99
R
И4
=0;
R
Ф1
=0.
Для актива «Резервные копии ИС» по данной угрозе значения параметров
S
1.5
=3; V
1.5
=3.
Величина потерь для данного актива:
R
Ф2
=10
(3 + 3 – 4)
=100.
Суммарная стоимость потеря для данной угрозы:
R
1.5
=100.
Угроза 2.1. Утечка конфиденциальной информации в следствии утери
мобильных устройств, носителей информации, ноутбуков и т.п.
Для актива «Маркетинговые документы» по данной угрозе значения
параметров S
2.1
=3; V
2.1
=3.
Величина потерь для данного актива:
R
И1
=10
(3 + 3 – 4)
=100.
Для актива «Документы пользователей и подразделений» по данной
угрозе значения параметров S
2.1
=3; V
2.1
=3.
Величина потерь для данного актива:
R
И2
=10
(3 + 3 – 4)
=100.
Для актива «Базы данных 1С Предприятие 8.2» по данной угрозе значения
параметров S
2.1
=3; V
2.1
=3.
Величина потерь для данного актива:
R
И3
=10
(3 + 3 – 4)
=100.
Для актива «Электронная почта» по данной угрозе значения параметров
S
2.1
=3; V
2.1
=3.
Величина потерь для данного актива:
R
И4
=10
(3 + 3 – 4)
=100.
Для актива «Резервные копии ИС» по данной угрозе значения параметров
S
1.5
=3; V
1.5
=3.
Величина потерь для данного актива:
R
Ф2
=10
(3 + 3 – 4)
=100.
Суммарная стоимость потеря для данной угрозы:
R
2.1
=500.
100
Угроза 2.2. Неумышленное раскрытие конфиденциальной информации
сотрудниками компании
Для актива «Маркетинговые документы» по данной угрозе значения
параметров S
2.2
=4; V
2.2
=3.
Величина потерь для данного актива:
R
И1
=10
(4 + 3 – 4)
=1000.
Для актива «Документы пользователей и подразделений» по данной
угрозе значения параметров S
2.2
=4; V
2.2
=3.
Величина потерь для данного актива:
R
И2
=10
(4 + 3 – 4)
=1000.
Для актива «Базы данных 1С Предприятие 8.2» по данной угрозе значения
параметров S
2.2
=3; V
2.2
=3.
Величина потерь для данного актива:
R
И3
=10
(3 + 3 – 4)
=100.
Для актива «Электронная почта» по данной угрозе значения параметров
S
2.2
=3; V
2.2
=3.
Величина потерь для данного актива:
R
И4
=10
(3 + 3 – 4)
=100.
Для активов «Серверные помещения» и «Резервные копии ИС»:
R
Ф
= R
Ф2
=0.
Суммарная стоимость потеря для данной угрозы:
R
2.2
=2200.
Угроза 2.3. Разрушение данных по причине системного сбоя или ошибки
ПО, использование не протестированного ПО.
Для актива «Маркетинговые документы» по данной угрозе значения
параметров S
2.3
=3; V
2.3
=3.
Величина потерь для данного актива:
R
И1
=10
(3 + 3 – 4)
=100.
Для актива «Документы пользователей и подразделений» по данной
угрозе значения параметров S
2.3
=3; V
2.3
=3.
Величина потерь для данного актива:
R
И2
=10
(3 + 3 – 4)
=100.
101
Для актива «Базы данных 1С Предприятие 8.2» по данной угрозе значения
параметров S
2.3
=3; V
2.3
=3.
Величина потерь для данного актива:
R
И3
=10
(3 + 3 – 4)
=100.
Для актива «Электронная почта» по данной угрозе значения параметров
S
2.3
=3; V
2.3
=3.
Величина потерь для данного актива:
R
И4
=10
(3 + 3 – 4)
=100.
Для актива «Резервные копии ИС» по данной угрозе значения параметров
S
1.5
=3; V
1.5
=3.
Величина потерь для данного актива:
R
Ф2
=10
(3 + 3 – 4)
=100.
Суммарная стоимость потеря для данной угрозы:
R
2.3
=500.
Угроза 3.1. Затопление, пожар, ураган, землетрясение и т.п.
Для актива «Маркетинговые документы» по данной угрозе значения
параметров S
3.1
=3; V
3.1
=3.
Величина потерь для данного актива:
R
И1
=10
(3 + 3 – 4)
=100.
Для актива «Документы пользователей и подразделений» по данной
угрозе значения параметров S
3.1
=3; V
3.1
=3.
