78
рассчитаем стоимости потерь по каждой из угроз для каждого актива. Отмечу,
что потери для каждого из активов рассчитываются в тыс. рублей.
Для угрозы 1.1. Кража или повреждение компьютерного оборудования и
носителей информации:
R
И1
=0;
R
И2
=0;
R
И3
=0;
R
И4
=0.
Для актива «Серверное помещение» по данной угрозе значения параметров
S
1.1
=3; V
1.1
=3.
Величина потерь для данного актива:
R
Ф1
=10
(3 + 3 – 4)
=100.
Для актива «Резервные копии ИС» по данной угрозе значения параметров
S
1.1
=5; V
1.1
=3.
Величина потерь для данного актива:
R
Ф2
=10
(5 + 3 – 4)
=10000.
Суммарная стоимость потеря для данной угрозы:
R
1.1
=10100.
Угроза 1.2. Утечка конфиденциальной информации из сети по каналам
связи (e-mail, web, chst/IM, и т.п.).
Для актива «Аппаратные средства» по данной угрозе значения параметров
S
1.2
=4; V
1.2
=3.
Величина потерь для данного актива:
R
И1
=10
(4 + 3 – 4)
=1000.
Для актива «Документы пользователей и подразделений» по данной угрозе
значения параметров S
1.2
=4; V
1.2
=3.
Величина потерь для данного актива:
R
И2
=10
(4 + 3 – 4)
=1000.
Для актива «Программы целевого назначения» по данной угрозе значения
параметров S
1.2
=3; V
1.2
=3.
Величина потерь для данного актива:
R
И3
=10
(3 + 3 – 4)
=100.
79
Для актива «Разработки и программные комплексы» по данной угрозе
значения параметров S
1.2
=4; V
1.2
=3.
Величина потерь для данного актива:
R
И4
=10
(4 + 3 – 4)
=1000.
Для активов «Серверное помещение» и «Резервные копии ИС»:
R
Ф
= R
Ф2
=0.
Суммарная стоимость потеря для данной угрозы:
R
1.2
=3100.
Угроза 1.3. Перехват информации на линиях связи путем использования
различных видов анализаторов сетевого трафика.
Для актива «Аппаратные средства» по данной угрозе значения параметров
S
1.3
=3; V
1.3
=3.
Величина потерь для данного актива:
R
И1
=10
(3 + 3 – 4)
=100.
Для актива «Документы пользователей и подразделений» по данной угрозе
значения параметров S
1.3
=3; V
1.3
=3.
Величина потерь для данного актива:
R
И2
=10
(3 + 3 – 4)
=100.
Для актива «Программы целевого назначения» по данной угрозе значения
параметров S
1.3
=3; V
1.3
=3.
Величина потерь для данного актива:
R
И3
=10
(3 + 3 – 4)
=100.
Для актива «Разработки и программные комплексы» по данной угрозе
значения параметров S
1.3
=5; V
1.3
=3.
Величина потерь для данного актива:
R
И4
=10
(5 + 3 – 4)
=10000.
Для активов «Серверное помещение» и «Резервные копии ИС»:
R
Ф
= R
Ф2
=0.
Суммарная стоимость потеря для данной угрозы:
R
1.3
=10300.
Угроза 1.4. НСД к ресурсам ЛВС компании со стороны внешних
злоумышленников.
80
Для актива «Аппаратные средства» по данной угрозе значения параметров
S
1.4
=4; V
1.4
=3.
Величина потерь для данного актива:
R
И1
=10
(4 + 3 – 4)
=1000.
Для актива «Документы пользователей и подразделений» по данной угрозе
значения параметров S
1.4
=4; V
1.4
=3.
Величина потерь для данного актива:
R
И2
=10
(4 + 3 – 4)
=1000.
Для актива «Программы целевого назначения» по данной угрозе значения
параметров S
1.4
=3; V
1.4
=3.
Величина потерь для данного актива:
R
И3
=10
(3 + 3 – 4)
=100.
