72
рабочих мест с доступом в интернет. Данные абонентские пункты будут связаны
друг с другом посредством защищенного соединения для обмена информацией.
На рис. 2.2 приведена структура ЛВС [21] УМВД по Курганской области.
Рис. 2.2 - Структура ЛВС УМВД по Курганской области
Для обеспечения безопасности важных ресурсов сети они выделяются в
отдельные сегменты DMZ. Данная организация позволяет регламентировать и
разграничить доступ пользователей к информационным ресурсам сети.
Подсети, имеющие доступ к сети общего пользования, защищены с
помощью сетевого экрана.
На рис. 2.3 приведена схема внутренней организации сети УМВД по
Курганской области.
73
Рис. 2.3 - Схема внутренней организации сети УМВД по Курганской области
Как видно из схемы все сервера сети УМВД по Курганской области
выделены в отдельный сетевой сегмент. Доступ к серверам с рабочих станций
сети строго регламентирован и разграничен.
Помимо этого на всех рабочих станциях установлены дополнительные
средства разграничения доступа – электронный замок «Соболь».
На основании п.2.1 и п.2.2 разработана общая структура информационной
безопасности ЛВС УМВД по Курганской области (рис. 3.1).
Состав подсистем был сформирован исходя из класса защищенности ИС
УМВД по Курганской области, а также требований Приказа Федеральной службы
по техническому и экспортному контролю от 11 февраля 2013 г. N 17 к
требуемому комплексу мероприятий по ИБ для данного класса защищенности.
74
Рис. 2.4 – Структура информационной безопасности ЛВС УМВД по Курганской области
75
III Обоснование экономической эффективности проекта
3.1 Выбор и обоснование методики расчёта экономической эффективности
Исходной посылкой при экономической эффективности является почти
очевидное предположение: с одной стороны, при нарушении защищенности
информации наносится некоторый ущерб, с другой - обеспечение защиты
информации сопряжено с расходованием средств. Полная ожидаемая стоимость
защиты может быть выражена суммой расходов на защиту и потерь от ее
нарушения.
Очевидно, что оптимальным решением было бы выделение на защиту
информации средств, минимизирующих общую стоимость работ по защите
информации.
Также очевидно, что экономическая эффективность мероприятий по
защите информации может быть определена, через объем предотвращенного
ущерба или величину снижения риска для информационных активов организации.
Для определения экономического эффекта от внедрения системы ИБ в
ГУМВД по Курганской области воспользуемся первым вариантом (через объем
предотвращенного ущерба), так как известны ожидаемые потери при нарушении
защищенности информации и зависимость между уровнем защищенности и
средствами, затрачиваемыми на защиту информации.
Результаты расчетов для активов ГУМВД по Курганской области
представлены в таблице 3.1.
Таблица 3.1
Возможная величина ущерба до внедрения системы ИБ
Актив
Угроза
Ущерб
(тыс.руб.)
Оперативные справки
Намеренное повреждение
900
Кража
1400
Материалы дел
Кража
2400
76
Актив
Угроза
Ущерб
(тыс.руб.)
Несанкционированное
использование носителей
данных
700
Нелегальное проникновение
злоумышленников под видом
санкционированных
пользователей
800
Ошибка операторов
60
Заключения криминалистов
Кража
150
Сервер БД
Кража
90
Информационная система
«1С: Предприятие»
Намеренное повреждение
60
Вредоносное программное
обеспечение
30
Неисправности в системе
электроснабжения
10
Аппаратные отказы
10
Ошибка обслуживающего
персонала
5
Ошибка при обслуживании
5
Программные сбои
5
Ошибка операторов
5
Сбои в функционировании
услуг связи
5
Колебания напряжения
2
Затопление
60
Суммарная величина потерь
6697
77
3.2 Расчёт показателей экономической эффективности проекта
Ресурс, выделяемый на защиту информации, может иметь разовый и
постоянный характер.
Разовый ресурс расходуется на закупку, установку и наладку
дорогостоящей техники.
Постоянный ресурс — на заработную плату сотрудникам службы
безопасности и поддержание определенного уровня безопасности, прежде всего,
путем эксплуатации технических средств и контроля эффективности защиты.
Для определения экономической эффективности системы защиты
информации ГУМВД по Курганской области необходимы следующие данные:
расходы (выделенные ресурсы) на создание/модернизацию данной
системы и поддержание её в работоспособном состоянии;
величины потерь (рисков), обусловленных угрозами информационным
активам после внедрения/модернизации системы защиты информации;
Содержание и объеме разового ресурса, выделяемого на защиту
информации приведен в таблице 3.2.
