Принцип разумной достаточности, подходы к обоснованию стоимости корпоративной системы защиты

О сайте

Экономика защиты информации дисциплина рассматривает экономические проблемы защиты информационных ресурсов и поддерживающей их инфраструктуры. Сформируем подходы к определению затрат на защиту информации, к оценке эффективности системы защиты и страхования информации.

Для многих коммерческих организаций важно обосновать вложения в ИБ. Каждый из Вас попадал в ситуацию, когда при выделении бюджета отделу ИБ руководитель просил обосновать вкладываемые средства. Сразу возникают вопросы – что я буду иметь с этого? Какова будет отдача? Сколько я получу с этого? Когда вернутся вложенные инвестиции? И т.д. В рамках этого курса мы научимся отвечать на данные вопросы.

Оценивать эффективность СЗИ мы будем через понятие риска ИБ – возможных потерь организации от реализации определенных угроз.

Не следует считать (как считают некоторые), что ИБ – это всегда убыточная область. Вкладывая деньги в ИБ, мы уменьшаем риски организации, возможный ущерб, который она понесет, а это приносит определенный доход организации.

С этими вопросами мы и познакомимся в рамках данного курса.

Экономика защиты информации

Лекции

Темы:

· экономические аспекты зи

· стоимость корпоративной сзи

· риск информационной безопасности

· интеллектуальная собственность предприятия и ее защита

· оценка инвенстиций в информационную безопасность

· международные стандарты в области управления ит-инфраструктурой и иб

· использования процесса

· виды деятельности

· договор

· управление уровнем сервиса

· программное обеспечение автоматизации процессов itil

· управление иб

 

ЭКОНОМИЧЕСКИЕ АСПЕКТЫ ЗИ

1. Принцип разумной достаточности, подходы к обоснованию стоимости корпоративной системы защиты
2. Информация как товар

ПРИНЦИП РАЗУМНОЙ ДОСТАТОЧНОСТИ, ПОДХОДЫ К ОБОСНОВАНИЮ СТОИМОСТИ КОРПОРАТИВНОЙ СИСТЕМЫ ЗАЩИТЫ

Сегодня высшее руководство любой компании при осуществлении управления, по существу имеет дело только с информацией - и на ее основе принимает решения. Информация в настоящее время решает все.

Вы знаете, что информация в настоящее время уже давно стала товаром, который можно покупать и продавать на рынке, иногда – за достаточно большие деньги. Как и любой товар, информация имеет свою цену, за которую она покупается и продается, и как любой ценный ресурс – подлежит защите.

Отечественный ИТ-рынок в последние несколько лет динамично развивается, по оценкам экспертов его рост превышает 10% в год. При этом сектор информационной безопасности (ИБ) развивается еще более быстрыми темпами — более чем на 25% в год. Такой рост определяется в основном двумя факторами: возросшим вниманием руководства к обеспечению ИБ и недостаточным уровнем ИБ в существующих информационных системах (ИС). Понятно, что долго такие темпы роста сектора ИБ сохраняться не смогут, они замедлятся, и вопросы оценки эффективности затрат в области ИБ встанут весьма остро. Уже сейчас в отечественных ИС с повышенными требованиями в области ИБ (банковские системы, ответственные производства, и т.д.) затраты на обеспечение режима ИБ составляют до 30% всех затрат на ИС, и владельцы информационных ресурсов серьезно рассматривают экономические аспекты обеспечения ИБ. Даже в тех ИС, уровень ИБ которых явно не достаточен, у технических специалистов зачастую возникают проблемы обоснования перед руководством (владельцами информационных ресурсов) затрат на повышение этого уровня. Начальники служб автоматизации, исполнительные директора, начальники служб информационной безопасности должны иметь понятные для бизнеса аргументы для обоснования инвестиций в ИБ, т.е., по сути, представлять обоснование стоимости системы ИБ для бизнеса.

ПРИНЦИП РАЗУМНОЙ ДОСТАТОЧНОСТИ, ПОДХОДЫ К ОБОСНОВАНИЮ СТОИМОСТИ КОРПОРАТИВНОЙ СИСТЕМЫ ЗАЩИТЫ

Таким образом, в настоящее время комплексное управление процессами обеспечения информационной безопасностью (ИБ) подразумевает не просто бесцельное внедрение совокупности средств и систем защиты. ИБ превратилась в науку о реализации адекватного и эффективного по качеству и стоимости подхода к обеспечению защищенности всех элементов ИТ. Такой взгляд на проблему ИБ неизбежно требует определения показателей и метрик, позволяющих сравнивать защищенность различных систем ИТ, сравнивать эффективность контрмер, ранжировать угрозы и уязвимости по своей важности.

Для любых компаний очень важно деньги в ЗИ вкладывать обоснованно. В информационной безопасности известен принцип разумной достаточности, который гласит следующее:

Создание 100% надежной системы защиты информации невозможно в принципе, в любых случаях остается ненулевая возможность реализации какой-либо угрозы либо уязвимости. Любая система защиты информации может быть взломана, это вопрос только времени и потраченных злоумышленником средств. Поэтому бесконечно вкладывать деньги в обеспечение ИБ бессмысленно, необходимо когда-то остановиться (вопрос только в выборе этого порога). Согласно принципу разумной достаточности, стойкость СЗИ считается достаточной, если время взлома злоумышленником СЗИ превосходит время старения информации (либо некоторый разумный предел), либо стоимость взлома системы защиты информации превосходит стоимость полученной злоумышленником выгоды от взлома. В последнем случае, если злоумышленник является нормальным экономическим субъектом (не фанат, с психикой все в порядке), то он конечно не будет работать себе в убыток.

Пример

Возьмем парольную систему идентификации и аутентификации пользователей ОС Windows 2000. Предположим, что пользовательские пароли выбираются длиной 10 символов и используется следующий алфавит символов (наиболее распространенный):