Добавлен: 29.10.2023
Просмотров: 214
Скачиваний: 8
ВНИМАНИЕ! Если данный файл нарушает Ваши авторские права, то обязательно сообщите нам.
Невозможно полностью исключить затраты на безопасность, однако они могут быть приведены к приемлемому уровню. Некоторые виды затрат на безопасность являются абсолютно необходимыми, а некоторые могут быть существенно уменьшены или исключены. Последние – это те, которые могут исчезнуть при отсутствии нарушений политики безопасности или сократятся, если количество и разрушающее воздействие нарушений уменьшатся.
При соблюдении политики безопасности и проведении профилактики нарушений можно исключить или существенно уменьшить следующие затраты:
-
На восстановление системы безопасности до соответствия требованиям политики безопасности. -
На восстановление ресурсов информационной среды предприятия. -
На переделки внутри системы безопасности. -
На юридические споры и выплаты компенсаций. -
На выявление причин нарушения политики безопасности.
Необходимые затраты – это те, которые необходимы даже если уровень угроз безопасности достаточно низкий. Это затраты на поддержание достигнутого уровня защищенности информационной среды предприятия.
Неизбежные затраты могут включать:
-
Обслуживание технических средств защиты. -
Конфиденциальное делопроизводство. -
Функционирование и аудит системы безопасности. -
Минимальный уровень проверок и контроля с привлечением специализированных организаций. -
Обучение персонала методам информационной безопасности.
-
Экономические проблемы информационных ресурсов и защиты информации
Расходы на технологии кибербезопасности в мировом масштабе устойчиво растут. В 2022 году затраты в соответствующем сегменте поднялись на 15,8% по сравнению с предыдущим годом, достигнув $71,1 млрд. Об этом 23 марта 2023-го сообщила аналитическая компания Canalys (https://canalys.com/).
В исследовании учитываются показатели по шести ключевым сегментам рынка ИБ-технологий. Это средства обеспечения безопасности конечных точек, инструменты сетевой защиты, безопасность данных, веб-безопасность и защита электронной почты, софт для поиска и анализа уязвимостей, а также системы управления доступом к идентификационным данным.Поставки ИБ-продуктов через каналы продаж за год выросли на 16,1% — до $64,6 млрд, что составляет 91% от общего объёма глобального рынка. На непосредственные сделки между заказчиками и поставщиками защитных решений пришлись оставшиеся 9%. К концу 2022-го средства обеспечения сетевой безопасности стали самой крупной категорией с точки зрения затрат клиентов. Далее следуют инструменты для обнаружения уязвимостей и программное обеспечение для управления доступом к идентификационным данным.
Оптимистичные результаты компенсируются растущими бюджетными ограничениями на ИТ, которые вынуждают заказчиков расставлять приоритеты в проектах, в то время как дополнительные уровни контроля ещё больше удлиняют циклы продаж. Ведущие поставщики боролись за позиции на сильно фрагментированном рынке. В центре внимания остаются средства контроля доступа, облачная защита и модернизация центров управления безопасностью, — говорится в отчёте Canalys (https://canalys.com/).
По состоянию на конец 2022 года 12 ведущих поставщиков инструментов кибербезопасности контролировали практически половину мирового рынка в плане расходов — 47,1%.
Лидером отрасли стала Palo Alto Networks с долей около 7,9%. На втором месте находится Fortinet с 6,8%, а замыкает тройку Cisco с 6,1%. Далее идут Check Point и CrowdStrike, показатель которых составляет соответственно 3,8% и 3,2%. На шестой строке располагается IBM с 3,1%, на седьмой — Okta с 3%. Затем идут Microsoft, Trellix и Symantec — 2,9%, 2,9% и 2,6%. Одиннадцатое и двенадцатое места достались Splunk и Trend Micro, доли которых составили 2,4% и 2,3%. Все прочие поставщики вместе взятые контролируют 52,9% отрасли.
Необходимость в защите информации от постороннего вмешательства и наблюдения давно осознана, разработаны и продолжают разрабатываться соответствующие технологии. Однако увлечение отдельными решениями из области информационной безопасности заслоняет сохраняющуюся фундаментальную проблему, а именно достаточность и эффективность систем защиты с точки зрения пользователя.
