55
Затопление
307 600
Хищение носителей информации или документов
103 600
Объект
Угроза
Величина
потерь
(тыс.руб.)
Оборудование
Тайные действия с программными средствами
133 600
Фальсификация прав
13 600
Ухудшение состояния носителей данных
30 000
Сбой программных средств
13 600
Разрушение оборудования или носителей данных
43 600
Перехват информации
120 000
Дистанционный шпионаж
120 000
Потеря электропитания
133 600
Образование пыли, коррозия, замерзание
60 000
Отказ телекоммуникационного оборудования
120 000
Злоупотребление правами
40 000
Отказ в осуществлении деятельности
133 600
Отказ оборудования
120 000
Ошибка в использовании
43 600
Нелегальная обработка данных
60 000
Хищение оборудования
103 600
Тайные действия с программными средствами
43 600
Фальсификация прав
43 600
Ухудшение состояния носителей данных
103 600
Сбой программных средств
13 600
Разрушение оборудования или носителей данных
103 600
Нарушение работоспособности персонала
63 200
Перехват информации
133 600
Дистанционный шпионаж
133 600
Потеря электропитания
13 600
Отказ телекоммуникационного оборудования
133 600
Данные
информационных
систем
Злоупотребление правами
50 000
Нарушение обслуживания информационной
системы
93 600
Порча данных
13 600
Отказ в осуществлении деятельности
13 600
Отказ оборудования
80 000
Ошибка в использовании
13 600
Нелегальная обработка данных
50 000
Хищение оборудования
93 600
Хищение носителей информации или документов
93 600
Тайные действия с программными средствами
13 600
Фальсификация прав
50 000
Ухудшение состояния носителей данных
13 600
Сбой программных средств
13 600
Разрушение оборудования или носителей данных
13 600
Перехват информации
50 000
Дистанционный шпионаж
50 000
Потеря электропитания
80 000
Отказ телекоммуникационного оборудования
80 000
Затопление
99 600
Образование пыли, коррозия, замерзание
113 200
56
Объект
Угроза
Величина
потерь
(тыс.руб.)
Финансовые
документы
Злоупотребление правами
50 000
Нарушение обслуживания информационной
системы
4 640
Порча данных
4 640
Отказ в осуществлении деятельности
4 640
Отказ оборудования
5 000
Ошибка в использовании
4 640
Нелегальная обработка данных
50 000
Хищение оборудования
54 640
Хищение носителей информации или документов
54 640
Тайные действия с программными средствами
4 640
Фальсификация прав
4 640
Ухудшение состояния носителей данных
4 640
Сбой программных средств
4 640
Финансовые
документы
Разрушение оборудования или носителей данных
4 640
Нарушение работоспособности персонала
4 640
Перехват информации
50 000
Дистанционный шпионаж
50 000
Потеря электропитания
4 640
Отказ телекоммуникационного оборудования
4 640
Затопление
4 640
Образование пыли, коррозия, замерзание
4 640
Суммарная величина потерь
4 098 040
По результатам расчета суммарная величина потерь составляет 4 098
040 рублей.
Для расчета показателей экономической эффективности проекта
противодействия угрозам информационной безопасности организации со
стороны собственного персонала необходимо учитывать, что величина рисков
информационной безопасности организации обратно пропорциональна
уровню инженерно-технической защиты информации. Уровень инженерно-
технической защиты задается ресурсами системы обеспечения безопасности
информации.
Ресурсы системы защиты информации могут быть представлены в
виде:
1. Штата персонала, которые обеспечивают защиту информации. К
ним относятся: сотрудники службы безопасности, сотрудники отдела кадров и
сотрудники ИТ-отдела.
57
2. Технических средств и инженерных конструкций,
обеспечивающих защиту конфиденциальных данных.
3. Суммы финансовых вложений, которые включают затраты на
оплату труда персонала, услуг по строительству, разработке и приобретению
средств защиты информации, затрат на эксплуатацию средств защиты и т.д.
Наиболее наглядной единицей измерения эффективности вложений в
информационную безопасность является величина денежных
средств.Выделение ресурсов для осуществления защиты информации может
случаться единовременно или требовать периодического вложения денежных
средств.
Единовременные затраты могут представлять стоимость услуг по
приобретению, установке и настройке технических средств.
К постоянным затратам относятся затраты:
1. Оплату труда сотрудников отдела безопасности, отдела кадров и
ИТ-отдела.
