87
Для актива «Электронная почта» по данной угрозе значения параметров
S
1.2
=4; V
1.2
=3.
Величина потерь для данного актива:
R
И4
=10
(4 + 3 – 4)
=1000.
Для активов «Оборудование» и «Информационные активы об оказанных
услугах»:
R
Ф
= R
Ф2
=0.
Суммарная стоимость потеря для данной угрозы:
R
1.2
=3100.
Угроза 1.3. Перехват информации на линиях связи путем использования
различных видов анализаторов сетевого трафика.
Для актива «Информационные активы по вопросам обеспечения
безопасности» по данной угрозе значения параметров S
1.3
=3; V
1.3
=3.
Величина потерь для данного актива:
R
И1
=10
(3 + 3 – 4)
=100.
Для актива «Документы пользователей и подразделений» по данной угрозе
значения параметров S
1.3
=3; V
1.3
=3.
Величина потерь для данного актива:
R
И2
=10
(3 + 3 – 4)
=100.
Для актива «Сведения с чисто деловым характером» по данной угрозе
значения параметров S
1.3
=3; V
1.3
=3.
Величина потерь для данного актива:
R
И3
=10
(3 + 3 – 4)
=100.
Для актива «Электронная почта» по данной угрозе значения параметров
S
1.3
=5; V
1.3
=3.
Величина потерь для данного актива:
R
И4
=10
(5 + 3 – 4)
=10000.
Для активов «Оборудование» и «Резервные копии ИС»:
R
Ф
= R
Ф2
=0.
Суммарная стоимость потеря для данной угрозы:
R
1.3
=10300.
88
Угроза 1.4. НСД к ресурсам ЛВС компании со стороны внешних
злоумышленников.
Для актива «Информационные активы по вопросам обеспечения
безопасности» по данной угрозе значения параметров S
1.4
=4; V
1.4
=3.
Величина потерь для данного актива:
R
И1
=10
(4 + 3 – 4)
=1000.
Для актива «Информационные активы по торгово-экономическим
вопросам» по данной угрозе значения параметров S
1.4
=4; V
1.4
=3.
Величина потерь для данного актива:
R
И2
=10
(4 + 3 – 4)
=1000.
Для актива «Сведения с чисто деловым характером» по данной угрозе
значения параметров S
1.4
=3; V
1.4
=3.
Величина потерь для данного актива:
R
И3
=10
(3 + 3 – 4)
=100.
Для актива «Электронная почта» по данной угрозе значения параметров
S
1.4
=4; V
1.4
=3.
Величина потерь для данного актива:
R
И4
=10
(4 + 3 – 4)
=1000.
Для активов «Оборудование» и «Информационные активы об оказанных
услугах»:
R
Ф
= R
Ф2
=0.
Суммарная стоимость потеря для данной угрозы:
R
1.4
=3100.
Для угрозы 1.5. НСД к резервным копиям данных:
R
И1
=0;
R
И2
=0;
R
И3
=0;
R
И4
=0;
R
Ф1
=0.
Для актива «Резервные копии ИС» по данной угрозе значения параметров
S
1.5
=3; V
1.5
=3.
Величина потерь для данного актива:
89
R
Ф2
=10
(3 + 3 – 4)
=100.
Суммарная стоимость потеря для данной угрозы:
R
1.5
=100.
Угроза 2.1. Утечка конфиденциальной информации.
Для актива «Информационные активы по вопросам обеспечения
безопасности» по данной угрозе значения параметров S
2.1
=3; V
2.1
=3.
Величина потерь для данного актива:
R
И1
=10
(3 + 3 – 4)
=100.
Для актива «Информационные активы по торгово-экономическим
вопросам» по данной угрозе значения параметров S
2.1
=3; V
2.1
=3.
Величина потерь для данного актива:
R
И2
=10
(3 + 3 – 4)
=100.
Для актива «Сведения с чисто деловым характером» по данной угрозе
значения параметров S
2.1
=3; V
2.1
=3.
Величина потерь для данного актива:
R
И3
=10
(3 + 3 – 4)
=100.
Для актива «Электронная почта» по данной угрозе значения параметров
S
2.1
=3; V
2.1
=3.
Величина потерь для данного актива:
R
И4
=10
(3 + 3 – 4)
=100.
Для актива «Информационные активы об оказанных услугах» по данной
угрозе значения параметров S
1.5
=3; V
1.5
=3.
Величина потерь для данного актива:
R
Ф2
=10
(3 + 3 – 4)
=100.
Суммарная стоимость потеря для данной угрозы:
R
2.1
=500.
Угроза 2.2. Неумышленное раскрытие конфиденциальной информации
сотрудниками компании
Для актива «Информационные активы по вопросам обеспечения
безопасности» по данной угрозе значения параметров S
2.2
=4; V
2.2
=3.
Величина потерь для данного актива:
R
И1
=10
(4 + 3 – 4)
=1000.