Величина потерь для данного актива:
R
И2
=10
(3 + 3 – 4)
=100.
Для актива «Базы данных 1С Предприятие 8.2» по данной угрозе значения
параметров S
3.1
=3; V
3.1
=3.
Величина потерь для данного актива:
R
И3
=10
(3 + 3 – 4)
=100.
Для актива «Электронная почта» по данной угрозе значения параметров
S
3.1
=3; V
3.1
=3.
Величина потерь для данного актива:
R
И4
=10
(3 + 3 – 4)
=100.
102
Для актива «Серверные помещения» по данной угрозе значения
параметров S
3.1
=3; V
3.1
=3.
Величина потерь для данного актива:
R
Ф1
=10
(3 + 3 – 4)
=100.
Для актива «Резервные копии ИС» по данной угрозе значения параметров
S
3.1
=3; V
3.1
=3.
Величина потерь для данного актива:
R
Ф2
=10
(3 + 3 – 4)
=100.
Суммарная стоимость потеря для данной угрозы:
R
2.3
=600.
Значения рассчитанных величин сведем в таблицу 14.
Таблица 14
Величины потерь (рисков) для критичных информационных ресурсов
до внедрения системы защиты информации
Актив
Угроза
Величина
потерь
(тыс.руб.)
Актив «Маркетинговые
документы»
1.2, 1.3, 1.4, 2.1, 2.2, 2.3, 3.1
3200
Актив «Документы
пользователей и
подразделений»
1.2, 1.3, 1.4, 2.1, 2.2, 2.3, 3.1
3200
Актив «Базы данных 1С
Предприятие 8.2»
1.2, 1.3, 1.4, 2.1, 2.2, 2.3, 3.1
2000
Актив «Электронная почта»
1.2, 1.3, 1.4, 2.1, 2.2, 2.3, 3.1
12700
Актив «Серверные
помещения»
1.1, 3.1
400
Актив «Резервные копии ИС»
1.1, 1.5, 2.1, 2.3, 3.1
11400
Суммарная величина потерь
32800
Итак, рассчитанная суммарная величина потерь составила 32 800 000
рублей.
103
3.2. Расчет показателей экономической эффективности.
Для оценки показателей экономической эффективности необходимо
оценить разовый и постоянный ресурсы, необходимые для организации СЗИ.
Разовый ресурс расходуется на закупку, установку и наладку
дорогостоящей техники. Постоянный ресурс - на заработную плату сотрудникам
службы безопасности и поддержание определенного уровня безопасности,
прежде всего, путем эксплуатации технических средств и контроля
эффективности защиты.
Данные о содержании и объеме разового ресурса, выделяемого на защиту
информации приведены в таблице 15.
Таблица 15
Содержание и объем разового ресурса, выделяемого на защиту
информации
Организационные мероприятия
№
п\п
Выполняемые действия
Среднечасовая
зарплата
специалиста (руб.)
Трудоемкост
ь операции
(чел.час)
Стоимость
, всего
(тыс.руб.)
1
Проведение оценки
качества оборудования ЗИ
1800
50
90
Стоимость проведения организационных мероприятий, всего
90
Мероприятия инженерно-технической защиты
№
п/п
Номенклатура ПиАСИБ,
расходных материалов
Стоимость,
единицы (тыс. руб)
Кол-во (ед.
измерения)
Стоимость
, всего
(тыс. руб.)
1
Закупка необходимого
технического оборудования
25000
12
300000
2
Установка и наладка
оборудования
1700
35
59500
Стоимость проведения мероприятий инженерно-технической защиты
359,5
Объем разового ресурса, выделяемого на защиту информации
449,5
104
Данные о содержании и объеме постоянного ресурса, выделяемого на
защиту информации, приведены в таблице 16.
Таблица 16
Содержание и объем постоянного ресурса, выделяемого на защиту
информации
Организационные мероприятия
№ п\п
Выполняемые
действия
Среднечасовая
зарплата
специалиста
(руб.)
Трудоемкость
операции
(чел.час)
Стоимость,
всего
(тыс.руб.)
1
Оценка уровня
защищенности
предприятия
1400
7
9,8
2
Разработка политики
безопасности
компании
1200
16
19,2
3
Разработка положения
о коммерческой тайне
кампании
1200
5
6
Стоимость проведения организационных мероприятий, всего
35
Мероприятия инженерно-технической защиты
№ п/п
Номенклатура
ПиАСИБ, расходных
материалов
Стоимость,
единицы
(тыс.руб)
Кол-во
(ед.измерения)
Стоимость,
всего
(тыс.руб.)
