75
3.3 Расчёт показателей экономической эффективности проекта
В данной части работы проведена оценка экономического эффекта от
внедрения мер по защите информации на примере типовой информационной
системы.
В рамках проведения расчетов был выбран подход оценки экономической
эффективности через использование риска, где эффективность выражена
соотношением стоимости системы защиты информации к разности риска для
незащищенной сети и риска для защищенной сети.
В расчете параметров защищенности проведен учет как
организационных, так и технических мер по защите информации.
В рамках данной работы для оценки параметров защищенности системы
использовались параметры расчетных коэффициентов, представленные в
таблице 6.
Таблица 6 - Значения параметров Si и Vi
Ожидаемая (возможная)
частота появления угрозы
Вероятное значение Si
Угроза исключена
0
Однократно в 1000 лет
1
Однократно в 100 лет
2
Однократно в 10 лет
3
Однократно в год
4
Однократно в месяц (примерно, 10 раз в год)
5
Еженедельно
6
Чаще 1 раза в день
7
Оценка вероятного ущерба
при возникновении угрозы, руб.
Вероятное значение Vi
60
0
600
1
6 000
2
60 000
3
600 000
4
6 000 000
5
76
60 000 000
6
600 000 000
7
Далее проведем расчет оценки вероятного ущерба.
230000100001000010000100000100000
:10000
;1000010
;1000010
;10000010
;10000010
;
5
454
4
453
3
445
2
454
1
R
R
R
R
R
R
RR
i
i
i
i
i
i
i
Таблица 7 – Оценка возможных потерь (рисков) при нарушении
функциональности информационных ресурсов организации
Актив
Угроза
Величина
потерь
(руб.)
Серверы
Кража, повреждения
300 000
БД
информационных
систем
Потеря данных вследствие вирусной
активности, выхода их строя систем
электропитания и других аппаратных
систем, ошибочные действия
персонала
300 000
Системная
архитектура
Активность вредоносного ПО,
умышленные действия, ошибочные
действия персонала
10 000
Документационное
обеспечение
(карточки
электронных
подписей,
журналы
настроек)
Потеря, ЧС, ошибочные действия
персонала
10 000
Рабочие станции
Кража, повреждения, сбои
электропитания
10 000
Оценка величины потерь
630 000
77
Риски владельцев информации зависят от уровня реализации инженерно-
технической защиты информации, которая, в свою очередь, определяется типами
ресурсов системы.
Ресурсы могут быть определены в виде количества сотрудников,
задействованных в обеспечении защиты информации, в форме инженерных
конструкций и технических средств, используемых для защиты, денежных
средств для оплаты труда персонала, проведение работ по капитальному
строительству инженерных сооружений в области информационной
безопасности. Также необходимо учитывать затраты на разработку и покупку
технических средств, их эксплуатацию и другие расходы. Наиболее общей
формой представлений ресурсов является выражение в денежной форме.
Ресурсы, выделяемые на защиту информации, могут носить как разовый, так и
постоянный характер.
Разовые ресурсы расходуются на осуществление закупок, а также
проведение установки и наладки дорогостоящей техники, обеспечивающей
информационную безопасность.
Постоянные ресурсы тратятся на заработную плату персоналу служб
безопасности и поддержку необходимой степени безопасности, прежде всего,
через эксплуатацию технических средств и контроль эффективности защиты.
Таким образом, при определении экономической эффективности системы
информационной безопасности в организациях необходим учёт следующих
данных (показателей):
расходов (выделенных ресурсов) на создание/модернизацию системы
защиты информации и поддержание её в состоянии работоспособности;
суммы потерь (рисков), обусловленных наличием угроз информационным
активам после внедрения/модернизации системы информационной
безопасности.
Информация о ресурсах, необходимых для построения архитектуры ИБ
показаны в таблицах 8 и 9.