90
Для актива «Информационные активы по торгово-экономическим
вопросам» по данной угрозе значения параметров S
2.2
=4; V
2.2
=3.
Величина потерь для данного актива:
R
И2
=10
(4 + 3 – 4)
=1000.
Для актива «Сведения с чисто деловым характером» по данной угрозе
значения параметров S
2.2
=3; V
2.2
=3.
Величина потерь для данного актива:
R
И3
=10
(3 + 3 – 4)
=100.
Для актива «Электронная почта» по данной угрозе значения параметров
S
2.2
=3; V
2.2
=3.
Величина потерь для данного актива:
R
И4
=10
(3 + 3 – 4)
=100.
Для активов «Оборудование» и «Информационные активы об оказанных
услугах»:
R
Ф
= R
Ф2
=0.
Суммарная стоимость потеря для данной угрозы:
R
2.2
=2200.
Угроза 2.3. Разрушение данных по причине системного сбоя или ошибки
ПО, использование не протестированного ПО.
Для актива «Информационные активы по вопросам обеспечения
безопасности» по данной угрозе значения параметров S
2.3
=3; V
2.3
=3.
Величина потерь для данного актива:
R
И1
=10
(3 + 3 – 4)
=100.
Для актива «Информационные активы по торгово-экономическим
вопросам» по данной угрозе значения параметров S
2.3
=3; V
2.3
=3.
Величина потерь для данного актива:
R
И2
=10
(3 + 3 – 4)
=100.
Для актива «Сведения с чисто деловым характером» по данной угрозе
значения параметров S
2.3
=3; V
2.3
=3.
Величина потерь для данного актива:
R
И3
=10
(3 + 3 – 4)
=100.
91
Для актива «Электронная почта» по данной угрозе значения параметров
S
2.3
=3; V
2.3
=3.
Величина потерь для данного актива:
R
И4
=10
(3 + 3 – 4)
=100.
Для актива «Информационные активы об оказанных услугах» по данной
угрозе значения параметров S
1.5
=3; V
1.5
=3.
Величина потерь для данного актива:
R
Ф2
=10
(3 + 3 – 4)
=100.
Суммарная стоимость потеря для данной угрозы:
R
2.3
=500.
Угроза 3.1. Затопление, пожар, ураган, землетрясение и т.п.
Для актива «Информационные активы по вопросам обеспечения
безопасности» по данной угрозе значения параметров S
3.1
=3; V
3.1
=3.
Величина потерь для данного актива:
R
И1
=10
(3 + 3 – 4)
=100.
Для актива «Информационные активы по торгово-экономическим
вопросам» по данной угрозе значения параметров S
3.1
=3; V
3.1
=3.
Величина потерь для данного актива:
R
И2
=10
(3 + 3 – 4)
=100.
Для актива «Базы данных» по данной угрозе значения параметров S
3.1
=3;
V
3.1
=3.
Величина потерь для данного актива:
R
И3
=10
(3 + 3 – 4)
=100.
Для актива «Электронная почта» по данной угрозе значения параметров
S
3.1
=3; V
3.1
=3.
Величина потерь для данного актива:
R
И4
=10
(3 + 3 – 4)
=100.
Для актива «Оборудование» по данной угрозе значения параметров S
3.1
=3;
V
3.1
=3.
Величина потерь для данного актива:
R
Ф1
=10
(3 + 3 – 4)
=100.
92
Для актива «Информационные активы об оказанных услугах» по данной
угрозе значения параметров S
3.1
=3; V
3.1
=3.
Величина потерь для данного актива:
R
Ф2
=10
(3 + 3 – 4)
=100.
Суммарная стоимость потеря для данной угрозы:
R
2.3
=600.
Значения рассчитанных величин сведём в таблицу 18.
Таблица 18
Величины потерь (рисков) для критичных информационных ресурсов
до внедрения системы защиты информации
Актив
Угроза
Величина
потерь
(тыс.руб.)
Информационные активы об
оказанных услугах
1.2, 1.3, 1.4, 2.1, 2.2, 2.3, 3.1
3200
Информационные активы по
вопросам обеспечения
безопасности
1.2, 1.3, 1.4, 2.1, 2.2, 2.3, 3.1
3200
Сведения с чисто деловым
характером
1.2, 1.3, 1.4, 2.1, 2.2, 2.3, 3.1
2000
Информационные активы по
торгово-экономическим
вопросам
1.2, 1.3, 1.4, 2.1, 2.2, 2.3, 3.1
12700
Услуги организации
1.1, 3.1
400
Оборудование
1.1, 1.5, 2.1, 2.3, 3.1
11400
Суммарная величина потерь
32800
Итак, рассчитанная суммарная величина потерь составила 32 800 000
рублей.
3.2. Расчёт показателей экономической эффективности
Для оценки показателей экономической эффективности необходимо
оценить разовый и постоянный ресурсы, необходимые для организации СЗИ.