Для актива «Разработки и программные комплексы» по данной угрозе
значения параметров S
1.4
=4; V
1.4
=3.
Величина потерь для данного актива:
R
И4
=10
(4 + 3 – 4)
=1000.
Для активов «Серверное помещение» и «Резервные копии ИС»:
R
Ф
= R
Ф2
=0.
Суммарная стоимость потеря для данной угрозы:
R
1.4
=3100.
Для угрозы 1.5. НСД к резервным копиям данных:
R
И1
=0;
R
И2
=0;
R
И3
=0;
R
И4
=0;
R
Ф1
=0.
Для актива «Резервные копии ИС» по данной угрозе значения параметров
S
1.5
=3; V
1.5
=3.
Величина потерь для данного актива:
R
Ф2
=10
(3 + 3 – 4)
=100.
Суммарная стоимость потеря для данной угрозы:
R
1.5
=100.
81
Угроза 2.1. Утечка конфиденциальной информации.
Для актива «Аппаратные средства» по данной угрозе значения параметров
S
2.1
=3; V
2.1
=3.
Величина потерь для данного актива:
R
И1
=10
(3 + 3 – 4)
=100.
Для актива «Документы пользователей и подразделений» по данной угрозе
значения параметров S
2.1
=3; V
2.1
=3.
Величина потерь для данного актива:
R
И2
=10
(3 + 3 – 4)
=100.
Для актива «Программы целевого назначения» по данной угрозе значения
параметров S
2.1
=3; V
2.1
=3.
Величина потерь для данного актива:
R
И3
=10
(3 + 3 – 4)
=100.
Для актива «Разработки и программные комплексы» по данной угрозе
значения параметров S
2.1
=3; V
2.1
=3.
Величина потерь для данного актива:
R
И4
=10
(3 + 3 – 4)
=100.
Для актива «Резервные копии ИС» по данной угрозе значения параметров
S
1.5
=3; V
1.5
=3.
Величина потерь для данного актива:
R
Ф2
=10
(3 + 3 – 4)
=100.
Суммарная стоимость потеря для данной угрозы:
R
2.1
=500.
Угроза 2.2. Неумышленное раскрытие конфиденциальной информации
сотрудниками компании
Для актива «Аппаратные средства» по данной угрозе значения параметров
S
2.2
=4; V
2.2
=3.
Величина потерь для данного актива:
R
И1
=10
(4 + 3 – 4)
=1000.
Для актива «Документы пользователей и подразделений» по данной угрозе
значения параметров S
2.2
=4; V
2.2
=3.
Величина потерь для данного актива:
82
R
И2
=10
(4 + 3 – 4)
=1000.
Для актива «Программы целевого назначения» по данной угрозе значения
параметров S
2.2
=3; V
2.2
=3.
Величина потерь для данного актива:
R
И3
=10
(3 + 3 – 4)
=100.
Для актива «Разработки и программные комплексы» по данной угрозе
значения параметров S
2.2
=3; V
2.2
=3.
Величина потерь для данного актива:
R
И4
=10
(3 + 3 – 4)
=100.
Для активов «Серверное помещение» и «Резервные копии ИС»:
R
Ф
= R
Ф2
=0.
Суммарная стоимость потеря для данной угрозы:
R
2.2
=2200.
Угроза 2.3. Разрушение данных по причине системного сбоя или ошибки
ПО, использование не протестированного ПО.
Для актива «Аппаратные средства» по данной угрозе значения параметров
S
2.3
=3; V
2.3
=3.
Величина потерь для данного актива:
R
И1
=10
(3 + 3 – 4)
=100.
Для актива «Документы пользователей и подразделений» по данной угрозе
значения параметров S
2.3
=3; V
2.3
=3.
Величина потерь для данного актива:
R
И2
=10
(3 + 3 – 4)
=100.
Для актива «Программы целевого назначения» по данной угрозе значения
параметров S
2.3
=3; V
2.3
=3.
