном принятии
правильных управленческих решений, контролю процессов компании.
Управление считается не эффективным, если в результате действий
управленческого персонала компания терпит убытки, которых можно было бы
избежать. В качестве иллюстрации можно привести пример, когда в результате
некачественного учета деталей производства со стороны менеджера не было
вовремя заказаны необходимые компоненты, что в результате привело к
простою производства.
Экономически эффективным принято считать такой способ
производства, при котором фирма не может увеличить выпуск продукции без
увеличения расходов на ресурсы и одновременно не может обеспечить тот же
объем выпуска, используя меньшее количество ресурсов одного типа и не
увеличивая при этом затраты на другие ресурсы. Эффективность предприятия
выражается в его способности производить максимальный объем продукции
приемлемого качества с минимальными затратами и продавать эту продукцию с
68
наименьшими издержками. В отличие от технической, экономическая
эффективность зависит от того, насколько продукция компании соответствует
требованиям рынка, запросам потребителей.
Одной из важных составляющих является эффективность капитальных
вложений. Она выражается отношением полученного эффекта к капитальным
вложениям, вызвавшим этот эффект и измеряется набором показателей, в
который входит общий эффект капитальных вложений, норма их доходности,
срок окупаемости, сравнительная эффективность и др. Эти показатели
используются для сопоставления альтернативных инвестиционных проектов и
выбора оптимального проекта [16].
Рассмотрим и определим показатели экономической эффективности и
методику их расчета для проекта модернизации существующей системы
информационной безопасности компании ООО «Интер-Прайс».
В основе описания экономической эффективности помимо других
подходов, может быть положено сопоставление существующего и внедряемого
технологических процессов (базового и проектного вариантов), анализ затрат,
необходимых для выполнения всех операций технологического процесса. В
случае, если ВКР изменяет не всю технологию обработки, а только некоторые
ее этапы, необходимо сопоставить операции этих этапов, иными словами
необходимо рассчитать затраты на разработку проекта. Выводы об
экономической эффективности делаются на основе вычисленных
экономических показателей.
Эффективность определяется с помощью различных показателей, при
этом сопоставляются данные, выражающие эффект (прибыль, объем
производства, экономия от снижения издержек) с затратами обеспечивающими
этот эффект (капитальные вложения, текущие издержки). При решении
экономических задач определяется результативность каждого предприятия и
производится сопоставление различных результатов.
Различают два вида экономической эффективности:
69
абсолютную – соотношение результатов экономической деятельности
и затрат для достижения этих результатов.
сравнительную – показывает изменение результатов экономической
деятельности по отношению к уже достигнутым результатам.
Расчет экономического эффекта и эффективности защиты информации
основывается на выявлении ущерба, нанесенного владельцу информации
противоправным ее использованием и позволяет оценить результативность
защиты информации. Проведя анализ результатов расчетов, возможно внести
изменения в систему защиты информации для более эффективной ее защиты,
недопущения разглашения охраняемой информации в дальнейшем, т.к.
разглашение данной информации влечет за собой огромные убытки (ущерб) от
контрафактного ее использования злоумышленником.
В ущерб входит также потерянная владельцем информации выгода
вследствие противоправного использования данной информации. При расчетах
данного ущерба применяются:
действительные цены на товары и услуги;
установленные законодательством нормативы платы за ресурсы;
установленные законодательством нормативы налогов;
правила и нормы расчетов физических и юридических лиц с банками;
ставки выплат установленных аналитическим путем для
лицензионных платежей;
официальный курс котировки валют.
Поскольку осуществляемые затраты и получаемые результаты в течение
всего срока противоправного использования информации неравноценны, то при
расчетах осуществляется приведение к единому расчетному году.
При расчете экономической эффективности защиты информации будем
использовать следующие формулы:
П
t
= (R
t
- С
t
- H
t
)a
t
(3.1)
где П
t
- прибыль, оставшаяся в распоряжении нарушителя прав в течении
года t;
70
R
t
– выручка от реализации продукции, созданной на базе
противоправного использования информации в году t;
C
t
– себестоимость продукции, выпущенной в году t;
H
t
– общая сумма налогов и других выплат, которые были произведены в
году t.
a = (1+Е)
tp-t
(3.2)
где
a - коэффициент приведения разновременных результатов;
t
p
- год расчета;
Е - коэффициент доходности капитала;
t - текущий год.
Коэффициент рентабельности (доходности) собственного капитала
характеризует эффективность использования капитала и показывает, сколько
предприятие имеет чистой прибыли с рубля авансированного в капитал.
РенКап = ЧисПриб/ Капит (3.3)
N
П
T
=å (П
t
* a
t
) (3.4)
t=1
П
T
- прибыль, оставшаяся в распоряжении злоумышленника за период
использования на внутреннем рынке;
П
t
- прибыль, оставшаяся в распоряжении злоумышленника в течении
года t;
a - коэффициент приведения разновременных результатов.
D
э
= Z
э
· К
в
- З
э
(3.5)
D
э
- доход от экспорта контрафактной продукции. Ущерб владельца
информации;
Z
э
– валютная стоимость от экспорта продукции;
К
в
- курс валюты на дату расчета;
З
э
- затраты на изготовление экспортной продукции.
Р
общ
= D
Э
+ П
Т
(3.6)
71
Р
общ
– общий ущерб владельца информации;
D
Э
– ущерб владельца информации, понесенный при экспорте
контрафактной продукции;
П
Т
– прибыль, оставшаяся в распоряжении похитителя информации за
период использования на внутреннем рынке.
Упр = Ср · Робщ (3.7)
У
пр
– ущерб, понесенный владельцем информации из-за утраты
возможности получения дохода на основе лицензионного соглашения;
С
р
– среднестатистическая ставка роялти, дается в процентах от годовой
прибыли;
Р
общ
– общий ущерб владельца информации.
Р
сум
= У
пр
+ Р
общ
(3.8)
Р
сум
– стоимостная оценка предотвращенного ущерба;
У
пр
– ущерб, понесенный владельцем информации из-за утраты
возможности получения дохода на основе лицензионного соглашения.
Э
ЗИ
=
Рсум
(3.9)
ЗЗИ
Э
ЗИ
– эффективность ЗИ;
Рсум – стоимостная оценка предотвращенного ущерба;
З
ЗИ
– суммарные затраты на защиту информации. [21]
Для того, чтобы обосновать экономическую выгоду от внедрения
усиленной защиты информации, будем опираться на стоимость разработки и
внедрения комплекса мероприятий по повышению информационной
безопасности в компании.
Теперь определим программное обеспечение, с помощью которого будем
производить расчеты значений показателей. Для этого рассмотрим
существующие способы.
Исходя из небольшой численности и относительной простоты выбранных
формул для расчета экономической эффективности, при расчете показателей
эффективности будем пользоваться редактором электронных таблиц MS Excel.