Инвестиции по защите информации

Инвестиции в информационную безопасность

Инвестиции в информационную безопасность

В качестве примера использования методики ТСО для обоснования инвестиций на информационную безопасность (ИБ) рассмотрим проект создания корпоративной системы защиты информации от вирусов и вредоносных апплетов, интегрированной с системой контроля и управления доступом на объекте информатизации.

Для этого сначала условно определим три возможных степени готовности корпоративной системы защиты от вирусов и вредоносных апплетов, а именно: базовую, среднею и высокую.

Базовая. Стационарные и мобильные рабочие станции обладают локальной защитой от вирусов. Антивирусное программное обеспечение и базы сигнатур регулярно обновляются для успешного распознавания и парирования новых вирусов. Установлена программа автоматического уничтожения наиболее опасных вирусов. Основная цель уровня – организация минимальной защиты от вирусов и вредоносных апплетов при небольших затратах.

Средняя. Установлена сетевая программа обнаружения вирусов. Управление программными обновлениями на сервере автоматизировано. Системный контроль над событиями оповещает о случаях появления вирусов и предоставляет информацию по предотвращению дальнейшего распространения вирусов. Превентивная защита от вирусов предполагает выработку и следование определенной политике защиты информации, передаваемой по открытым каналам связи. Дополнительно к техническим мерам активно предлагаются и используются организационные меры защиты информации.

Высокая. Антивирусная защита воспринимается как один из основных компонентов корпоративной системы защиты. Система антивирусной защиты тесно интегрирована в комплексную систему централизованного управления ИБ компании и обладает максимальной степенью автоматизации. При этом организационные меры по защите информации преобладают над техническими мерами. Стратегия защиты информации определяется исключительно стратегией развития бизнеса компании.

Также условно выделим три степени готовности системы контроля и управления доступом: базовая, средняя, высокая.

Базовая. Ведется учет серийных номеров рабочих станций и серверов, инвентаризационные таблички крепятся на соответствующее аппаратное обеспечение. Введена процедура контроля перемещения аппаратных средств КИС. Проводятся постоянные и периодические инструктажи персонала компании. Особое внимание уделяется мобильным компонентам КИС.

Средняя. Используются механические и электронные замки, шлюзовые кабины и турникеты. Организованы контрольно-пропускные пункты и проходные. Осуществляется видеонаблюдение на объекте информатизации. Требования к персоналу определены и доведены под роспись. Разработаны инструкции по действию в штатных и внештатных ситуациях. Задействованы частные и государственные охранные предприятия и структуры.

Высокая. Обеспечение физической безопасности аппаратных средств является частью единой политики безопасности, утвержденной руководством компании. Активно используется весь комплекс мер защиты информации, начиная с организационного и заканчивая техническим уровнем.

Проект по созданию корпоративной системы защиты информации от вирусов предполагает определенное развитие и переход от некоторого базового уровня (уровень 0) к более высокому (уровень 10). В табл. 10.3 приведены характеристики процесса развития корпоративной системы защиты информации на выделенных уровнях защиты.

Характеристики базового и повышенного уровней защиты

Таблица 10.3. Характеристики базового и повышенного уровней защиты (окончание)

В табл. 10.4 приведены список статей и возможный уровень снижения расходов при развитии процессов управления информационной безопасности и защиты от вирусов (начиная от уровня 0 и заканчивая уровнем 10) [4] .

Таблица 10.4. Статьи расходов базового и повышенного уровней защиты

Таблица 10.4. Статьи расходов базового и повышенного уровней защиты (окончание)

В табл. 10.5 и на рис. 10.2 показан уровень снижения расходов при переходе на более высокий уровень защищенности КИС (переход с уровня 0 на уровень 10). Полученные данные о снижении ТСО в среднем на 230 тыс. долларов в год позволяют обосновать инвестиции в размере около 600 тыс. долларов на защиту от вирусов. При этом период окупаемости составляет не более трех лет.

Таблица 10.5. Уровень снижения расходов при внедрении лучших мировых методик

Рис. 10.2. Уровень снижения расходов при внедрении лучших мировых методик

Прокомментируем перечисленные расходы.

Расходы на аппаратные средства и программное обеспечение. Эта категория модели ТСО включает серверы, компьютеры клиентов (настольные и мобильные компьютеры), периферийные устройства и сетевые компоненты. Расходы на аппаратно-программные средства ИС также входят в эту категорию.

Расходы на операции ИС. Прямые затраты на содержание персонала, стоимость работ и аутсорсинг, произведенные компанией в целом, бизнес-подразделениями или службой ИС для осуществления технических задач и операций по поддержанию инфраструктуры для пользователей распределенных вычислений.

Административные расходы. Прямые затраты на персонал, обеспечение деятельности и расходы внутренних/внешних поставщиков (вендоров) на поддержку операций, включающих управление, финансирование, приобретение и обучение ИС.

