76
SureBackup и health checks. Для лучшего обеспечения сохранности данных в
Организации для хранения резервных копий решено использовать разные
типы машинных носителей информации.
Чтобы это обеспечить, необходимо после создания основного задания
резервного копирования настроить задание переноса резервных копий. Также
можно архивировать резервные копии на магнитную ленту.
Функция мгновенного восстановления ВМ Instant VM Recovery
позволяет запустить машину в кратчайший срок непосредственно из
резервный копии. Не стоит забывать, что машина размещена в репозитории и
потребляет его ресурсы, до момента переноса её в инфраструктуру
информационной системы. Нужно помнить про этот важный финальный шаг
виртуальных машин, которые неделями работали из резервных копий без того,
чтобы быть перенесенными в инфраструктуру информационной системы.
Итог может быть довольно плачевен, система хранения данных может
переполниться, что приведёт к потере данных рисунок 18.
Рисунок 18. Окно настройки резервного копирования
В Организации предложено осуществлять резервное копирование в два
этапа:
1. Ежедневное резервное копирование всей гостевой ОС Microsoft Windows
Server 2019 средствами решения Veeam Backup & Replication Free.
77
Данная резервная копия будет храниться на резервном сервере. В случае
сбоя основной системы, вследствие компьютерной атаки возможным
злоумышленником, либо внутренней логической ошибки
общесистемного прикладного ПО.
2. Резервная копия журнала транзакций информационных баз 1С
штатными средствами Microsoft SQL Server 2019. Это поможет сократить
интервал возможной потери критических данных в Организации.
Во второй главе ВКР:
1. Рассмотрена нормативно-правовая база по направлению
информационной безопасности.
2. Приведён перечень решений для построения подсистемы
безопасного хранения и передачи данных в Организации.
3. Предложен способ организации удалённого доступа к данным
сотрудников, находящихся за пределами инфраструктуры ИС.
4. Разработаны роли пользователей ИС и разграничения прав
доступа к элементам инфраструктуры ИС.
5. Разработан механизм организации резервного копирования
данных ИС и регламент его выполнения.
6. Предложен ряд мер для уменьшения подверженности известным
компьютерным атакам на общесистемное прикладное программное
обеспечение, используемое в Организации на ПЭВМ.
78
ГЛАВА 3. ОБОСНОВАНИЕ ЭКОНОМИЧЕСКОЙ
ЭФФЕКТИВНОСТИ ПРОЕКТА
3.1 Выбор и обоснование методики расчёта экономической
эффективности
Исходной посылкой экономической эффективности является очевидное
предположение: с одной стороны, при нарушении защищенности информации
наносится некоторый ущерб, с другой - обеспечение защиты информации
сопряжено с расходованием средств. Полная ожидаемая стоимость защиты
может быть выражена суммой расходов на защиту и потерь от ее нарушения.
Очевидно, что оптимальным решением было бы выделение на защиту
информации средств, минимизирующих общую стоимость работ по защите
информации.
Необходимы следующие данные, для определения экономической
эффективности подсистемы безопасного хранения и передачи данных.
Расходы (выделенные ресурсы) на создание данной подсистемы и
поддержание её в работоспособном состоянии.
Величины потерь, обусловленных угрозами информационным
активам после внедрения подсистемы.
Результат выполнения экспертной оценки величины потерь для
критичных информационных ресурсов до внедрения подсистемы в
Организации отображен ниже в таблице.
Используя следующую эмпирическую зависимость ожидаемых потерь
(рисков) от i-й угрозы информации, проведем расчет:
Ri = 10
(Si + Vi – 4)
(3.1)
где:
Si – коэффициент, характеризующий возможную частоту возникновения
соответствующей угрозы;
79
Vi – коэффициент, характеризующий значение возможного ущерба при ее
возникновении.
При выполнении дипломного проекта необходимо использовать
следующие значения коэффициентов Si и Vi, приведенные в таблице 6.