1
Поддержание
технического уровня
системы защиты
информации
1500
22
33
2
Эксплуатация системы
защиты информации
1400
22
30,8
105
Продолжение таблицы 16
Стоимость проведения мероприятий инженерно-технической защиты
63,8
Объем постоянного ресурса, выделяемого на защиту информации
98,8
Теперь необходимо получить прогнозируемые данные о величине потерь
для критичных информационных ресурсов после внедрения системы защиты
информации. Результаты сформированы по результатам экспертного опроса и
внесены в таблицу 17.
Таблица 17
Величины потерь (рисков) для крит. информационных ресурсов после
внедрения/модернизации системы защиты информации
Актив
Угроза
Потери (тыс.
руб.)
Актив «Маркетинговые
документы»
1.2, 1.3, 1.4, 2.1, 2.2, 2.3, 3.1
3000
Актив «Документы
пользователей и
подразделений»
1.2, 1.3, 1.4, 2.1, 2.2, 2.3, 3.1
3000
Актив «Базы данных 1С
Предприятие 8.2»
1.2, 1.3, 1.4, 2.1, 2.2, 2.3, 3.1
1600
Актив «Электронная почта»
1.2, 1.3, 1.4, 2.1, 2.2, 2.3, 3.1
15000
Актив «Серверные
помещения»
1.1, 3.1
500
Актив «Резервные копии ИС»
1.1, 1.5, 2.1, 2.3, 3.1
7000
Суммарная величина потерь
22800
Теперь оценим динамику величин потерь за период не менее 1 года и
внесем данные в таблицу 18.
В заключении определим срок окупаемости системы (Ток) аналитическим
способом.
106
Суммарное значение ресурса, (R
∑
) выделенного на защиту информации,
составило 548,3 т. р.
Таблица 18
Оценка динамики величин потерь
1 кв.
2 кв.
3 кв.
1 год
1 кв.
2 кв.
3 кв.
2 год
До внедрения
СЗИ
4100
8200
12300
16400
20500
24600
28700
32800
После внедрения
СЗИ
2850
5700
8550
11400
14250
17100
19950
22800
Снижение
потерь
1250
2500
3750
5000
6250
7500
8750
10000
Объем среднегодовых потерь компании (R
ср
) из-за инцидентов
информационной безопасности составлял 16400 т. р.
Прогнозируемый ежегодный объем потерь (R
прогн
) составит 11400 тыс.
рублей.
Т
ок
= R
∑
/ (R
ср
– R
прогн
) = 457,5/(16400-11400) = 0,1 года = примерно 1,5
месяца.
Итак, срок окупаемости системы 1,5 месяца.
Динамику потерь представим в виде графика, изображенного ниже.
Точка, соответствующая сроку окупаемости проекта показана на графике
пересечением пунктирных линий (рисунок 24).
107
Рис. 24. Динамика потерь
108
Заключение
За последние годы значительно возрос объём информации во всех
сферах деятельности человека: технической, экономической, финансовой,
политической, социальной.
На сегодняшний день информационные ресурсы стали одними из самых
значимых рычагов экономического влияния. Информация нужного качества в
необходимое время, в необходимом месте - это залог достижения целей в
абсолютно любом виде деятельности. Монопольные права на обладание
информационными ресурсами оказываются, как правило, определяющими
преимуществами в борьбе за рынок.
Глобальное распространение ЭВМ выводит информатизацию всех сфер
жизни на новый уровень. Сегодня невозможно представить организацию,
пусть даже и самую мелкую, которая бы не имела в своем распоряжении
современные средств обработки данных.
Формирование защищенной индустрии работы с конфиденциальными
данными, дает предпосылки для значительного роста эффективности труда,
порождает при этом ряд сложных и масштабных проблем. Одна из таких
проблем - надежное обеспечение сохранности информации и установленного
статуса её использования.
Один из наиболее актуальных на сегодня вопросов, который касается
защиты информации в Российской федерации, это вопрос организации
защиты данных в рамках действующего российского законодательства, а так
же актуальные угрозы безопасности информационных систем. Особо острым
является вопрос обеспечения безопасности информации в масштабных
распределенных информационных системах.
Информационная безопасность сегодня развивается очень быстрыми
темпами. Данному факту способствуют объективный прогресс
информационных технологий, а так же противоборство «нападающих» и
«защищающихся».