1. Оцінювання поточного рівня тсо

Під час оцінювання ТСО необхідно провести збір інформації і розрахувати показники ТСО компанії за такими позиціями:

• компоненти КМЗ (включаючи систему захисту інформації) та інформаційні активи компанії (наприклад, сервери, клієнтські комп’ютери, периферійні пристрої, мережеві пристрої тощо);

• витрати на апаратні і програмні засоби захисту інформації (витратні матеріали, амортизація);

• витрати на організацію ІБ в компанії (обслуговування СЗІ та систему управління нею, а також штатних засобів захисту периферійних пристроїв, серверів, мережевих пристроїв, планування і управління процесами захисту інформації, розроблення концепції та політики безпеки тощо);

• витрати на організаційні заходи захисту інформації;

• непрямі витрати на організацію ІБ в компанії, зокрема, на забезпечення неперервності, живучості процесу функціонування компанії.

2. Аудит інформаційної безпеки компанії

За результатами співбесіди, опитування, наради з керівництвом компанії і проведення інструментальних перевірок (за можливості) рівня захищеності компанії здійснюється аналіз (наприклад, згідно ISO 27001):

• політики інформаційної безпеки;

• організації захисту інформаційних активів;

• класифікації інформаційних активів та управління ними;

• управління персоналом;

• фізичної безпеки;

• адміністрування КМЗ;

• управління доступом до КМЗ;

• розроблення та супроводу інформаційних систем;

• планування неперервної роботи компанії;

• перевірки системи на відповідність вимогам ІБ.

На основі виконаного аналізу вибирається модель ТСО, що порівнюється з середніми і оптимальними значеннями для репрезентативної групи аналогічних компаній, які мають схожі з розглянутою організацією показники за обсягом компанії. Така група береться з банку даних про ефективність витрат на ІБ і ефективності відповідних профілів захисту аналогічних компаній.

Порівняння поточного показника ТСО компанії, що перевіряється з модельним значенням того ж показника дає змогу провести аналіз ефективності організації ІБ компанії, результатом якого є визначення «вузьких» місць в організації, причин їх появи і вироблення подальших кроків у напрямі реорганізації корпоративної СЗІ та забезпечення необхідного рівня захищеності КМЗ.

3. Формування цільової моделі тсо

За результатами проведеного аудиту будується цільова (бажана) модель, що враховує перспективи розвитку компанії та корпоративної СЗІ (активи, складність, кращі практики, типи СЗІ та її управління, навики співробітників тощо)

Крім того, розглядаються капітальні витрати та трудовитрати, які необхідні для проведення перетворень поточного середовища в цільове середовище. В роботовитрати на впровадження включаються витрати на планування, проектування, розроблення, впровадження, навчання. Сюди ж входять можливі тимчасові збільшення витрат на управління і підтримку.

Для обґрунтування ефекту від впровадження нової корпоративної системи захисту інформації (ROI) можуть бути використані модельні характеристики зниження загальних витрат (ТСО), що відображають можливі зміни в корпоративній системі захисту інформації.