Таблица 6
Значения коэффициентов S
i
и V
i
Ожидаемая (возможная) частота
появления угрозы
Предполагаемое значение S
i
Почти никогда
0
1 раз в 1 000 лет
1
1 раз в 100 лет
2
1 раз в 10 лет
3
1 раз в год
4
1 раз в месяц (примерно, 10 раз в год)
5
1-2 раза в неделю (примерно 100 раз в год)
6
3 раза в день (1000 раз в год)
7
Значение возможного ущерба при
проявлении угрозы, руб.
Предполагаемое значение V
i
30
0
300
1
3000
2
30000
3
300000
4
3000000
5
30000000
6
300000000
7
Выбранные для расчетов коэффициенты, взяты на основании,
статистических данных в архиве конструкторской документации и у
руководства Технического подразделения.
Рассчитаем величины потерь по формуле 3.1 пользуясь данными
таблицы 6.
R
i1
= 10
5+5-4
= 1000000
80
R
i2
= 10
5+4-4
= 100 000
R
i3
= 10
5+4-3
= 1000000
R
i4
= 10
5+4-3
= 1000000
R
i5
= 10
5+4-3
= 1000000
R
i6
= 10
5+4-4
= 100000
R
i7
= 10
5+4-3
= 1000000
R
i8
= 10
4+4-3
= 100000
R
i9
= 10
4+4-3
= 100000
Таблица 7
Величины потерь для критичных информационных ресурсов до
внедрения подсистемы безопасного хранения и передачи данных
Актив
Угроза
Величина потерь
(тыс. руб.)
Престиж компании
Кража интеллектуальной
собственности компании
1000
Информация
Нарушение целостности
информации
100
Информация
Уничтожение данных
1000
Информация
Несанкционированный доступ к
информации
1000
Информация
Неумышленная утеря носителей
информации
1000
Информация
Перехват данных, передаваемых по
каналам связи
100
Информация
Разглашение, передача или утрата
идентификационных данных
1000
Персонал
Утечка специалистов
100
Персонал
Вербовка персонала
100
Суммарная величина потерь
5400
После произведения расчетов и построения таблицы 7 мы определились
с риском финансовых потерь для предприятия, которая может составить
81
приблизительно 5 400 000 рублей. Это может означать лишь то, что для
Организации это будет ощутимой потерей. Для того, чтобы понять, насколько
эффективна подсистема безопасного хранения и передачи данных необходимо
произвести расчет показателей экономической эффективности проекта
3.2 Расчёт показателей экономической эффективности проекта
Под ресурсом понимается количество людей, привлекаемых к
внедрению решений необходимых для выполнения поставленной задачи, а
также применяемых инженерных конструкций, программного обеспечения и
программно-аппаратных средств защиты. Наиболее общей формой
представления ресурса является денежная мера. Ресурс, затрачиваемый на
защиту информации, может иметь разовый и постоянный характер.
Разовый ресурс расходуется на закупку, установку и пусковую
эксплуатацию сложного специализированного оборудования.
Постоянный ресурс - на заработную плату сотрудникам и поддержание
заданного уровня информационной безопасности, прежде всего, путем
эксплуатации технических средств и контроля эффективности защиты
информации.
Таким образом, для определения экономической эффективности защиты
информации Организации необходимы следующие данные (показатели):
расходы (выделенные ресурсы) на создание/модернизацию данной и
поддержание её в работоспособном состоянии;
величины потерь (рисков), обусловленных угрозами информационным
активам после внедрения/модернизации защиты информации.
Данные о содержании и объеме разового ресурса, выделяемого на
защиту информации, представлены в приложении А и таблице 8.
Объем постоянного ресурса, выделяемого на защиту информации в
Организации, представлен в таблице 9.
82
Таблица 9
Содержание и объем постоянного ресурса, выделяемого на
защиту информации
Организационные мероприятия
№ п/п
Выполняемые
действия
Среднечасовая
зарплата
специалиста
(тыс. руб.)
Трудоемкость
операции
(чел.час.)
Стоимость,
всего
(тыс.руб.)