Расходы на операции конечных пользователей. Это затраты на самоподдержку конечных пользователей, а также на поддержку их друг другом в противовес официальной поддержке ИС. Затраты включают: самостоятельную поддержку, официальное обучение конечных пользователей, нерегулярное (неофициальное) обучение, самостоятельные прикладные разработки, поддержку локальной файловой системы.

Расходы на простои. Данная категория учитывает ежегодные потери производительности конечных пользователей от запланированных и незапланированных отключений сетевых ресурсов, включая клиентские компьютеры, совместно используемые серверы, принтеры, прикладные программы, коммуникационные ресурсы и ПО для связи. Для анализа фактической стоимости простоев, которые связаны с перебоями в работе сети и которые оказывают влияние на производительность, исходные данные получают из обзора по конечным пользователям. Рассматриваются только те простои, которые ведут к потере производительности.

В табл. 10.6 и на рис. 10.3 показан пример расчета ТСО для организаций, обладающих средним уровнем защищенности КИС (уровень 5).

Таблица 10.6. Пример расчета ТСО

Рис. 10.3. Пример расчета ТСО

Таким образом, применение методики ТСО для обоснования инвестиций в проекты обеспечения информационной безопасности на предприятии вполне обосновано и имеет право на существование. При этом выбор конкретной методики оценки затрат на ИБ находится в сфере ответственности руководителей соответствующих служб и отделов защиты информации.

Данный текст является ознакомительным фрагментом.

Продолжение на ЛитРес

Читайте также

Безопасность

Безопасность Как поставить квартиру на охрануЧтобы поставить квартиру на охрану, сначала нужно обратиться к участковому милиционеру или инспектору в местном управлении вневедомственной охраны. Он расскажет, как заключить договор. От гражданина потребуются паспорт с

11.3.3. Повседневная безопасность

11.3.3. Повседневная безопасность Поразительно, что параноидальный страх перед действительно серьезным ростом преступности сочетается у подавляющего большинства людей с полным пренебрежением к основам обеспечения безопасности.К сожалению, это пренебрежение

Как самостоятельно подключить конфигурацию или загрузить информационную базу?

Как самостоятельно подключить конфигурацию или загрузить информационную базу? Напомним, что система 1С 8 включает в себя два главных элемента – платформу и конфигурацию. Вначале устанавливается платформа, и к ней затем подключается конфигурация (в нашем случае –

Финансовая безопасность

Финансовая безопасность Деньги и психологияПрежде чем решиться на то, чтобы взять на себя финансовые обязательства, определитесь с тем, как их наличие скажется на вашем состоянии и работоспособности.Фактор финансового долга может способствовать как вашему успеху, так и

Продовольственная безопасность

Продовольственная безопасность Каждый день в мире голодают около 1 миллиарда человек.Хорошая новость: мы сделали важные шаги в борьбе с этим злом, поскольку это число не изменилось в абсолютном смысле, хотя население земного шара увеличилось с 3 миллиардов в 1960 году до

Безопасность и права

Безопасность и права Одной из важных составляющих, определяющих степень благополучии общества, является достигнутый уровень безопасности. Для большинства американцев стандарты жизни и благополучия снизились значительнее, чем можно было бы предположить, судя по цифрам

Безопасность СМП проверена

Безопасность СМП проверена Суровые климатические условия Арктики – не преграда для интенсификации судоходства по Северному морскому пути. Безопасность ледокольных проводок крупнотоннажных судов по арктической составляющей морской транспортной системы России

Безопасность продукции

Безопасность продукции При рассмотрении возможностей нерегулируемого рынка часто возникает вопрос о том, как без государственного вмешательства защитить потребителей от опасной продукции.Безопасность не представляет собой абсолютную ценность, безусловно

1. Личная безопасность

1. Личная безопасность Одним из последних увлечений служащих фирм и деловых людей, уставших от тенниса и отдыха в клубах, стало посещение специальных школ, где имеются курсы по методам самообороны и противодействию террористическим акциям. Для тех, кто хотя бы однажды

Навыки и безопасность

Навыки и безопасность Мы можем рассматривать коммуникативные навыки на двух уровнях, словно айсберг. Уровень навыков как таковых – лишь небольшая, видимая часть айсберга. Основная же часть айсберга, скрытая от нас, представляет уровень установок и мотивации. Назовем эту

Безопасность

Безопасность • Отслеживать потенциально опасные ситуации, выявлять их коренные причины и принимать контрмеры.• Следить за потерями времени из-за нарушений правил техники безопасности (несчастных случаев), выявлять и устранять коренные причины. Лидер группы

18. Безопасность в Интернете

18. Безопасность в Интернете Суть идеиНа одном из телеканалов показали интересный сюжет: в США компании занимаются поддержкой репутации людей в социальных сетях. Причем речь совсем не о пресс-секретарях, а о серьезных IT-специалистах. Уверены, что многие люди и в России не

Инвестиции в публично торгуемые бумаги и прямые инвестиции

Инвестиции в публично торгуемые бумаги и прямые инвестиции Стратегии активного владенияБудучи стратегическим владельцем и доверенным лицом холдингов в cфере публично торгуемых ценных бумаг, инвестор может влиять на корпоративное поведение через голосования по

Безопасность предпринимательства

Безопасность предпринимательства Первое, что требуется для создания жизни вашей мечты, – это безопасность. Многие из тех, кто думает о начале собственного дела, волнуются об отсутствии гарантированного дохода.К сожалению, даже работа с ежемесячной зарплатой не

Что такое безопасность человека?