Таблица 3.2
Возможная величина ущерба после внедрения системы ИБ
Организационные мероприятия
№
п\п
Выполняемые действия
Среднечасовая
зарплата
специалиста (руб.)
Трудоемкость
операции
(чел.час)
Стоимость,
всего (руб.)
1
Установка замков
«Соболь»
150
100
15000
2
Проведение обучающих
занятий с сотрудниками
ГУМВД по Курганской
области
200
20
4000
78
3
Настройка Microsoft
Active Directory
200
16
3200
4
Настройка Microsoft
Intelligent Application
Gateway (IAG)
200
16
3200
5
Настройка Microsoft
Baseline Security
Analyzer (MBSA)
200
8
1600
Стоимость проведения организационных мероприятий, всего
25000
Перечень затрат на ПиАСИБ приведен в таблице 3.3.
Таблица 3.3
Перечень затрат на ПиАСИБ
№
п/п
Номенклатура
Стоимость,
единицы (руб)
Кол-во
(ед.измерения)
Стоимость,
всего (руб.)
eToken
1
Замок «Соболь»
1000
20
20000
Стоимость проведения мероприятий инженерно-технической защиты
20000
Объем разового ресурса, выделяемого на защиту информации
45000
Объеме постоянного ресурса, выделяемого на защиту информации,
приведен в таблице 3.3.
Таблица 3.3
Объем постоянного ресурса
Организационные мероприятия
№
п\п
Действия
Среднечасовая
зарплата
специалиста (руб.)
Трудоемкость
операции
(чел.час)
Стоимость,
всего (руб.)
79
1
Дежурство по ТСО
100
720
72000
2
Дежурство
администратора сети
200
270
54000
3
Аудит работы ИС
200
30
6000
4
Выполнение плановых
мероприятий по ИБ
200
10
2000
Стоимость проведения организационных мероприятий, всего
134000
Мероприятия инженерно-технической защиты
№
п/п
Номенклатура
Стоимость,
единицы (руб)
Кол-во
(ед.измерения)
Стоимость,
всего (руб.)
1
Запасные замки
1000
5
5000
2
Резервные рабочие
станции
20000
10
200000
3
Резервные сервера
80000
1
80000
4
Резервные файерволы
300
20
6000
5
Резервные носители
информации
200
20
4000
Стоимость проведения мероприятий инженерно-технической
защиты
302000
Объем постоянного ресурса, выделяемого на защиту информации
433000
Суммарный объем выделенного ресурса составил: 45000+433000=478000
рублей.
Рассчитанная величина ущерба составила: 6697000 рублей.
Тем не менее, часть угроз является маловероятными и ими можно
пренебречь, таковыми, например, являются стихийные бедствия (потопы,
ураганы).
Величина потерь для активов предприятия после внедрения системы ИБ
приведена в таблице 3.4.
80
Таблица 3.4
Величина потерь для активов предприятия
Актив
Угроза
Ущерб
(тыс.руб.)
Оперативные справки
Намеренное повреждение
400
Кража
20
Материалы дел
Кража
80
Несанкционированное
использование носителей
данных
70
Нелегальное проникновение
злоумышленников под видом
санкционированных
пользователей
80
Ошибка операторов
60
Заключения криминалистов
Кража
50
Сервер БД
Кража
60
Информационная система
«1С: Предприятие»
Намеренное повреждение
50
Вредоносное программное
обеспечение
20
Неисправности в системе
электроснабжения
10
Аппаратные отказы
10
Ошибка обслуживающего
персонала
5
Ошибка при обслуживании
5
Программные сбои
5
Ошибка операторов
5
81
Актив
Угроза
Ущерб
(тыс.руб.)
Сбои в функционировании
услуг связи
5
Колебания напряжения
2
Затопление
60
Суммарная величина потерь
997
Динамику величин потерь за 2 года с использование СЗИ и без
использования СЗИ приведена в таблице 3.5.
Таблица 3.5
Динамика величин потерь за 2 года
1 кв.
2 кв.
3 кв.
1 год
1 кв.
2 кв.
3 кв.
2 год
До внедрения
СЗИ
1674250
3348500
5022750
6697000
8371250
10045500
11719750
13394000
После
внедрения
СЗИ
249250
498500
747750
997000
1246250
1495500
1744750
1994000
Снижение
потерь
1425000
2850000
4275000
5700000
7125000
8550000
9975000
11400000
Таким образом, период окупаемости, рассчитываемый по формуле
Т
ок
= R
∑
/ (R
ср
– R
прогн
) (3.3)
Составляет Т
ок
= 478000 / (7534125 - 6697000) = 478000 / 837125 = 0,57 года
На рисунке 3.1 приведена динамика потерь.