118. Виды и характеристика затрат на систему защиты информации.

Прямые и косвенные затраты – традиционный подход.

Международный - совокупная стоимость владения (за счет каких мер достигается экономический эффект; оцениваем не только СЗИ, а сравниваем с существующей и образцово показательной, показываем место нашей СЗИ).

При этом прямые затраты включают как капитальные компоненты затрат (ассоциируемые с фиксированными активами или “собственностью”), так и трудозатраты, которые учитываются в категориях операций и административного управления. Сюда же относят затраты на услуги удаленных пользователей, аутсорсинг и др., связанные с поддержкой деятельности организации.

В свою очередь косвенные затраты отражают влияние КИС и подсистемы защиты информации на сотрудников компании посредством таких измеримых показателей как простои и “зависания” корпоративной системы защиты информации и КИС в целом, затраты на операции и поддержку (не относящиеся к прямым затратам). Очень часто косвенные затраты играют значительную роль, так как они обычно изначально не отражаются в бюджете на ИБ, а выявляются явно при анализе затрат в последствии, что в конечном счете приводит к росту “скрытых” затрат компании на ИБ.

119. Обзор существующих методов оценки затрат на защиту информации.

Традиционный подход – оценка затрат.

Международный - совокупная стоимость владения (за счет каких мер достигается экономический эффект; оцениваем не только СЗИ, а сравниваем с существующей и образцово показательной, показываем место нашей СЗИ).

На международном уровне существуют различные методы оценки затрат и доходной части проектов в области ИБ:

• Прикладной информационный анализ (AIE) позволяет оценивать инвестиции в проекты ЗИ на основе затрат/выгод, с финансово-экономической точки зрения.

• Потребительский индекс (CI) – оценивает влияние инвестиций в ЗИ на численность и состав потребителей (пользователей).

• Добавленная стоимость (EVA) – рассматривается коэффициент прибыли для службы ЗИ.

• Исходная экономическая стоимость (EVS) – оценивает в количественной форме возврат от инвестиций в ЗИ

• Управление портфелем активов (PM) – позволяет оценить сроки и размеры прибыльности, риски за счёт внедрения КСЗИ

• Оценка действительных возможностей проекта по безопасности (ROV) – хорошо рассчитывает прогностические

• Метод жизненного цикла искусственных систем (SLCA) – строится два вида моделей – «как есть» и «как должно быть» с учётом реальных бизнес-процессов

• Система сбалансированных показателей (BSC) – позволяет традиционными показателями финансовых отчётов оценить проект по ЗИ, особенно инновационную составляющую

Наиболее распространённым методом оценки затратной части в настоящее время является метод совокупной стоимости владения (TCO).

В целом методика ТСО позволяет:

• получить адекватную информацию об уровне защищенности распределенной вычислительной среды и совокупной стоимости владения корпоративной системы защиты информации;

• сравнить подразделения службы ИБ компании, как между собой, так и с аналогичными подразделениями других предприятий в данной отрасли;

• оптимизировать инвестиции на ИБ компании с учетом реального значения показателя ТСО.