Величина потерь для данного актива:
R
И3
=10
(3 + 3 – 4)
=100.
Для актива «Разработки и программные комплексы» по данной угрозе
значения параметров S
2.3
=3; V
2.3
=3.
Величина потерь для данного актива:
R
И4
=10
(3 + 3 – 4)
=100.
83
Для актива «Резервные копии ИС» по данной угрозе значения параметров
S
1.5
=3; V
1.5
=3.
Величина потерь для данного актива:
R
Ф2
=10
(3 + 3 – 4)
=100.
Суммарная стоимость потеря для данной угрозы:
R
2.3
=500.
Угроза 3.1. Затопление, пожар, ураган, землетрясение и т.п.
Для актива «Аппаратные средства» по данной угрозе значения параметров
S
3.1
=3; V
3.1
=3.
Величина потерь для данного актива:
R
И1
=10
(3 + 3 – 4)
=100.
Для актива «Документы пользователей и подразделений» по данной угрозе
значения параметров S
3.1
=3; V
3.1
=3.
Величина потерь для данного актива:
R
И2
=10
(3 + 3 – 4)
=100.
Для актива «Программы целевого назначения» по данной угрозе значения
параметров S
3.1
=3; V
3.1
=3.
Величина потерь для данного актива:
R
И3
=10
(3 + 3 – 4)
=100.
Для актива «Разработки и программные комплексы» по данной угрозе
значения параметров S
3.1
=3; V
3.1
=3.
Величина потерь для данного актива:
R
И4
=10
(3 + 3 – 4)
=100.
Для актива «Серверное помещение» по данной угрозе значения параметров
S
3.1
=3; V
3.1
=3.
Величина потерь для данного актива:
R
Ф1
=10
(3 + 3 – 4)
=100.
Для актива «Резервные копии ИС» по данной угрозе значения параметров
S
3.1
=3; V
3.1
=3.
Величина потерь для данного актива:
R
Ф2
=10
(3 + 3 – 4)
=100.
Суммарная стоимость потеря для данной угрозы:
84
R
2.3
=600.
Значения рассчитанных величин сведём в таблицу 12.
Таблица 12
Величины потерь (рисков) для критичных информационных ресурсов
до внедрения системы защиты информации
Актив
Угроза
Величина
потерь
(тыс.руб.)
Актив «Аппаратные средства»
1.2, 1.3, 1.4, 2.1, 2.2, 2.3, 3.1
3200
Актив «Документы»
1.2, 1.3, 1.4, 2.1, 2.2, 2.3, 3.1
3200
Актив «Программы целевого
назначения»
1.2, 1.3, 1.4, 2.1, 2.2, 2.3, 3.1
2000
Актив «Разработки и
программные комплексы»
1.2, 1.3, 1.4, 2.1, 2.2, 2.3, 3.1
12700
Актив «Сервер, Хранилище
данных»
1.1, 3.1
400
Актив «Резервные копии ИС»
1.1, 1.5, 2.1, 2.3, 3.1
11400
Суммарная величина потерь
32800
Итак, рассчитанная суммарная величина потерь составила 32 800 000
рублей.
3.2. Расчёт показателей экономической эффективности
Для оценки показателей экономической эффективности необходимо
оценить разовый и постоянный ресурсы, необходимые для организации СЗИ.
Разовый ресурс расходуется на закупку, установку и наладку
дорогостоящей техники. Постоянный ресурс - на заработную плату сотрудникам
службы безопасности и поддержание определенного уровня безопасности,
прежде всего, путем эксплуатации технических средств и контроля
эффективности защиты.
Данные о содержании и объеме разового ресурса, выделяемого на защиту
информации, приведены в таблице 13.
85
Таблица 13
Содержание и объем разового ресурса, выделяемого на защиту информации
Организационные мероприятия
№
п\п
Выполняемые действия
Среднечасовая
зарплата
специалиста (руб.)