Разовый ресурс расходуется на закупку, установку и наладку
дорогостоящей техники. Постоянный ресурс - на заработную плату сотрудникам
службы безопасности и поддержание определенного уровня безопасности,
93
прежде всего, путем эксплуатации технических средств и контроля
эффективности защиты.
Данные о содержании и объеме разового ресурса, выделяемого на защиту
информации, приведены в таблице 19.
94
Таблица 19
Содержание и объем разового ресурса, выделяемого на защиту информации
Организационные мероприятия
№
п\п
Выполняемые
действия
Среднечасовая
зарплата
специалиста (руб.)
Трудоемкость
операции
(чел.час)
Стоимость,
всего
(тыс.руб.)
1
Оценка качества
оборудования ЗИ
1600
55
88
Стоимость проведения организационных мероприятий, всего
88
Мероприятия инженерно-технической защиты
№
п/п
Номенклатура
ПиАСИБ, расходных
материалов
Стоимость,
единицы
(тыс.руб)
Кол-во
(ед.измерения)
Стоимость,
всего
(тыс.руб.)
1
Закупка необходимого
оборудования
22000
10
220000
2
Установка и настройка
ПО
1800
32
56700
Стоимость проведения мероприятий инженерно-технической
защиты
277,6
Объем разового ресурса, выделяемого на защиту информации
365,6
Данные о содержании и объеме постоянного ресурса, выделяемого на
защиту информации, приведены в таблице 20.
Таблица 20
Содержание и объем постоянного ресурса, выделяемого на защиту
информации
Организационные мероприятия
№
п\п
Выполняемые
действия
Среднечасовая
зарплата
специалиста (руб.)
Трудоемкость
операции
(чел.час)
Стоимость,
всего
(тыс.руб.)
1
Оценка исходного
уровня
защищенности
компании
1200
7
8,4
2
Разработка политики
информационной
безопасности
1000
16
16
3
Разработка
положения о
коммерческой тайне
1000
5
5
Стоимость проведения организационных мероприятий, всего
29,4
95
Продолжение таблицы 20
Мероприятия инженерно-технической защиты
№
п/п
Номенклатура
ПиАСИБ,
расходных
материалов
Стоимость, единицы
(тыс.руб)
Кол-во
(ед.измерения)
Стоимость,
всего
(тыс.руб.)
1
Поддержание
технического уровня
оборудования
1300
25
32,5
2
Эксплуатация ПО
1200
25
30
Стоимость проведения мероприятий инженерно-технической
защиты
62,5
Объем постоянного ресурса, выделяемого на защиту информации
91,9
Теперь необходимо получить прогнозируемые данные о величине потерь
для критичных информационных ресурсов после внедрения системы защиты
информации. Результаты сформированы по результатам экспертного опроса и
внесены в таблицу 21.
Таблица 21
Величины потерь (рисков) для критичных информационных ресурсов
после внедрения/модернизации системы защиты информации
Актив
Угроза
Потери
(тыс.руб.)
Информационные активы об
оказанных услугах
1.2, 1.3, 1.4, 2.1, 2.2, 2.3, 3.1
2000
Информационные активы по
вопросам обеспечения
безопасности
1.2, 1.3, 1.4, 2.1, 2.2, 2.3, 3.1
2000
Сведения с чисто деловым
характером
1.2, 1.3, 1.4, 2.1, 2.2, 2.3, 3.1
1400
Информационные активы по
торгово-экономическим
вопросам
1.2, 1.3, 1.4, 2.1, 2.2, 2.3, 3.1
10500
Услуги организации
1.1, 3.1
200
Оборудование
1.1, 1.5, 2.1, 2.3, 3.1
6700
Суммарная величина потерь
22800
Теперь оценим динамику величин потерь за период не менее 1 года и
внесём данные в таблицу 22.
96
Таблица 22
Оценка динамики величин потерь
1 кв.
2 кв.
3 кв.
1 год
1 кв.
2 кв.
3 кв.
2 год
До внедрения
СЗИ
4100
8200
12300
16400
20500
24600
28700
32800
После
внедрения
СЗИ
2850
5700
8550
11400
14250
17100
19950
22800
Снижение
потерь
1250
2500
3750
5000
6250
7500
8750
10000
В заключении определим срок окупаемости системы (Ток) аналитическим
способом.
Суммарное значение ресурса, (R
∑
) выделенного на защиту информации,
составило 457,5 т. р.
Объем среднегодовых потерь компании (R
ср
) из-за инцидентов
информационной безопасности составлял 16400 т. р.
Прогнозируемый ежегодный объем потерь (R
прогн
) составит 11400 тыс.
рублей.
Т
ок
= R
∑
/ (R
ср
– R
прогн
) = 457,5/(16400-11400) = 0,1 года = примерно 1,5
месяца.
Итак, срок окупаемости системы 1,5 месяца.
Динамику потерь представим в виде графика, изображенного ниже (рис.
8).
Точка, соответствующая сроку окупаемости проекта показана на графике
пересечением пунктирных линий.