2. Поддержка заданного уровня безопасности организации.
3. Эксплуатацию средств защиты информации.
Следовательно, осуществление расчета показателей экономической
эффективности проекта будет основано на следующих показателях:
1. Величина расходов на создание системы и поддержки ее в
работоспособном состоянии.
2. Величины рисков осуществления угроз безопасности
информационных активов организации после внедрения средств защиты.
Рассмотрим состав единовременных затрат для обеспечения защиты
информационной безопасности. Состав затрат представлены в таблице 10.
Таблица 10
Содержание и объем разового ресурса, выделяемого на защиту
информации
Организационные мероприятия
58
№
п\п
Выполняемые действия
Среднечасовая
зарплата
специалиста
(руб.)
Трудоемкость
операции
(чел-час)
Стоимость
, всего
(тыс.руб.)
1
Создание Положений о
структурных
подразделениях
340
20
6 800
№
п\п
Выполняемые действия
Среднечасовая
зарплата
специалиста
(руб.)
Трудоемкость
операции
(чел-час)
Стоимость
, всего
(тыс.руб.)
2
Разработка планов по
материальному
стимулированию и
предоставлению
социальных гарантий
персоналу
340
20
6 800
3
Внесение изменений в
Политику информационной
безопасности
340
20
6 800
4
Разработка Положения о
реагирования на инциденты
информационной
безопасности
340
20
6 800
5
Проведение ознакомления
сотрудников с документами
340
16
5 440
6
Подготовка Приказов о
введении документов
340
24
8 160
Стоимость проведения организационных мероприятий, всего
40 800
Мероприятия программно-аппаратной защиты
№
п/п
Номенклатура ПиАСИБ,
расходных материалов
Стоимость,
единицы
(руб.)
Кол-во
(ед.измерени
я)
Стоимость
, всего
(тыс.руб.)
1
Приобретение системы
«SysWatchDeluxe»
150 000
1
150 000
2
Приобретение турникетов для
ограничения доступа в
помещение
160 000
1
160 000
3
Приобретение системы
видеонаблюдения
60 000
1
60 000
Установка и настройка
программного обеспечения
(самостоятельная установка и
настройка специалистами
компании, затраты в час)
340
16
5 440
Стоимость проведения мероприятий инженерно-технической защиты
357 440
Объем разового ресурса, выделяемого на защиту информации
398 240
Ввод в действие комплекса мер по обеспечению безопасности
организации со стороны собственного персонала влекут за собой
59
необходимость периодического вложения денежных средств в поддержку
системы обеспечения информационной безопасности. Рассмотрим состав
постоянного объема ресурса, который будет выделяться на защиту
информации (см. табл. 11).
Таблица 11
Содержание и объем постоянного ресурса, выделяемого на защиту
информации
Организационные мероприятия
№
п\п
Выполняемые действия
Среднечас
овая
зарплата
специалис
та (руб.)
Трудоемкость
операции
(чел-час)
Стоимость
, всего
(тыс.руб.)
1
Контроль уровня кадровой
безопасности организации
340
16
5 440
2
Составление отчета по уровню
безопасности
340
4
1 360
3
Разработка плана мероприятий
по устранению угроз
безопасности информации со
стороны собственного персонала
340
32
10 880
Стоимость проведения организационных мероприятий, всего
17 680
Мероприятия программно-аппаратной защиты
№
п/п
Номенклатура ПиАСИБ,
расходных материалов
Стоимость,
единицы
(тыс. руб.)
Кол-во
(ед.измерения
)
Стоимость
, всего
(тыс.руб.)
1
Проверка работоспособности
системы
340
1
340
2
Установка и настройка модулей
защиты
340
3
1 020
3
Стоимость продления лицензий
80 000
1
80 000
4
Услуги по продлению лицензий
340
1
340
Стоимость проведения мероприятий инженерно-технической защиты
81 700
Объем постоянного ресурса, выделяемого на защиту информации
99 380
На основании проведенных расчетов можно заключить, что сумма
единовременных затрат на обеспечение необходимого уровня защиты
информации организации со стороны собственного персонала составляет 398
240 рублей. Из них сумма организационных затрат составила 40 800 рублей, а
бюджет мероприятий программно-аппаратной защиты составил 357 440
рублей.
