Файл: «Назначение и структура системы защиты информации коммерческого предприятия».pdf

Таблица 2.7 – Потери компании при съеме информации с телефонной линии

Таблица 2.8 – Потери компании при съеме информации за счет ПЭМИН

Таблица 2.9 – Потери компании в результате хищения информации

Таблица 2.10 – Потери компании в результате атаки на сетевую инфраструктуру

На основе таблиц 2.5-2.10 и таблицы 2.4 рассчитаем ожидаемые потери компании от реализации приведенных угроз как произведение общих потерь компании на вероятность реализации в случае возникновения каждой угрозы. Результаты представлены в таблице 2.11.

Таблица 2.11 – Уровень ожидаемых потерь

Итого, 29 298 000 руб. – возможные потери в случае реализации всех выделенных угроз. На следующем этапе рассчитаем ожидаемые потери после внедрения СЗИ.

2.4 Расчет уровня ожидаемых потерь при внедрении СЗИ

Рассчитанные выше результаты об уровне потерь не учитывают работу функционирующих средств защиты на предприятии. Этот комплекс средств позволят снизить вероятность реализации угроз и таким образом, в конечном счете, изменится и уровень ожидаемых потерь. Функционирующие СЗИ наглядно продемонстрированы на рисунке 2.3. Для построения модели угроз со средствами противодействие используем программный инструментарий Coras.

Рисунок 2.3 – Модель угроз с использованием СЗИ

Таким образом, составим новую таблицу с угрозами и вероятностью их реализации.

Утечка информации за счет персонала: реализацию данной угрозы после внедрения СКУД и системы видеонаблюдения, а также парольной защиты рабочих мест сложнее, данные действия персонала можно отследить. Но проведенные мероприятия не исключают полностью реализацию угрозы – присваиваем данной угрозе среднюю оценку – 0,5.

НСД с проникновением в помещение: НСД в помещение полностью исключено – СКУД позволяет ограничить доступ в разного рода помещения предприятия лишь ограниченному кругу лиц, имеющих специальные «ключи» настроенные индивидуально на каждого работника предприятия – 0,01

Съем информации по телефонной линии: осуществляется с использованием специальных технических средств и требует определенной квалификации нарушителя. Для предприятия малого бизнеса реализаций данной угрозы маловероятна, но полностью исключать такую возможность не будем, при этом никаких средств противодействия внедрено не было – присваиваем вероятность 0,2.

Съем информации за счет ПЭМИН: также осуществляется с использованием специальных технических средств и требует определенной квалификации нарушителя. К тому же, организация находится в обособленном здании, занимаемым только ею, что также уменьшает вероятность реализации данной угрозы, при этом никаких средств противодействия внедрено не было – 0,2.

Хищение информации: нарушитель или работник организации может похитить носитель информации, произвести копирование или внести изменение в информацию, но сделать это будет затруднительно, так как помещение оборудовано системой видеонаблюдения (для сотрудника организации) и СКУД обеспечивает защиту от проникновения в помещение нарушителей . Присваиваем данной среднюю оценку – 0,5.

Атака на сетевую инфраструктуру: сервер компании находится в полностью защищенном от угроз помещении (описано выше), каждый ПК обеспечен антивирусной защитой – присваиваем угрозе вероятность реализации ниже средней – 0,2.

В итоге, внедренные средства позволили снизить вероятность реализации угрозы до допустимых значений. Перечень угроз с соответствующей вероятностью реализации после внедрения СЗИ представлены в таблице 2.12.

Таблица 2.12 - Перечень угроз и вероятность их реализации после внедрения СЗИ

На основе данных таблиц 2.5-2.10 и таблицы 2.12, рассчитаем уровень потерь в случае реализации угроз после внедрения СЗИ на предприятии. Данные расчеты представлены в таблице 13.

Таблица 2.13 – Уровень ожидаемых потерь после внедрения СЗИ на предприятии

Внедренная СЗИ позволяется избежать ряда угроз и снизить вероятность их реализации, что наглядно демонстрирует расчет, приведенный в таблице 2.13. Полученное значение уровня ожидаемых потерь с использованием СЗИ позволит рассчитать, насколько вложенные в защиту информации средства эффективны.

ЗАКЛЮЧЕНИЕ

В работе были представлены основные методы, применяемые для расчета экономической эффективности СЗИ на предприятиях разного типа. В результате проведенного анализа была выделена группа финансовых методов, как наиболее эффективных при расчете на малом предприятии. На основе критериального анализа результатов по каждому методу были предложены рекомендации по их применению. Наибольший эффект при расчете достигается при использовании комбинации методов ТСО и roi. TCO позволяет учесть все затраты, в том числе и скрытые, что является ключевым моментом для планирования расходов на предприятии, а roi дает помогает учесть возможные риски и продемонстрировать экономическую привлекательность проекта. Данные показатели дают количественную оценку, что также является их преимуществом, по сравнению с другими группами методов.