1
Организационные
мероприятия
1
10
10
Стоимость проведения организационных мероприятий
10
Мероприятия инженерно-технической защиты
№ п/п
Номенклатура
ПиАСИБ,
расходных
материалов
Среднечасовая
зарплата
специалиста
(руб.)
Трудоемкость
Операции
(чел. час)
Стоимость,
всего
(тыс.руб.)
2
Модернизация
компьютерной сети,
настройка/установка
ПО
500
120
60
3
Обслуживание
Сетевого
оборудования и
источников
бесперебойного
питания
550
120
66
Стоимость проведения мероприятий инженерно-технической защиты
126
Таким образом, для разработки подсистемы безопасного хранения и
передачи данных требуется 187500 руб., а для ежегодной поддержки - 136 000
руб.
Для проведения расчета необходимо получить прогнозируемые данные
о величине потерь (рисков) для критичных информационных ресурсов после
83
внедрения/разработки подсистемы безопасного хранения и передачи данных в
Организации. Результаты формируются по результатам величины потерь
(рисков) для критичных информационных ресурсов после
внедрения/разработки подсистемы (см. таблицу 9).
Таблица 10
Величины потерь (рисков) для критичных информационных
ресурсов после внедрения/модернизации защиты информации
подсистемы безопасного хранения и передачи данных
Актив
Угроза
Величина потерь
(тыс. руб.)
Престиж компании
Кража интеллектуальной
собственности компании
100
Информация
Нарушение целостности
информации
10
Информация
Уничтожение данных
100
Информация
Несанкционированный доступ к
информации
100
Информация
Неумышленная утеря носителей
информации
100
Информация
Перехват данных, передаваемых по
каналам связи
10
Информация
Разглашение, передача или утрата
идентификационных данных
100
Персонал
Утечка специалистов
10
Персонал
Вербовка персонала
10
Суммарная величина потерь
540
Оценка динамики величин потерь за период 3 года (см. таблицу 10).
84
Таблица 11
Оценка динамики величин потерь
1
кв.
2
кв.
3
кв.
1
год
1
кв.
2
кв.
3
кв.
2
год
1
кв.
2
кв.
3
кв.
3
год
До внедрения
подсистемы
1350
2700
4050
5400
6750
8100
9450
10800
12150
13500
14850
16200
Посл
е внедрения
подсистемы
135
270
405
540
675
810
945
1080
1215
1350
1485
1620
Снижение потерь
1215
2430
3645
4860
6075
7290
8505
9720
10935
12150
13365
14580
После принятия обязательных допущений о неизменности частоты
появления угроз, а также о неизменном уровне надежности разработанной
подсистемы безопасного хранения и передачи данных в Организации,
возможно определить срок окупаемости (Т
ок
).
Это выполняется, с использованием формулы:
(3.2)
И на рисунке 19, представленным ниже.
85
Рисунок 19. График определения срока окупаемости
Таким образом экономические расчеты показывают эффективность
внедрения подсистемы безопасного хранения и передачи данных. Согласно
проведённым расчётам, окупаемость подсистемы произойдёт в течение
перового квартала, после её внедрения. Данные результаты являются
финансово приемлемыми для Организации.
В третьей главе ВКР:
1. Произведены расчеты, из них мы можем увидеть, что
прогнозируемый ущерб является достаточно весомым для Организации, а
единоразовые затраты на разработку подсистемы безопасного хранения и
передачи данных меньше, чем предполагаемый финансовый ущерб.
2. Выявлено, что разработка подсистемы безопасного хранения и
передачи данных поможет защитить данные, и это поможет предотвратить
финансовые потери для компании от возможных угроз.
3. Через 3 года подсистема безопасного хранения и передачи данных,
реализованная в компании, поможет сохранить порядка четырнадцати с
0
2000
4000
6000
8000
10000
12000
14000
16000
18000
1 кв. 2 кв. 3 кв. 1 год 1 кв. 2 кв. 3 кв. 2 год 1 кв. 2 кв. 3 кв. 3 год
До внедрения После внедрения Снижение потерь