78
Таблица 8 - Состав и объемы разовых ресурсов, выделяемых на
построение архитектуры защиты информации
Организационные меры
№
Мероприятия
Оплата
труда
персонала
(руб./час)
Трудоемкост
ь
(чел. час)
Общие
затраты,
руб.
1
Проведение закупок,
утвержденных руководителем
отдела по защите информации
200
12
2400
2
Установка программных и
аппаратных средств защиты
информации
300
16
4800
3
Установка охранного комплекса
120
100
12000
4
Проведение технических учёб
по обучению персонала по
работе с системами защиты
информации
700
2
1400
5
Осуществление контроля и
мониторинга
работоспособности системы
информационной безопасности
300
44
13200
Стоимость осуществления организационных мероприятий, итого
33800
Программные и аппаратные средства защиты информации
№
п/
п
Наименование устройств
Цена
единицы
(руб.)
Кол-во
(ед.измерен
ия)
Общая
стоимость
(руб.)
1
Handy Backup
37000
1
37000
2
Kaspersky Office Security
8000
1
8000
3
Secret Net
57331
1
57331
4
ALTEL NEO
121000
1
121000
5
КСС ИО 102-14
756
1
756
6
Астра – 612
2870
1
2870
7
ZK TECO Inbio 160
10816
1
10816
79
8
Комплект видеонаблюдения Ps-
link KIT-A208HD
15000
1
15000
9
ИБП Stark Country 6000
88310
1
88310
Стоимость программно-аппаратных средств
341083
Объем разовых ресурсов, выделяемых на защиту информации
374883
Таблица 9 - Состав и объем постоянных ресурсов, выделяемых на
защиту информации
Организационные меры
№
п\п
Выполняемые работы
Оплата труда
персонала
(руб./час)
Трудоемк
ость
(чел.
час)
Общие
затраты,
руб.
1
Плановые мероприятия
сотрудников отдела по защите
информации
400
44
17 600
2
Организация физической
охраны помещений с
установленными СЗИ
1700
2
3 400
3
Проведение обслуживания
программного и аппаратного
комплекса средств защиты
информации
700
2
1 400
Стоимость осуществления организационных мероприятий, итого
22 400
Мероприятия по инженерно-технической защите
№
п/п
Наименование устройств
Цена
единицы
(руб.)
Кол-во
(ед.изме
рения)
Общая
стоимость
(руб.)
1
Видеосистема AV Tech MC27
5240
1
5 240
2
СЗИ «Гром»
5500
2
11 000
Стоимость проведения мероприятий по инженерно-технической
защите
16 240
Объем постоянных ресурсов, выделяемых на построение
информационной безопасности
38 640
80
Итоговое значение затрат на ресурсы, выделяемые на обеспечение
информационной безопасности, исходя из расчетов, составляет: 374883 + 38640
= 413253 (руб.)
Оценка величины ущерба составляет 630000 (руб.)
После принятия обязательного допущения о постоянности частоты
возникновения угроз, а также о постоянности уровня надежности реализованной
системы защиты информации, необходимо определить сроки окупаемости
системы (Ток). Это можно провести аналитическим способом, используя
приведенную ниже формулу:
прcp
OK
RR
R
T
где:
R∑ - суммарная величина ресурсов, выделенных на построение защиты
информации = 413253
(Rср) – оценка величина среднегодовых потерь организаций вследствие
инцидентов защиты информации в годовом периоде до внедрения СЗИ (630 000)
Rпрогн - прогноз ежегодного объема потерь, после введения СЗИ = 58 000
????
????????
=
413253
630000 − 58000
= 0,72
Графики ожидаемой динамики потерь приведены ниже:
Рисунок 4 - Диаграмма динамики потерь
81
Разобьем процесс выпускной работы на этапы по каждому виду работ и
определим ожидаемую трудоёмкость выполнения каждого вида работ. На
каждом этапе проведения выпускной работы по каждому виду работ
определяется уровень квалификации исполнителей.