Мерилом потребительских качеств подобных систем может служить соотношение «стоимость/эффективность», т.е., в конечном счете, баланс между возможным ущербом от несанкционированных действий и размером вложений, которые необходимо потратить для обеспечения защищенности информационных ресурсов.
Инвестиции в разработку проектов защиты объекта, закупку необходимых элементов безопасности и эксплуатацию систем защиты для владельца информации есть ни что иное, как материализованный экономический ущерб. Идя на эти траты, пользователь надеется избежать большего ущерба, связанного с возможным нарушением конфиденциальности. Возникает дилемма: внести плату (частично реализовав ущерб) за возможность уклонения с долей вероятности или допустить возможность ущерба в полной мере, не тратя ничего. Разумное решение состоит в определении оптимальных вложений в системы защиты, обеспечивающих минимальные финансовые потери владельца информации при несанкционированных действиях с нею.
Перед пользователем стоит задача создания оптимальной, с экономической точки зрения, системы защиты информации. Эта задача не так характерна для государственных организаций, однако весьма актуальна для хозяйственно самостоятельных субъектов, ориентированных на деятельность в рыночных условиях.
Наиболее надежными системами защиты информации (СЗИ) являются те, в которых комплексно реализованы все возможные и доступные меры — морально-этические, законодательные, организационные, экономические и технические. Однако комплексные решения очень дороги и могут быть реализованы далеко не всегда. Кроме того, ущерб от утраты защищаемой информации или от разного рода несанкционированных действий с ней может быть гораздо меньше стоимости СЗИ. Поэтому уровень финансовых средств, выделяемых на создание и эксплуатацию СЗИ, должен быть сбалансированным и соответствовать масштабу угроз. Если стоимость СЗИ по сравнению с предполагаемым ущербом мала, то основным фактором риска собственника являются экономические потери от несанкционированных действий с принадлежащей ему информацией. В противоположной ситуации основные потери связаны с чрезмерно высокой стоимостью СЗИ. Необходимо при этом отметить, что затраты на СЗИ носят детерминированный характер, поскольку они уже материализованы в конкретные меры, способы и средства защиты, а вот ущерб, который может быть нанесен при несанкционированных действиях, — величина случайная.
Такой качественный анализ позволяет предполагать, что существует область экономически оптимальных СЗИ, обеспечивающих наименьший риск собственника информации. В качестве меры риска понимаются ожидаемые суммарные потери в процессе защиты информации в течение определенного периода времени. Проведенное автором исследование, основанное на количественном моделировании риска, подтвердило это предположение, обеспечив оценку параметров экономически оптимальных СЗИ.
Результаты численного моделирования подтвердили, что экономически оптимальная СЗИ не является самой безопасной. Более того, вероятность ущерба от несанкционированных действий при реализации такой системы может превышать в несколько раз минимально возможные значения показателей безопасности защиты информации. Поэтому применение изложенного подхода ограничено областью экономической целесообразности. В случаях, когда доминирующим требованием является обеспечение абсолютной безопасности информации, реализация концепции экономически оптимальной СЗИ не применима. Это относится, например, к сведениям, составляющим государственную тайну. Тем не менее, оптимальные СЗИ обеспечивают адаптацию требований безопасности к размеру возможного ущерба.
Изложенные результаты базируются на вполне логичном предположении о том, что более высокий уровень безопасности достигается за счет увеличения стоимости СЗИ.
-
Развитие услуг информационной безопасности
По оценке Accenture (https://www.accenture.com/) мировой рынок услуг в сфере кибербезопасности будет расти на 13% в год и достигнет объема в $94 млрд к 2025 г. Об этом компания сообщила 4 февраля 2022 года. Главными направлениями развития станут кибербезопасность как сервис и автоматизация операций ИБ, особое внимание будет уделено защите критической инфраструктуры и приложений.
По мнению Accenture, рост расходов на кибербезопасность обусловлен различными факторами, в частности постоянным увеличением объема вредоносного ПО. Непрерывно эволюционируют методы злоумышленников. Услуги хакеров становятся более доступны и часто используются как средство конкурентной борьбы или легкого заработка, что привело к формированию модели Cybercrime-as-a-Service (киберпреступление как услуга).
Киберпреступность – незаконные, противоправные действия, которые осуществляются людьми, использующими информационно-телекоммуникационные технологии, компьютеры и компьютерные сети для преступных целей.