В исследовании выделены следующие основные результаты и выводы:

• рассмотрены подходы к оценке экономической эффективности СЗИ и проведен их детальный анализ;
• рассмотрены частные методики оценки эффективности вложений в ИБ, которые находят применение в компаниях различного типа;
• на основе анализа, приведена сравнительная характеристика рассмотренных методов и выделена группа наиболее эффективных;
• подробно описан объект исследования и проведен анализ рисков на предприятии;
• произведен расчет экономической эффективности СЗИ на малом предприятии с использованием финансовых методов;
• предложены методические рекомендации по применению методов расчета для малых предприятий.

СПИСОК ИСПОЛЬЗОВАННЫХ ИСТОЧНИКОВ

1. Ажмухамедов И. М., Ханжина Т. Б. Оценка экономической эффективности мер по обеспечению информационной безопасности // Вестник Астраханского государственного технического университета. Серия: Экономика – 2011. – №1. – С. 185-190.

2. Исследование уровня информационной безопасности в российских компаниях – URL: https://searchinform.ru/research/2017/ (Дата обращения 22.02. 2018).

3. Информационная безопасность (рынок России) – URL: http://www.tadviser.ru/index.php/%D0%A1%D1%82%D0%B0%D1%82%D1%8C%D1%8F:%D0%98%D0%BD%D1%84%D0%BE%D1%80%D0%BC%D0%B0%D1%86%D0%B8%D0%BE%D0%BD%D0%BD%D0%B0%D1%8F_%D0%B1%D0%B5%D0%B7%D0%BE%D0%BF%D0%B0%D1%81%D0%BD%D0%BE%D1%81%D1%82%D1%8C_(%D1%80%D1%8B%D0%BD%D0%BE%D0%BA_%D0%A0%D0%BE%D1%81%D1%81%D0%B8%D0%B8) (Дата обращения 25.12. 2017).

4. Каким должен быть процент на ИБ от ИТ-бюджета? – URL: http://lukatsky.blogspot.ru/2016/03/blog-post_22.html (Дата обращения 03.12.2017)

5. Баранова Е. К., Бабаш А. В. Информационная безопасность и защита информации / Третье издание, переработанное и дополненное. М. : ИНФРА-М, РИОР, 2016. – 322 с.

6.  Антонова Е. К., Баранова Е. К., Бабаш А. В. Особенности оценки экономической эффективности системы защиты информации // В кн.: Материалы 26-й научно-практической конференции “Методы и технические средства обеспечения безопасности информации”. 26-29 июня 2017. СПб. : Федеральное государственное автономное образовательное учреждение высшего образования "Санкт-Петербургский политехнический университет Петра Великого", 2017. С. 68-77

7. Богаткина Ю.Г., Пономарева И.А., Еремин Н.А. Применение информационных технологий для экономической оценки нефтегазовых инвестиционных проектов / М: МАКС Пресс, 2016.- 148 с.

8. Планирование затрат на информационную безопасность. - URL https://www.anti-malware.ru/analytics/Technology_Analysis/economic_planning (Дата обращения 10.05.2018)

9. Чистая приведенная стоимость: что это такое, что собой представляет этот показатель. – URL: http://znaydelo.ru/biznes/chistaya-privedennaya-stoimost.html (Дата обращения 09.05.2018).

10.Измерение эффективности ИБ [Электронный курс] – URL http://lukatsky.blogspot.ru/2013/07/blog-post.html (Дата обращения 21.02.2018)

11. Хомяков К.Г., Каницкая Л.В. Оценка эффективности инвестиций в комплексные системы защиты информации компаний нефтегазового комплекса для принятия взвешенного инвестиционного решения // Фундаментальные исследования. – 2015. – № 2-23. – С. 5173-5177.

[12] Попова Е. В. Выбор варианта системы защиты информации по критерию обеспечения конкурентоспособности предприятия // Научно-технический вестник информационных технологий, механики и оптики. 2014. - № 2 . - С. 155—160.

13. Антонова Е. К., Баранова Е. К., Кондрина А. А. Сравнительный анализ методик оценки экономической эффективности проектов системы защиты информации в организации // В кн.: V Международная научно-практическая конференция «Управление информационной безопасностью в современном обществе» (30 мая — 1 июня 2017 г.) : сб. науч. тр. М. : Издательский дом НИУ ВШЭ, 2017. С. 12-29.

14. Голиков, Ю.А. Экономическая эффективность системы защиты информации :учеб.-метод. пособие. – Новосибирск : СГГА, 2012. – 41 с.

15. Шепитько Г.Е. Экономика защиты информации: учебное пособие. – М.: МФЮУ, 2011. – 64 с.

16. Дата-центр – URL: https://ru.wikipedia.org/wiki/%D0%94%D0%B0%D1%82%D0%B0-%D1%86%D0%B5%D0%BD%D1%82%D1%80 (Дата обращения 11.04.2018).

17 Филиппова И., Соколова А. Косвенные расходы при оценке ТСО // Директор Информационной службы. – 2008. - №10 – URL: https://www.osp.ru/cio/2008/10/5337671/ (Дата обращения 22.02.2018).

18 Зубарева Е.В., Васенёва В.А., Николаенко В.Г. Количественная оценка эффективности инвестиций в информационную безопасность предприятия. // Евразийский союз ученых. – М.: Изд-во ООО Международный образовательный центр – 2015. – №5(14) – С. 63-65.