Сумма постоянных затрат на обеспечение безопасности информации со
стороны собственного персонала составляет 99 380 рублей, из них сумма,
60
которая должна выделяться ежегодно на организационные мероприятия
составляет 17 680 рублей. На мероприятия поддержки инженерно-
технической защиты необходимо потратить 81 700 ежегодно.
Чтобы оценить экономическую эффективность инвестиций в
обеспечение безопасности организации со стороны собственного персонала
применяют метод вычисления показателей, позволяющих осуществить оценку
экономической эффективности инвестиционных проектов, направленных на
обеспечение безопасности со стороны собственного персонала.
Расчет экономической эффективности базируется на следующем
утверждении: с одной стороны, нарушения функций защиты
конфиденциальных данных влекут за собой нанесение ущерба, с другой
стороны, чтобы обеспечить защиту информации, необходимо произвести
финансовые вложения. Сумма полной ожидаемой стоимости защиты
информации равна сумме произведенных расходов на защиту данных и сумме
потерь от возможного нарушения.
Исходя из перечисленных положений, становится очевидным, что
оптимальное решение заключается в выделении средств на обеспечение
защиты информации, которые минимизировали сумму затрат на обеспечение
защиты информации.
Таким же образом становится очевидным, что оценить сумму
экономического эффекта от проводимых мероприятий, направленных на
защиту информации, можно, сопоставив величину объема предотвращенного
ущерба и степень снижения уровня риска для информационных активов
организации.
Для использования этого метода необходимо учитывать следующие
моменты:
величину ожидаемых потерь при нарушении защиты информации;
зависимость уровня защищенности от средств, которые затрачены
на обеспечение защиты информации.
61
Чтобы вычислить уровень затрат (Ri), который бы обеспечивал
необходимый уровень защищенности информации, необходимо выявить:
полный комплекс угроз информации;
вероятность потенциальной опасности для информации для каждой
из угроз;
сумму затрат, необходимых для нейтрализации угроз.
В связи с тем, что при принятии решения о сумме затрат на
обеспечение безопасности, необходимо принимать во внимание что сумма
затрат должна быть равна сумме ожидаемых при осуществлении угроз
безопасности. Поэтому для расчета суммы затрат нужно с точностью
определить сумму потерь. Для определения этого уровня используется
методика, определяющая уровень затрат в зависимости от уровня возможных
потерь от i-й угрозы информации:
R
i
= 10
(Si + Vi – 4)
, (1)
показатель S
i
характеризует возможную частоту возникновения
соответствующей угрозы;
показатель V
i
обозначает размер возможного ущерба при ее
возникновении.
Величины S
i
и V
i
принимают значения, представленные в таблице 12.
Таблица 12
Значения коэффициентов S
i
и V
i
Ожидаемая (возможная)
частота появления угрозы
Предполагаемое значение S
i
Почти никогда
0
1 раз в 1 000 лет
1
1 раз в 100 лет
2
1 раз в 10 лет
3
1 раз в год
4
1 раз в месяц (примерно, 10 раз в год)
5
1-2 раза в неделю (примерно 100 раз в год)
6
3 раза в день (1000 раз в год)
7
30
0
300
1
3 000
2
Значение возможного ущерба
при проявлении угрозы, руб.
Предполагаемое значение V
i
30 000
3
62
300 000
4
3 000 000
5
30 000 000
6
300 000 000
7
Размер суммарной величины потерь можно вычислить по формуле:
(2)
где коэффициент N обозначает количество угроз информационным
активам.
Произведем вычисление уровня затрат на обеспечение информационно
безопасности компании. Для этого воспользуемся формулой:
R
i
= 10
(Si + Vi – 4)
,
(3)
Для произведения расчетов по этой формуле необходимо знать
значение коэффициента, характеризующего частоту возникновений угроз
безопасности и значение возможного ущерба при возникновении угрозы.
Для угроз, перечисленных в таблице 9, ожидаемая частота появления
равна разу в месяц. Следовательно, коэффициент ожидаемой частоты
появления равен S
i
равен 5.Осуществление угрозы безопасности может
повлечь за собой размер ущерба в пределах 4 098 040 рублей. Значение
коэффициента V
i
для этой суммы рано 5. Вычислим значение величины
уровня затрат:
R
i
= 10
(5 + 5 – 4)
= 10
6
= 1 000 000 рублей.