Зависимость бизнес-экосистем от стабильной работы цифровой инфраструктуры делает компании крайне уязвимыми перед ИБ-угрозами. Эффективность атак при этом растет, так как киберпреступники вооружаются цифровыми технологиями, включая ML/AI-решения.
Симметричным ответом мошенникам на использование ИИ станет развитие решений с применением ML/AI для защиты сетей, данных, конечных устройств, доступа, приложений, облаков и пр. По прогнозам, сегмент ИБ-решений с применением ИИ к 2027 году может составить $46 млрд.
В построении информационной защиты у компаний остается множество узких мест. Так, атаки ведутся комплексно – на экосистемы и цепочки поставок – и противостоять им организованно вместе с партнерами предстоит научиться.
Масштабная цифровизация экономики требует молниеносного time-to-market: в итоге многие приложения и решения выходят в «сыром» небезопасном виде.
В итоге темпы цифровой трансформации опережают развитие ИБ. Сказывается и нехватка специалистов: в мире около 3,5 млн незакрытых вакансий ИБ-специалистов.
Ответом на эти вызовы станет развитие модели «Security-as-a-service» (безопасность как сервис) – эта модель позволяет быстро решить актуальные задачи даже в условиях дефицита кадров. Также для реализации комплексных ИБ-стратегий и защиты экосистем бизнеса будут создаваться объединенные киберцентры — Cyber Fusion Center, объединяющие за одним столом компетенции по ИТ, ИБ, рискам, комплаенсу, экономической безопасности и различным направлениям бизнеса для быстрого реагирования на цифровые риски и угрозы.
Инструменты аналитики будут применяться в сфере информационной безопасности все более активно: это даст возможность эффективнее находить «узкие» места в ИТ-инфраструктуре, быстрее предвосхищать атаки и точнее ранжировать риски.
Развиваются инструменты аналитики киберугроз (Cyber Threat Intelligence и Threat Hunting) и выявления аномалий (Anomaly Detection). Для тестирования гипотез, проверки надежности инфраструктуры и повышения эффективности выявления и прогнозирования кибератак будут создаваться различные варианты кибердвойников ИТ и ИБ инфраструктуры и систем компании.
Киберугроза – это незаконное проникновение или угроза вредоносного проникновения в виртуальное пространство для достижения политических, социальных или иных, целей.
Вырастет востребованность услуг по развитию ИБ-компетенций, включая проведение киберучений и киберполигоны, повышение осведомленности, развитие знаний и навыков пользователей в области ИБ.
Киберполигон - учебно-тренировочная платформа для обучения методам обнаружения, анализа и устранения последствий компьютерных атак.
Также это касается инструментов обеспечения безопасности удаленной работы: инфраструктуры, удаленного подключения и облаков.
ЗАКЛЮЧЕНИЕ
В своей работе я рассмотрела основные аспекты информационной безопасности, привела пример оценки затрат ИБ. Изучила нормативную литературу, а также дополнительные источники информации. Проблема защиты информации является многоплановой и комплексной и охватывает ряд важных задач. Проблемы информационной безопасности постоянно усугубляются процессами проникновения во все сферы общества технических средств обработки и передачи данных и, прежде всего, вычислительных систем. Ценность изучения данной темы определена бурным развитием информационных и телекоммуникационных технологий, их активным внедрением в деятельность предприятий и организаций, и вытекающей из этого потребностью защиты информации.
В заключение отмечу, что оптимальные СЗИ наиболее целесообразны для экономически самостоятельных субъектов, которые в своей деятельности вынуждены соблюдать баланс между затратами на СЗИ и возможным ущербом. Реализация таких систем защиты информации возможна при тщательном учете всех аспектов, включая количественную оценку безопасности и размера ожидаемых потерь. Оценка экономически оптимальных параметров должна являться основой формирования конкретного технического облика СЗИ. К сожалению, сегодня проектирование СЗИ обычно осуществляется с ориентацией на произвольно выделяемый бюджет, не имеющий объективного обоснования по системе критериев «стоимость информации — размер возможного ущерба — риски». При этом владелец информационных ресурсов, если не проводит тщательного анализа и не оптимизирует размер выделяемых на СЗИ средств, практически всегда оказывается в экономическом проигрыше.