82
где:
Si – коэффициент, означающий возможную частоту возникновения
соответствующих рисков;
Vi – коэффициент, означающий величину возможного ущерба при ее
возникновении. При выполнении дипломного проекта необходимо использовать
следующие значения коэффициентов Si и Vi, приведенные в таблице 15.
Таблица 15
Значения коэффициентов Si и Vi
Ожидаемая (возможная)
частота появления угрозы
Предполагаемое значение Si
Почти никогда
0
1 раз в 1000 лет
1
1 раз в 100 лет
2
1 раз в 10 лет
3
1 раз в год
4
1 раз в месяц (примерно, 10 раз в год)
5
1-2 раза в неделю (примерно 100 раз в год)
6
3 раза в день (1000 раз в год)
7
Значение возможного ущерба
при проявлении угрозы, руб.
Предполагаемое значение Vi
30
0
300
1
3000
2
30000
3
300000
4
3000000
5
30000000
6
300000000
7
83
Выбранные для расчетов коэффициенты, взяты на основании,
статистических данных в архиве конструкторской документации в ООО «Паритет-
Информ», и у руководства Технического центра в ОТД (отделе технической
документации).
Ri1 = 10
(4+5-4) =
100 000
Ri2 = 10
(5+4-4)
= 100 000
Ri3 = 10
(3+5-4)
= 10 000
Ri4 = 10
(5+4-4)
= 100 000
Ri5 = 10
(3+5-4)
= 10 000
Ri6 = 10
(5+3-4)
= 10 000
Ri7 = 10
(5+3-4)
= 10 000
Ri8 = 10
(5+3-4)
= 10 000
Теперь определим суммарную величину потерь по формуле:
R =
R = 350 000 (руб.) Полученное значения приведены в таблице 16.
N
i
Ri
1
84
Таблица 16
Величины потерь (рисков) для критичных информационных ресурсов до
внедрения/модернизации системы защиты информации
Актив
Угроза
Величина потерь
(руб.)
Сервера
Кража, повреждения
100 000
Базы данных
Несанкционированный доступ
(кража)
100 000
Программное
обеспечение
Несанкционированный доступ
(кража)
10 000
Документы
Кража, повреждения
100 000
Пользовательские
компьютеры
Кража, повреждения
10 000
Внешние хранилища
Кража, повреждения
10 000
Идентификационные
данные пользователей
Кража
10 000
Связь
Повреждение, диверсия
10 000
Суммарная величина потерь
350 000
85
3.2 Расчёт показателей экономической эффективности проекта
Риск владельца информации зависит от уровня инженерно-технической
защиты информации, который, в свою очередь, определяется ресурсами системы.
Ресурс может быть определен как число людей, притягиваемых к защите
информации, в виде инженерных конструкций и технических средств,
используемых для защиты денежных сумм, чтобы вести людей, строительство,
развитие и приобретение технического оборудования, их деятельности и прочие
расходы. Наиболее распространенной формой представления ресурса является
денежной мерой. Ресурсы, выделяемые на защиту информации, могут быть
одноразовой и постоянной
Разовый ресурс расходуется на закупку, установку и наладку
дорогостоящего оборудования.
Постоянный ресурс - заработная плата сотрудникам службы безопасности и
поддержание определенного уровня безопасности, особенно за счет эксплуатации
технических средств и контроля эффективности защиты.
Таким образом, для определения экономической эффективности защиты
информационной системы предприятия необходимы следующие данные:
затраты ресурсы, выделенные для создания / модернизации системы и
поддерживать систему в хорошем рабочем состоянии;
величина потерь (рисков), связанных с угрозами информационных активов
после введения / модернизации систем информационной безопасности;
Данные по ресурсам необходимым для информационной безопасности
представлены в таблицах 17 и 18.
86
Таблица 17
Содержание и объем разового ресурса, выделяемого на защиту информации
Организационные мероприятия
№
п\п
Выполняемые действия
Среднечасов
ая зарплата
специалиста
(руб.)
Трудоемкость
операции
(чел. час)
Стоимость,
всего (руб.)
1
Закупка утвержденных
начальником отдела
безопасности и руководством
ПиАСИБ
300
8
2400
2
Монтаж и установка аппаратных
и программных СЗИ
200
24
4800
3
Настройка и отладка
установленных средств
информационной безопасности
300
8
2400
4
Проведение занятий по обучению
и использованию данных СЗИ с
сотрудниками отдела
350
4
1400
5
Контроль и мониторинг
работоспособности системы
защиты информации
150
88
13200
Стоимость проведения организационных мероприятий, всего
24200
Мероприятия инженерно-технической защиты
№
п/п
Номенклатура ПиАСИБ,
расходных материалов
Стоимость,
единицы
(руб.)
Кол-во (ед.
измерения)
Стоимость,
всего (руб.)
1
Цветная купольная видеокамера
MDC-H7290VTD
13227
6
79362
87
2
PVDR-16WDS2 rev.D
Мультигибридный 16-ти
канальный видеорегистратор -
AHD+IP+аналог
21026
1
21026
3
"Гром-ЗИ-4Б", система защиты
информации
11000
4
44000
4
Жесткий диск
Seagate ST4000VM000
12760
2
25520
Стоимость проведения мероприятий инженерно-технической защиты
169908
Объем разового ресурса, выделяемого на защиту информации
194108
Таблица 18
Содержание и объем постоянного ресурса, выделяемого на защиту
информации
Организационные мероприятия
№
п\п
Выполняемые действия
Среднечасовая
зарплата
специалиста
(руб.)
