76
Рисунок 24. Вкладка «Журнал»
В результате произведенных действий по внедрению комплексной защиты
компании «AltControl», программная архитектура приобрела вид,
представленный на рисунке 25.
TCP/IP
HTTP
Сервер IBM System
x3100 M4
ПК ИТ-
отдела
Сервер 1С
ПК бухгалтерии,
отдела кадров
1С.ЗУП
1С.Бухгалте
рия 8.2
MS Office
Kaspersky
Google
Chrome
Windows 10
Интернет
Windows 10
Google
Chrome
Kaspersky
MS Office
2013
СКЗИ Крипто
ПРО
ПК отдела маркетинга
и продаж
Windows 10
Google
Chrome
Kaspersky
MS Office
2013
TCP/IP
TCP/IP
TCP/IP
Ubuntu Linux
Kaspersky Endpoint
Security
1С. Склад
SmartStation
Secure Tower
Рисунок 25. Программная архитектура
Техническая архитектура компании, включая изменения, представлена на
рисунке 26.
77
Internet
Серверная комната
28 U
3 U
Seagate
Barracuda
ES.2 1Tb
2 U Патч панель
2 U
Маршрутизатор
D-Link Dir-651
3 U Сервер
Коммутатор
D-Link DGS-1100-24
Сетевая карта
D-Link DFE-520 TX
ПК Сотрудников
Canon
PIXMA MG2440
Рабочие станции
Рисунок 26. Техническая архитектура
78
3. Обоснование экономической эффективности проекта
3.1 Выбор и обоснование методики расчёта экономической
эффективности
Чтобы оценить экономическую эффективность инвестиций в
информационную инфраструктуру организации применяют метод вычисления
показателей, позволяющих осуществить оценку экономической эффективности
инвестиционных проектов, обеспечивающих информационную безопасность
данных.
Расчет экономической эффективности базируется на следующем
утверждении: с одной стороны, нарушения функций защиты конфиденциальных
данных влекут за собой нанесение ущерба, с другой стороны, чтобы обеспечить
защиту информации, необходимо произвести финансовые вложения. Сумма
полной ожидаемой стоимости защиты информации равна сумме произведенных
расходов на защиту данных и сумме потерь от возможного нарушения.
Исходя из перечисленных положений, становится очевидным, что
оптимальное решение заключается в выделении средств на обеспечение защиты
информации, которые минимизировали сумму затрат на обеспечение защиты
информации.
Таким же образом становится очевидным, что оценить сумму
экономического эффекта от проводимых мероприятий, направленных на защиту
информации, можно сопоставив величину объема предотвращенного ущерба и
степень снижения уровня риска для информационных активов организации.
Для использования этого метода необходимо учитывать следующие
моменты:
величину ожидаемых потерь при нарушении защиты информации;
зависимость уровня защищенности от средств, которые затрачены на
обеспечение защиты информации.
Чтобы вычислить уровень затрат (Ri), который бы обеспечивал
необходимый уровень защищенности информации, необходимо выявить:
полный комплекс угроз информации;
79
вероятность потенциальной опасности для информации для каждой из
угроз;
сумму затрат, необходимых для нейтрализации угроз.
В связи с тем, что при принятии решения о сумме затрат на обеспечение
безопасности, необходимо принимать во внимание что сумма затрат должна быть
равна сумме ожидаемых при осуществлении угроз безопасности. Поэтому для
расчета суммы затрат нужно с точностью определить сумму потерь. Для
определения этого уровня используется методика, определяющая уровень затрат
в зависимости от уровня возможных потерь от i-й угрозы информации:
R
i
= 10
(Si + Vi – 4)
, где: (1)
показатель Si характеризует возможную частоту возникновения
соответствующей угрозы;
показатель Vi обозначает размер возможного ущерба при ее
возникновении.
Величины Si и Vi принимают значения, представленные в таблице 12.
Таблица 12
Значения коэффициентов Si и Vi
Ожидаемая (возможная)
частота появления угрозы
Предполагаемое значение
Si
Почти никогда
0
1 раз в 1 000 лет
1
1 раз в 100 лет
2
1 раз в 10 лет
3
1 раз в год
4
1 раз в месяц (примерно, 10 раз в год)
5
1-2 раза в неделю (примерно 100 раз в год)
6
3 раза в день (1000 раз в год)
7
Значение возможного ущерба
при проявлении угрозы, руб.
Предполагаемое значение
Vi
30
0
300
1
3 000
2
30 000
3
300 000
4
3 000 000
5
30 000 000
6
300 000 000
7
80
Размер суммарной величины потерь можно вычислить по формуле:
(2)
где коэффициент N обозначает количество угроз информационным
активам.
Для того чтобы рассчитать показатели экономической эффективности
необходимо рассчитать стоимость осуществления угроз информационной
безопасности компании. Для оценки суммы потерь применяются либо
статистические, либо экспертные методы. При применении первой группы
методов может статистические данные могут отсутствовать или быть
недостаточными или недоступными для процесса принятия решений. Поэтому
для расчета величины потерь был использован методы экспертной оценки.
