Первый учебный вопрос: Назначение структура и основные направления финансово-экономического обеспечения информационной безопасности хс

Сл. 4. В соответствии с определенными нами ранее порядком и структурой декомпозиции СОИБ, проведем анализ ее финансово-экономического обеспечения. Графически структура подсистемы финансово-экономического обеспечения показана на рис.1.

Рис.1. Структура подсистемы финансово-экономического СОИБ

При этом основными направлениями финансово-экономического обеспечения нами определены следующие:

- анализ финансово-экономической деятельности ХС, как инструмент для определения материальной основы построения или совершенствования СОИБ;

- моделирование и анализ затрат на информационную безопасность ХС, в качестве инструмента для обоснования необходимого финансирования при создании (совершенствовании) или функционировании СОИБ;

- оптимизация затрат на информационную безопасность ХС, рассматривающаяся в качестве процесса, необходимого для определения минимально достаточного уровня затрат на создание (совершенствование) или функционирование СОИБ.

Первое из выделенных нами направлений в настоящем пособии рассматриваться не будет в связи с тем, что инструмент анализа финансово-хозяйственной деятельности исследован весьма детально. Следует обратить внимание на то, что привлечение специалистов службы безопасности ХС к реализации этого направления является необходимым для последующего формирования бюджета системы безопасности ХС в целом и СОИБ – в частности.

Важная задача управления функционированием СОИБ заключается в определении перечня затрат, относящихся к обеспечению ИБ ХС и распределение их по категориям, а также в структурировании перечень таким образом, чтобы сущность каждой позиции (каждого элемента) был ясен персоналу предприятия. Кроме этого должна быть введена достаточно четкая система обозначения для каждой позиции перечня.

Главной задачей сбора данных по затратам на обеспечение информационной безопасности и их структурирования является обеспечение руководства ХС эффективным инструментом управления. Особенно важно, чтобы отдельные позиции перечня затрат были определимы в том виде, как они названы и распределены для различных категорий, например для:

- структурного подразделения ХС;

- защищаемого ресурса (по всем типам ресурсов);

- рабочего места пользователя информационной системы ХС;

- рисков по каждой категории информации.

Требования должны быть установлены руководством ХС или службы безопасности предприятия для собственного (внутреннего) использования. Однако при этом не следует забывать, что собранной информации должно быть достаточно для проведения последующего анализа. Система обеспечения информационной безопасности, а следовательно и система учета и анализа затрат на эти нужды, которая не учитывает особенности функционирования ХС, имеет мало шансов на успех. Такая система должна быть встроена в структуру ХС.

Сл. 5. Следующей важной задачей является определение затрат на обеспечение ИБ. После того, как создана система классификации и кодирования различных элементов затрат на безопасность, необходимо выявить источники данных о затратах. Такая информация уже может существовать, часть ее достаточно легко получить, в то время как другие данные определить будет значительно труднее, а некоторые могут быть недоступны.

При структурировании затрат на контроль необходимо иметь в виду, что основной объем затрат составляет оплата труда персонала IT-безопасности и другого персонала предприятия, занятого проверками и испытаниями. Эти затраты могут быть определены весьма точно. Оставшиеся затраты в основном связаны со стоимостью конкретных специальных работ и услуг внешних организаций и материально-техническим обеспечением СОИБ. Они могут быть определены напрямую. Таким образом, очевидно, что получить точную информацию по затратам на контроль можно достаточно просто.

Структурирование внутренних затрат на компенсацию нарушений политики ИБ ХС связано с большими трудностями. При этом достаточно легко установить затраты на обновление или приобретение программных средств защиты информации, приобретение технических средств защиты, восстановление информационных ресурсов, на внедрение дополнительных средств защиты и других.

Труднее выявить объемы заработной платы и накладных расходов при проведении дополнительных испытаний и проверок, утилизации скомпрометированных ресурсов, проведению мероприятий по контролю достоверности данных, подвергшихся атаке, проведению расследований нарушений политики безопасности и других. Сложность при этом связана с тем, что выяснение затрат на эти виды деятельности связано с различными отделами: IT, финансовым, службой безопасности, бухгалтерией и другими.