Трудоемкость
операции
(чел.час)
Стоимость,
всего
(тыс.руб.)
1
Оценка качества
оборудования ЗИ
1600
55
88
Стоимость проведения организационных мероприятий, всего
88
Мероприятия инженерно-технической защиты
№
п/п
Номенклатура ПиАСИБ,
расходных материалов
Стоимость,
единицы (тыс.руб)
Кол-во
(ед.измерения)
Стоимость,
всего
(тыс.руб.)
1
Закупка необходимого
оборудования СКУД
22000
10
220000
2
Установка и наладка
оборудования СКУД
1800
32
56700
Стоимость проведения мероприятий инженерно-технической защиты
277,6
Объем разового ресурса, выделяемого на защиту информации
365,6
Данные о содержании и объеме постоянного ресурса, выделяемого на
защиту информации, приведены в таблице 14.
Таблица 14
Содержание и объем постоянного ресурса, выделяемого на защиту
информации
Организационные мероприятия
№
п\п
Выполняемые
действия
Среднечасовая
зарплата специалиста
(руб.)
Трудоемкость
операции
(чел.час)
Стоимость,
всего
(тыс.руб.)
1
Оценка исходного
уровня защищенности
компании
1200
7
8,4
2
Разработка политики
информационной
безопасности
1000
16
16
3
Разработка положения
о коммерческой тайне
1000
5
5
Стоимость проведения организационных мероприятий, всего
29,4
1
Поддержание
технического уровня
СКУД
1300
25
32,5
2
Эксплуатация СКУД
1200
25
30
Стоимость проведения мероприятий инженерно-технической защиты
62,5
Объем постоянного ресурса, выделяемого на защиту информации
91,9
86
Теперь необходимо получить прогнозируемые данные о величине потерь
для критичных информационных ресурсов после внедрения системы защиты
информации. Результаты сформированы по результатам экспертного опроса и
внесены в таблицу 15.
Таблица 15
Величины потерь (рисков) для критичных информационных ресурсов
после внедрения/модернизации системы защиты информации
Актив
Угроза
Потери
(тыс.руб.)
Актив «Аппаратные средства»
1.2, 1.3, 1.4, 2.1, 2.2, 2.3, 3.1
2000
Актив «Документы
пользователей и
подразделений»
1.2, 1.3, 1.4, 2.1, 2.2, 2.3, 3.1
2000
Актив «Программы»
1.2, 1.3, 1.4, 2.1, 2.2, 2.3, 3.1
1400
Актив «Разработки и
программные комплексы»
1.2, 1.3, 1.4, 2.1, 2.2, 2.3, 3.1
10500
Актив «Серверное помещение»
1.1, 3.1
200
Актив «Резервные копии ИС»
1.1, 1.5, 2.1, 2.3, 3.1
6700
Суммарная величина потерь
22800
Теперь оценим динамику величин потерь за период не менее 1 года и
внесём данные в таблицу 16.
Таблица 16
Оценка динамики величин потерь
1 кв.
2 кв.
3 кв.
1 год
1 кв.
2 кв.
3 кв.
2 год
До внедрения
СЗИ
4100
8200
12300
16400
20500
24600
28700
32800
После
внедрения
СЗИ
2850
5700
8550
11400
14250
17100
19950
22800
Снижение
потерь
1250
2500
3750
5000
6250
7500
8750
10000
В заключении определим срок окупаемости системы (Ток) аналитическим
способом.
Суммарное значение ресурса, (R
∑
) выделенного на защиту информации,
составило 457,5 т. р.
Объем среднегодовых потерь компании (R
ср
) из-за инцидентов
информационной безопасности составлял 16400 т. р.
87
Прогнозируемый ежегодный объем потерь (R
прогн
) составит 11400 тыс.
рублей.
Т
ок
= R
∑
/ (R
ср
– R
прогн
) = 457,5/(16400-11400) = 0,1 года = примерно 1,5
месяца.
Итак, срок окупаемости системы 1,5 месяца.