6. Прийняття рішень
Усі виявлені причини нанесення збитку заслуговують проведення коригувальних заходів, проте, керівник шукає ті області, які дадуть найбільшу віддачу у відповідь на витрачені зусилля. Саме тому, він може розглянути в першу чергу область своїх витрат, яка пов’язана з впровадженням системи передавання звітів на сервер протоколювання.
Ретельний аналіз може зумовити керівника відділу ІБ до висновку про те, що краще почати попереджувальні заходи з механізмів захисту, які мають не найбільшу витратну частину.
Необхідно зазначити: витрати на ІБ можуть бути мінімізовані в значній мірі, якщо вдасться виявити специфічні причини витрат і врахувати їх в програмі зменшення ризиків. У всі рекомендації слід включати (за можливості) дані про вартість реалізації запропонованих програм. Заходи зниження рівня ризику повинні переслідувати таку мету – з найменшими витратами отримати найкращі результати.
7. Методика оцінки тсо
Застосування методики оцінки TCO (Dell Systems) для галузі ІБ може містити в собі:
вартість спеціалізованого програмно-апаратного забезпечення (наприклад, SIEM (системи управління інформацією та подіями ІБ), DLP (системи запобігання витоку конфіденційної інформації), веб-фільтри, антиспам системи, IDS/IPS (системи виявлення/запобігання втручанням), Firewall (міжмережеві екрани), WAF (міжмережеві екрани для веб-додатків), сканери вразливостей тощо);
навчання співробітників;
витрати на електроенергію (розраховуються за технічними характеристиками серверів, робочих станцій, моніторів, ноутбуків, які використовуються в процесі забезпечення ІБ);
зарплата керівництва і технічних співробітників відділів ІТ, ІБ;
втрати компанії від вірусних атак (за даними NCSA, один зі ста ПК піддається атакам раз на місяць, при цьому в 46% випадків відновлення займає 19 днів);
підвищення кваліфікації співробітників;
оплата простоїв персоналу через несправність техніки або КМЗ (в середньому відмови комп’ютерів і серверів brand-name «білої збірки» складають 3% в перші три роки експлуатації і 6% при середньому часі ремонту один тиждень);
втрати доходу компанії через простої засобів ІБ;
втрати компанії через використання застарілих засобів ІБ;
витрати на усунення несправностей;
транспортні витрати на доставку засобів ІБ в ремонт при неможливості провести його силами своїх співробітників.
Витрати на оплату праці співробітників у цій схемі розраховуються таким чином:
, (1)
, (2)
, (3)
, (4)
де
– основна заробітна плата виконавців,
– трудозатрати виконавця i-ої
посади (міс),
– кількість виконавців i-ої
посади,
– коефіцієнт додаткової заробітної
плати,
– коефіцієнт нарахувань на заробітну
плату (наприклад, 21%),
– місячна тарифна ставка або (оклад)
i-го
виконавця.
Оплату пов’язаних з «простоями» співробітників слід розраховувати виходячи з кількості годин їх вимушеного простою та заробітної плати.
Приклад 1. Розрахунок вартості простою сервера (згідно методики Dell Systems) Нижче наведено приклад розрахунку вартості простою сервера, результат якого використовується в загальній методиці розрахунку загальної вартості володіння (ТСО).
В годинну оплату праці співробітників входять усі види виплат (зарплата, премії, опціони), крім того, витрати на страховку.
Після введення даних необхідно розрахувати проміжні показники.
B8 = A5 / ((A3 * A4 * 50) * A1).
B9 = A8 * 12 * A9 * (A10 + A11).
B10 = A12 * 12 * A13 * (A14 + A15).
B12 = B13 + B14.
B13 = A8 * 12 * A9 * A11 * A6.
B14 = A8 * 12 * A9 * A10 * A7.
B16 = B17 + B18.
B17 = A12 * 12 * A13 * A15 * A6.
B18 = A12 * 12 * A13 * A14 * A7.
В результаті отримуємо основні показники.
B7 = B8 * (B9 + B10).
B21 = B7 + B12 + B16.
B23 = B21 / ((A8 * 12 * A9) + (A12 * 12 * A13)).
Таким чином розраховуються й інші показники для обчислення загальної вартості володіння. |