Поскольку каждый привлеченный к такой работе сотрудник, как правило не в течении всего рабочего дня решает проблемы, связанные нарушениями политики безопасности, то оценка потерь должна быть произведена с учетом реально затраченного на эту деятельность времени. Таким образом, можно видеть, что основные виды затрат в этой категории могут быть определены с достаточной степенью точности.

Структурирование внешних затрат на компенсацию нарушений политики ИБ. Часть внешних затрат на компенсацию нарушений политики безопасности связана с тем, что были скомпрометированы коммерческие данные партнеров и персональные данные пользователей услуг предприятия. Затраты, связанные с восстановлением доверия, определяются таким же образом, как и в случае внутренних потерь.

Однако существуют и другие затраты, которые определить достаточно сложно. В их числе: затраты на проведение дополнительных стратегических исследований, затраты связанные с наличием «узких мест» в снабжении, производстве и сбыте продукции, потери от компрометации производимой предприятием продукции и подобные.

Перечисленные затраты могут быть вызваны действиями персонала различных структурных подразделений ХС, таких как: проектного, технологического, планово-экономического, юридического, хозяйственного, маркетинга и других. При этом, поскольку сотрудники всех этих отделов вряд ли будут заняты полный рабочий день вопросами анализа внешних потерь, то установление объема затрат необходимо вести с учетом реально затраченного времени. Один из элементов внешних потерь невозможно точно вычислить - это потери, связанные с подрывом имиджа предприятия, снижением доверия потребителя к продукции и услугам предприятия. Именно по этой причине руководство многих ХС заинтересовано в сокрытии фактов уязвимости своих систем, сервисов и ресурсов. ХС боятся широкой огласки подобной информации даже больше, чем атаки в той или иной форме. Однако многие предприятия игнорируют эти затраты на основании того, что их нельзя установить с какой-либо степенью точности - они только предположительны.

Структурирование затрат на предупредительные мероприятия. Эти затраты, вероятно, наиболее сложно оценить, поскольку предупредительные мероприятия проводятся в разных отделах и затрагивают многие структурные подразделения ХС. Эти затраты могут появляться на всех этапах жизненного цикла ресурсов информационной среды предприятия: планирование, организация, приобретение, ввод в действие и др.

Большинство затрат данной категории связано с работой персонала связанного с IT-безопасностью. Затраты на предупредительные мероприятия в основном включают заработную плату и накладные расходы. Однако точность их определения в большей степени зависит от точности установления времени, затраченного каждым сотрудником в отдельности.

Некоторые затраты на предупредительные мероприятия достаточно легко выявить напрямую. К таковым относятся: оплата работ сторонних организаций по обслуживанию и настройке программных и программно-аппаратных средств защиты, операционных систем, сетевого оборудования; проведение инженерно-технических работ по установлению сигнализации, оборудованию хранилищ конфиденциальных документов, защите телефонных линий связи, средств вычислительной техники и т. п.; доставку конфиденциальной информации; проведение консультаций, обучения и другие.

В процессе структурирования затрат необходимо озаботиться источники таких сведений. При этом необходимо учитывать, что затраты на приобретение и ввод в действие различных средств защиты информации могут быть получены из анализа накладных, актов выполненных работ, записей в складской документации и подобных документов. Выплаты персоналу могут быть взяты из ведомостей.

Объемы выплат заработной платы должны быть взяты с учетом реально затраченного времени на проведение работ по обеспечению информационной безопасности. Если только часть времени сотрудника затрачивается на деятельность по обеспечению информационной безопасности, то целесообразность оценки каждой из составляющих затрат его времени не должна подвергаться сомнению.

Классификация затрат на обеспечение информационной безопасность и распределение их по элементам должны стать частью повседневной внутренней работы ХС. С этой целью персоналу должны быть хорошо известны различные элементы затрат и соответствующие им обозначения.