Оценка величины потерь для серверного оборудования и ПК сотрудников
организации рассчитывается на основании расчета замены оборудования
аналогичными техническими средствами и суммы экономической выгоды от
простоя в работе организации. Сумма серверного оборудования компании
согласно ведомости учета основных средств составляет 500 000 рублей. Сумма
компьютеров сотрудников организации составляют 200 000 рублей. В ходе
применения метода экспертной оценки было принято допущение, что в случае
осуществления природных и антропогенных угроз информационной
безопасности выйдет из строя 30% оборудования. В случае хищения или выхода
из строя серверного оборудования, затраты на замену составят от 30 000 до 90 000
рублей в зависимости от масштабов ущерба. Затраты на восстановление работы
рассчитываются как сумма оплаты труда сотрудников для восстановления
данных. В зависимости от объема утраченных данных может потребоваться до 5
рабочих дней (40 часов) на восстановление данных. При заработной плате 60 тыс.
руб. сумма заработной платы в час составит 340 рублей. На основании этих
данных рассчитаем максимальную сумму величины потерь:
340 * 40 = 13 600 рублей
Сумма упущенной экономической выгоды, рассчитанная методом
экспертной оценки составит 60 000 рублей.
Величина потерь информационной системы складывается из суммы
упущенной экономической выгоды, вызванной неисправностями программного
N
=i
RiR
1
81
обеспечения и технических средств, и из суммы, которая потребуется на
восстановление данных сотрудниками компании. Сумма упущенной выгоды
согласно экспертной оценке составила 80 000 рублей. Затраты на восстановление
работы и данных составят 13 600 рублей.
Величина потерь от осуществления угроз безопасности финансовым
документам складывается из суммы возможных штрафных санкций от
государственных органов, наложенных за отсутствие документов, суммы
упущенной экономической выгоды и суммы затрат на восстановление
документации. Сумма штрафных санкций составляет от 20 до 50 тыс. руб. Сумма
упущенной выгоды согласно экспертной оценке составит 30 000 рублей.
Среднечасовая зарплата бухгалтера составляет 232 рубля. Для восстановления
документации может потребоваться от 4 до 20 часов. Максимальная величина
затрат на восстановление документации составит 4 640 рублей. Результаты
расчета представлены в таблице 13.
Таблица 13
Величины потерь (рисков) для критичных информационных ресурсов
до внедрения/модернизации системы защиты информации
Актив
Угроза
Величина
потерь
(тыс.руб.)
Информационные
системы
Злоупотребление правами
15 000
Нарушение обслуживания информационной системы
80 000
Порча данных
93 600
Отказ в осуществлении деятельности
80 000
Отказ оборудования
80 000
Ошибка в использовании
13 600
Нелегальная обработка данных
10 000
Хищение оборудования
13 600
Хищение носителей информации или документов
13 600
Тайные действия с программными средствами
13 600
Фальсификация прав
13 600
Ухудшение состояния носителей данных
13 600
Сбой программных средств
13 600
Разрушение оборудования или носителей данных
13 600
Нарушение работоспособности персонала
80 000
Перехват информации
20 000
Дистанционный шпионаж
30 000
Потеря электропитания
80 000
Отказ телекоммуникационного оборудования
80 000
Затопление
13 600
82
Продолжение таблицы 13
Актив
Угроза
Величина
потерь
(тыс.руб.)
Серверное
оборудование
Образование пыли, коррозия, замерзание
30 000
Злоупотребление правами
10 000
Отказ в осуществлении деятельности
20 000
Отказ оборудования
20 000
Ошибка в использовании
20 000
Нелегальная обработка данных
15 000
Хищение оборудования
500 000
Тайные действия с программными средствами
30 000
Фальсификация прав
20 000
Ухудшение состояния носителей данных
20 000
Сбой программных средств
5 000
Разрушение оборудования или носителей данных
30 000
Нарушение работоспособности персонала
5 000
Перехват информации
15 000
Дистанционный шпионаж
15 000
Потеря электропитания
13 600
Отказ телекоммуникационного оборудования
13 600
Затопление
90 000
Образование пыли, коррозия, замерзание
30 000
Персональные
компьютеры
сотрудников
Злоупотребление правами
20 000
Нарушение обслуживания информационной системы
20 000
Порча данных
13 600
Отказ в осуществлении деятельности
5 000
Отказ оборудования
13 600
Ошибка в использовании
13 600
Нелегальная обработка данных
5 000
Хищение оборудования
200 000
Хищение носителей информации или документов
50 000
Тайные действия с программными средствами
5 000
Фальсификация прав
5 000
Ухудшение состояния носителей данных
13 600
Сбой программных средств
13 600
Разрушение оборудования или носителей данных
36 600
Перехват информации
10 000
Дистанционный шпионаж
5 000
Потеря электропитания
30 000
Отказ телекоммуникационного оборудования
12 000
Затопление
200 000
Образование пыли, коррозия, замерзание
20 0000
Финансовые
документы
Злоупотребление правами
40 000
Нарушение обслуживания информационной системы
2 000
Порча данных
2 000
Отказ в осуществлении деятельности
50 000
Отказ оборудования
10 000
Ошибка в использовании
1 000
83
Продолжение таблицы 13
Актив
Угроза
Величина
потерь
(тыс.руб.)