Трудоемкость
операции
(чел. час)
Стоимость,
всего (руб.)
1
Выполнение плановых
мероприятий администратора
информационной безопасности
(сотрудника отдела
безопасности)
200
88
17600
2
Физическая охрана помещений,
где установлены СЗИ
200
22
4400
3
Своевременное обслуживания
программных и аппаратных
средств защиты информации
350
4
1400
Стоимость проведения организационных мероприятий, всего
23400
Мероприятия инженерно-технической защиты
88
№
п/п
Номенклатура ПиАСИБ,
расходных материалов
Стоимость,
единицы (руб.)
Кол-во
(ед.измере
ния)
Стоимость,
всего (руб.)
1
Цветная купольная видеокамера
MDC-H7290VTD
13227
2
26454
2
"Гром-ЗИ-4Б", система защиты
информации
11000
1
11000
Стоимость проведения мероприятий инженерно-технической защиты
37454
Объем постоянного ресурса, выделяемого на защиту информации
60854
Общая стоимость ресурсов, выделяемых на информационную безопасность
на основе расчетов: 194108 + 60854 = 254962 (руб.)
Рассчитанная величина ущерба составила: 350000 (руб.)
Прогнозируемые данные о величине потерь (рисков) для критически важных
информационных ресурсов, прошедших введения / обновления системы защиты
информации, приведены в таблице 19. Данные получены, после анализа работы
программных и аппаратных систем защиты информации, в предприятии, после
одного года службы. Статистические данные выданы Заместителем Начальника
Технического центра и Начальником отдела технической (конструкторской)
документации.
89
Таблица 19
Величины потерь (рисков) для критичных информационных ресурсов
после внедрения/модернизации системы защиты информации
Актив
Угроза
Величина потерь
(руб.)
Сервера
Кража, повреждения
40000
Базы данных
Несанкционированный доступ
(кража)
2000
Программное
обеспечение
Несанкционированный доступ
(кража)
10000
Документы
Кража, повреждения
2000
Пользовательские
компьютеры
Кража, повреждения
4000
Суммарная величина потерь
58000
После того как были приняты обязательные допущения о неизменности
частоты появления угроз, а также о неизменном уровне надежности созданной
системы защиты информации, возможно, определить срок окупаемости системы
(Ток). Это выполняется аналитическим способом, с использованием показанной
ниже формулы 2:
Формула 2
где:
(R∑) - суммарное значение ресурса выделенного на защиту информации =
254962
(Rср) - объем среднегодовых потерь предприятия из-за инцидентов
информационной безопасности в периоде одного года до введения системы защиты
информации = 350 000
(Rпрогн) - прогнозируемый ежегодный объем потерь, после введения СЗИ =
58 000
Ток = 254962 / (350 000 - 58 000) = 254962 / 292000 = 0.8 (года)
90
Также необходимо оценить изменение величин потерь за период, но не
менее одного года:
Таблица 20
Оценка динамики величин потерь
1 кв.
2 кв.
3 кв.
1 год
До внедрения СЗИ
87 500
175 000
262 500
350 000
После внедрения СЗИ
14 500
29 000
43 500
58 000
Снижение потерь
73 000
146 000
219 000
292 000
Графическое представление о динамике потерь представлена на рисунке 11:
Рис 14. Диаграмма динамики потерь.
91
ЗАКЛЮЧЕНИЕ
После рассмотрения, как теоретических, в первой главе, так и практических,
во второй и третьей главах, аспектов выбранной мной темы выпускной
квалификационной работы, мы можем сделать вывод, что правильное и безопасное
хранение информации, а так же соблюдение ее целостности от промышленного
шпионажа, вымогательства, поддержки преступных организаций, вандализма,
отмщения, хвастовства, то есть использование во вред предприятия, как внешними,
так и внутренними нарушителями, является одной из самых важных и
первостепенных задач ООО «Паритет-Информ».
В моей выпускной квалификационной работе были решены проблемы с
обеспечением информационной безопасности в помещениях предприятия ООО
«Паритет-Информ». Благодаря установленным видеокамерам в снимаемом
предприятием помещении, была почти полностью устранена возможность потери
информации, и подмена, либо искажение, печатных и электронных документов или
иных данных. Так же, благодаря выбранным камерам была многократно снижена
вероятность кражи из помещений оборудования, как раньше, как внутренняя, так и
внешняя кража. А благодаря, установленным, генераторам шума была устранена
возможность чтения информации из побочных электромагнитных излучений, что
сделало утечку информации практически полностью невозможным.
Решения, которые мы приняли, оборудование, которое мы установили,
оказались весьма продуктивными и востребованным для данного предприятия, в то
время как затраты на потраченные ресурсы окупились менее чем за год. И в
конечном итоге можно сделать вывод о том, что данная выпускная
квалификационная работа окупает себя полностью и готова к применению в
организациях, подобных ООО «Паритет – Информ».