Исполнители выпускной работы:
– консультант по технологиям защиты информации (консультант);
– ИТ-менеджер.
– экономист;
82
Заключение
Как уже говорилось в начале работы, целью её написания было решение
актуальной, на данный момент, проблемы обеспечения защиты коммерческой
тайны предприятия. Для решения данной проблемы были выполнены задачи,
заключавшиеся в:
изучении способов получения злоумышленниками ценной коммерческой
информации;
изучении порядка введения режима коммерческой тайны на предприятии
и основных методов и принципов его обеспечения;
разработке организационных и технических мероприятий по защите
режима коммерческой тайны;
применении разработанных мер защиты в разработке проекта
комплексной системы защиты коммерческой тайны конкретного предприятия.
В ходе выполнения задач работы, в каждой её главе разбирались
актуальные, на данный момент, вопросы обеспечения защиты коммерческой
тайны.
Так в ходе написания первой главы работы были изучены: классификация
коммерческой информации, по степени её конфиденциальности, порядок
введения режима коммерческой тайны на предприятии, а также основные
методы и принципы защиты информации, составляющей коммерческую тайну
предприятия. Не мене важным был также проведенный в ходе написания главы,
анализ способов получения злоумышленниками ценной коммерческой
информации.
Итогом изучения вопросов, затронутых в первой главе работы, стал вывод
о том, что для обеспечения эффективной защиты коммерчески ценной
информации предполагается одновременное использование всех рассмотренных
в главе способов защиты и при этом основным руководствующим принципом
разработки системы защиты должен стать принцип обеспечении максимально
надежной защиты, при минимальных материальных затратах на её обеспечение.
Однако существенным препятствием на пути к этому является то, что
83
использование некоторых из этих способов, не говоря уже об использовании
всех в комплексе, предполагает значительные финансовые расходы, в связи с
чем, их использование возможно только достаточно крупными и
платежеспособным фирмам, что в свою очередь приводит к тому, что многие
предприятия вообще никак не защищают свою коммерчески ценную
информацию.
В ходе же написания второй главы работы были затронуты вопросы
выявления возможных угроз экономической безопасности предприятия и
подбора средств борьбы с ними. Для противодействия выявленным угрозам был
разработан комплекс организационных, программных, программно-аппаратных
и технических мер защиты, также в рамках разработки системы защиты было
проведено сравнение существующих на рынке предложений, обеспечивающих
устранение выявленных угроз.
Итогом решения вопросов, затронутых во второй главе, стало заключение
о том, что разработанные организационные и программно-технические меры
защиты могут позволить обеспечивать высокую безопасность информации,
составляющей коммерческую тайну малых и средних предприятий. А сравнение
характеристик программных и технических средств защиты предполагаемых для
использования в разработанном проекте защиты, показало, что на рынке
существует обширный выбор средств защиты, так что для каждого предприятия,
в зависимости от его финансовой обеспеченности, найдутся подходящие
решения для защиты его коммерчески ценной информации.
Так или иначе, основной задачей работы являлась разработка описанного
в третьей главе проекта системы защиты коммерческой тайны ООО «Тавда». Для
решения данной задачи в третьей главе была проанализирована общая
характеристика предприятия и его информационной системы, а также
проанализированы структура предприятия и функции его структурных
подразделений. Анализ данной информации дал возможность разработать
комплекс организационных и технических мер защиты для данного предприятия
системы защиты коммерческой тайны.
84
Предложенное в 3 главе обоснованное решение основной задачи работы
имеет большое практическое значение, так как при внедрении в Компании
комплексной системы защиты коммерческой тайны, разработанных в рамках
обеспечения комплексной защиты КТ, позволят обеспечить надёжную защиту
сведений, составляющих коммерческую тайну данного предприятия, что, как
следствие, повысит экономическую безопасность Компании.
Таким образом, в результате подведения итога всего вышесказанного
можно смело завить, что цель выполнения данной выпускной квалификационной
работы была достигнута.