Финансовые
документы
Нелегальная обработка данных
5 000
Хищение оборудования
4 640
Хищение носителей информации или документов
54 640
Тайные действия с программными средствами
4 640
Фальсификация прав
20 000
Ухудшение состояния носителей данных
4 640
Сбой программных средств
4 640
Разрушение оборудования или носителей данных
24 640
Нарушение работоспособности персонала
30 000
Перехват информации
20 000
Дистанционный шпионаж
20 000
Потеря электропитания
4 640
Отказ телекоммуникационного оборудования
10 000
Затопление
4 640
Образование пыли, коррозия, замерзание
4 640
Суммарная величина потерь
2 353 560
По результатам расчета суммарная величина потерь составляет 2 353 560
рублей.
Для расчета показателей экономической эффективности данного проекта
выбран представленный метод по ряду причин:
1. Метод разработан для применения в области информационной
безопасности.
2. Метод позволяет представить расчеты более наглядным образом.
3. Метод является менее трудоемким по сравнению с другими
методиками.
4. Экономический смысл расчета эффективности вложений в
информационную безопасность рассматривается не в контексте инвестиционного
проекта, а как вложения в гарантии стабильности организации.
5. Для осуществления расчетов необходимо проведение наиболее
полного анализа рисков и угроз информационной безопасности.
84
3.2 Расчёт показателей экономической эффективности проекта
Для расчета показателей экономической эффективности проекта по
внедрению мер защиты информационной безопасности организации необходимо
учитывать, что величина рисков информационной безопасности организации
обратно пропорциональна уровню инженерно-технической защиты информации.
Уровень инженерно-технической защиты задается ресурсами системы
обеспечения безопасности информации.
Ресурсы системы защиты информации могут быть представлены в виде:
1. Штата персонала, которые обеспечивают защиту информации.
2. Технических средств и инженерных конструкций, обеспечивающих
защиту конфиденциальных данных.
3. Суммы финансовых вложений, которые включают затраты на оплату
труда персонала, услуг по строительству, разработке и приобретению средств
защиты информации, затрат на эксплуатацию средств защиты и т.д.
Наиболее наглядной единицей измерения эффективности вложений в
информационную безопасность является величина денежных средств.
Выделение ресурсов для осуществления защиты информации может
случаться единовременно или требовать периодического вложения денежных
средств.
Единовременные затраты могут представлять стоимость услуг по
приобретению, установке и настройке технических средств.
К постоянным затратам относятся затраты на:
1. Оплату труда сотрудников службы безопасности.
2. Поддержка заданного уровня безопасности организации.
3. Эксплуатацию средств защиты информации.
Следовательно, осуществление расчета показателей экономической
эффективности проекта будет основано на следующих показателях:
1. Величина расходов на создание системы и поддержки ее в
работоспособном состоянии.
2. Величины рисков осуществления угроз безопасности
информационных активов организации после внедрения средств защиты.
85
Рассмотрим состав единовременных затрат для обеспечения защиты
информационной безопасности. Состав затрат представлены в таблице 14.
Таблица 14
Содержание и объем разового ресурса, выделяемого на защиту информации
Организационные мероприятия
№
п\
п
Выполняемые действия
Среднечасова
я зарплата
специалиста
(руб.)
Трудоемкост
ь операции
(чел.час)
Стоимость,
всего
(тыс.руб.)
1
Внесение изменений в
Политику информационной
безопасности
340
40
13 600
2
Разработка Положения о
реагирования на инциденты
информационной
безопасности
340
40
13 600
3
Проведение ознакомления
сотрудников с документами
340
16
5 440
4
Подготовка Приказов о
введении документов
340
24
8 160
Стоимость проведения организационных мероприятий, всего
40 800
Мероприятия инженерно-технической защиты
№
п/
п
Номенклатура ПиАСИБ,
расходных материалов
Стоимость,
единицы
(руб)
Кол-во (шт)
Стоимость,
всего
(тыс.руб.)
1
Приобретение системы
видеонаблюдения
40 428
1
40 428
2
Приобретение DLP-системы
«Falcongaze Secure Tower»
220 000
1
220 000
3
Установка и настройка
системы видеонаблюдения
340
16
5 440
Стоимость проведения мероприятий инженерно-технической
защиты
265 868
Объем разового ресурса, выделяемого на защиту информации
306 668
Ввод в действие средств обеспечения информационной безопасности
влекут за собой необходимость периодического вложения денежных средств в
поддержку системы обеспечения информационной безопасности. Рассмотрим
состав постоянного объема ресурса, который будет выделяться на защиту
информации (см. табл. 15).
Сумма единовременных затрат на обеспечение необходимого уровня
защиты информационной безопасности составляет 306 668 рублей. Из них сумма