Значение этого показателя превышает уровень ежегодных затрат на
поддержку уровня безопасности компании. Следовательно, уровень
возможного ущерба от реализации угроз со стороны собственного персонала
выше чем сумма вложений на предотвращение угроз безопасности. Отсюда
можно сделать вывод, что вложения в защиту организации от угроз со
стороны собственного персонала выгодными.
Для проведения расчета эффективности внедрения мер по защите
информации организации со стороны собственного персонала необходимо
получить прогнозируемые данные о величине потерь (рисков) для критичных
информационных ресурсов после внедрения/модернизации системы защиты.
N
=i
RiR
1
63
Величины потерь после внедрения системы обеспечения информационной
безопасности рассчитана по формуле:
Величина потерь после внедрения СЗИ = Вероятность осуществления
угрозы * величину потерь до внедрения СЗИ, (4)
При этом вероятность осуществления угроз была принята за 63%.
Расчет величины потерь представлены в таблице 13.
Таблица 13
Сумма ущерба после модернизации системы защиты информации
Объект
Угроза
Величина
потерь
(тыс.руб.)
Товарно-
материальные
ценности
Злоупотребление правами
31 500
Нарушение обслуживания информационной
системы
8 568
Порча данных
31 500
Отказ в осуществлении деятельности
8 568
Отказ оборудования
8 568
Ошибка в использовании
8 568
Нелегальная обработка данных
31 500
Хищение оборудования
31 500
Затопление
193 788
Хищение носителей информации или документов
65 286
Тайные действия с программными средствами
84 168
Фальсификация прав
8 568
Ухудшение состояния носителей данных
18 900
Сбой программных средств
8 568
Разрушение оборудования или носителей данных
27 468
Перехват информации
75 600
Дистанционный шпионаж
75 600
Оборудование
Потеря электропитания
84 168
Образование пыли, коррозия, замерзание
37 800
Отказ телекоммуникационного оборудования
75 600
Злоупотребление правами
25 200
Отказ в осуществлении деятельности
84 168
Отказ оборудования
75 600
Ошибка в использовании
27 468
Нелегальная обработка данных
37 800
Хищение оборудования
65 268
Тайные действия с программными средствами
27 468
Фальсификация прав
27 468
Ухудшение состояния носителей данных
65 268
Сбой программных средств
8 568
Разрушение оборудования или носителей данных
65 268
Нарушение работоспособности персонала
39 816
Перехват информации
84 168
Дистанционный шпионаж
84 168
Потеря электропитания
8 568
64
Данные
информацион
ных систем
Злоупотребление правами
31 500
Нарушение обслуживания информационной
системы
58 968
Порча данных
8 568
Отказ в осуществлении деятельности
8 568
Отказ оборудования
50 400
Ошибка в использовании
13 600
Объект
Угроза
Величина
потерь
(тыс.руб.)
Данные
информацион
ных систем
Нелегальная обработка данных
31 500
Хищение оборудования
58 968
Хищение носителей информации или документов
58 968
Тайные действия с программными средствами
8 568
Фальсификация прав
31 500
Ухудшение состояния носителей данных
8 568
Сбой программных средств
8 568
Разрушение оборудования или носителей данных
8 568
Перехват информации
31 500
Дистанционный шпионаж
31 500
Потеря электропитания
50 400
Отказ телекоммуникационного оборудования
50 400
Затопление
62 748
Образование пыли, коррозия, замерзание
71 316
Злоупотребление правами
8 568
Порча данных
8 568
Хищение оборудования
8 568
Тайные действия с программными средствами
8 568
Фальсификация прав
31 500
Ухудшение состояния носителей данных
8 568
Отказ телекоммуникационного оборудования
50 400
Затопление
62 748
Образование пыли, коррозия, замерзание
71 316
Финансовые
документы
Злоупотребление правами
31 500
Нарушение обслуживания информационной
системы
2 923
Порча данных
2 923
Отказ в осуществлении деятельности
2 923
Отказ оборудования
3 150
Ошибка в использовании
2 923
Нелегальная обработка данных
31 500
Хищение оборудования
34 423
Хищение носителей информации или документов
34 423
Тайные действия с программными средствами
2 923
Фальсификация прав
2 923
Ухудшение состояния носителей данных
2 923
Сбой программных средств
2 923
Разрушение оборудования или носителей данных
2 923
Нарушение работоспособности персонала
2 923
Перехват информации
31 500
Дистанционный шпионаж
31 500
Потеря электропитания
2 923