Информационная безопасность
Анализ затрат
Если проанализировать данные по I-му и II-му периодам, приведенные в табл. 9, то можно обнаружить, что чрезвычайно велики внутренние потери на компенсацию нарушений политики безопасности для ресурса "В", а также внешние потери на НПБ для ресурса "С".
Руководитель отдела защиты информации предпринял шаги в данном направлении. Он увеличил после II-го периода объем предупредительных мероприятий для ресурса "В", и это дало значительный эффект по снижению внутренних потерь на НПБ к концу III-го периода.
Он также увеличил после II-го периода предупредительную деятельность для ресурса "С", и после III-го периода так же произошло снижение внешних затрат на НПБ. Хотя предупредительные действия для этого ресурса не дали столь же быстрого результата, как для ресурса "В", тем не менее затраты были снижены, а к концу IV-го периода - даже в еще большей степени.
Однако, прежде чем проводить какие-либо мероприятия по усилению защищенности информационной среды предприятия, необходимо ответить на следующие вопросы: С чего надо начинать? В чем причина происходящего?
Начальнику отдела защиты информации необходима значительно большая информация, чем представленная в суммирующей таблице. Он знает, что у него возникли проблемы, но не знает какими причинами они вызваны. Он нуждается в более детальном дроблении элементов затрат на безопасность. Итак, к концу II-го периода начальник отдела защиты информации получил следующую информацию, конкретизирующую внутренние затраты на НПБ по ресурсу "В" в зависимости от угроз безопасности ресурса (Таб. 10).
Таблица 10. Составляющие затрат на внутренние потери
| Код | Источник затрат | Угроза случайного или умышленного изменения информации | Угроза временной недоступности информации | Сумма (усл.ед.) | Доля (%) | ||
| = | = | Сумма | Доля (%) | Сумма | Доля (%) | = | = |
| W1 | Восстановление системы защиты ресурса до соответствия требованиям ПБ | 1001 | 89,3 | 120 | 10,7 | 1121 | 57,9 |
| W2 | Восстановление ресурса | 133 | 100 | - | - | 133 | 6,9 |
| W3 | Выявление причин нарушения ПБ | 97 | 87,4 | 14 | 12,6 | 111 | 5,7 |
| W4 | Изменения | 440 | 77,2 | 130 | 32,8 | 570 | 29,5 |
| = | Итого: | 1671 | = | 264 | = | 1935 | 100 |
Приведенные данные показывают, что наибольшие потери связаны с воздействием угрозы случайного или умышленного изменения информации и возникающей необходимостью восстановления системы защиты ресурса до соответствия требованиям политики безопасности. Более детальная информация показывает механизмы защиты, которые были использованы для усиления системы защиты ресурса (Таб. 11).
Таблица 11. Составляющие затрат на внутренние потери в следствие реализации угрозы целостности информации
| Механизмы защиты | Сумма (усл.ед.) | |
| Затраты на введение дополнительных мер, связанных с учетом подключений пользователей к ресурсу | 133 | 13,29 |
| Затраты на введение дополнительных мер, связанных c контролем прав доступа сотрудников и учетом изменений их состояния (увольнение, перевод, отпуск, продолжительная болезнь) | 88 | 8,79 |
| Затраты на установку системы передачи файлов отчетов на сервер протоколирования | 280 | 27,97 |
| Приобретение дополнительных модулей удаленных запросов и выборок администратором системы безопасности | 500 | 49,95 |
| ИТОГО: | 1001 | 100 |
Прежде чем тратить средства на предупредительные мероприятия в области обеспечения качества информационной технологии, Начальник отдела защиты информации подробно и досконально рассматривает возможные причины нанесения ущерба (уязвимости технологии защиты ресурса), например такие:
Недостаточные возможности по архивированию данных.
Отсутствие практики проведения тестовых испытаний системы защиты ресурсов.
Недостаточность технических систем охлаждения и питания серверных комнат.
Бессистемность проведения мероприятий по архивированию данных.
Непригодность механизма учета и контроля носителей резервных копий.
"Слабость" нормативной базы.
Отсутствие регламента программно-технических средств "типовой рабочей станции" и т.д.
Как оказалось, в нашем примере ни одна из перечисленных причин не составляет более чем 8% от общей величины потерь в рассматриваемый период. Однако затраты на минимизацию перечисленных потерь будут существенно различны в зависимости от решаемой проблемы: наименьшие в случае совершенствования нормативной базы и, возможно, весьма значительные при оборудовании серверных комнат техническими системами охлаждения и питания.