Что такое безопасность человека? Цель национальной безопасности – защита государства от внешних угроз. Цель безопасности человека – защита отдельных граждан.Защищенность государства не означает автоматически защищенности его населения. Защита от внешних нападений,

Источник

Инвестиции в информационную безопасность

Автор работы: Пользователь скрыл имя, 08 Декабря 2011 в 02:58, курсовая работа

Краткое описание

Экономический кризис 2008 года затронул и такую важную составляющую ведения бизнеса как обеспечение его информационной безопасности. Глобальное сотрясение экономики способствовало не только усилению конкурентной борьбы, но и породило многочисленные страхи и неопределенность среди сотрудников компаний и, как следствие, привело к повышению риска утечки конфиденциальной информации.

Содержание

Введение ……………………………………………………..……………………3
Глава 1. Теоретические основы инвестиций в информационную безопасность……………………………………………………………………. 5
1.1. Основные понятия информационной безопасности экономических систем ………………………………………………………….…..……………. 5
1.2. Теоретические аспекты инвестирования ………………. …..……………13
1.3. Определение инвестиций в информационную безопасность………..…..16
Глава 2. Методы оценки эффективности инвестиций в информационную безопасность…………………………………………………………………. …19
2.1. Методы, не предполагающие дисконтирование денежных потоков. ….19
2.2. Методы, основанные на использовании концепции дисконтирования. 28
2.3. Программные продукты, применяемые для оценки эффективности инвестиций в информационную безопасность. 35
Глава 3. Оценка эффективности инвестиционного проекта по обеспечению информационной безопасности компании. Проблемы оценки эффективности инвестиций………………..……………………………………………………. 39
Заключение ………………………………………………………. ….…………44
Список используемых источников………………..……………. …………….46
Приложение 1…………………………………………………………………….48

Вложенные файлы: 1 файл

новая курс ИС.doc

Федеральное агентство по образованию Российской Федерации

Нижегородский государственный университет имени Лобачевского

Специальность «Финансы и кредит»

по предмету «Информационные системы в экономике»

на тему: «Инвестиции в информационную безопасность»

Глава 1. Теоретические основы инвестиций в информационную безопасность……………………………………………… ……………………. 5

1.1. Основные понятия информационной безопасности экономических систем ………………………………………………………….…..………… …. 5

1.2. Теоретические аспекты инвестирования ………………. …..……………13

1.3. Определение инвестиций в информационную безопасность………..…..16

Глава 2. Методы оценки эффективности инвестиций в информационную безопасность……………………………………………… …………………. …19

2.1. Методы, не предполагающие дисконтирование денежных потоков. ….19

2.2. Методы, основанные на использовании концепции дисконтирования. 28

2.3. Программные продукты, применяемые для оценки эффективности инвестиций в информационную безопасность. . . 35

Глава 3. Оценка эффективности инвестиционного проекта по обеспечению информационной безопасности компании. Проблемы оценки эффективности инвестиций………………..……………………………… ……………………. 39

Список используемых источников………………..……………. ………… ….46

Экономический кризис 2008 года затронул и такую важную составляющую ведения бизнеса как обеспечение его информационной безопасности. Глобальное сотрясение экономики способствовало не только усилению конкурентной борьбы, но и породило многочисленные страхи и неопределенность среди сотрудников компаний и, как следствие, привело к повышению риска утечки конфиденциальной информации.

Инциденты информационной безопасности имеют прямое влияние на прибыль компании. Именно поэтому необходимо понимать как обеспечить эффективную систему информационной безопасности в современных условиях, постоянно контролировать возможные риски, и регулярно выполнять обязательные действия по защите информации. То есть проблема обеспечения информационной безопасности стала чрезвычайно актуальной.

Важно отметить, что вложения в информационную безопасность нужно рассматривать как инвестиции, поскольку они дают вполне ощутимый результат, способный компенсировать потраченные ресурсы. В настоящих условиях, когда бюджеты подвергаются самому серьезному пересмотру, как никогда важно грамотное обоснование инвестиций в информационную безопасность. И значение экономического анализа для планирования и осуществления инвестиционной деятельности трудно переоценить. При этом главным направлением анализа является определение показателей эффективности инвестиций, т.е. отдачи от вложений, которые предусмотрены по проекту. Актуальность темы данной работы заключается еще и в том, что оценка эффективности инвестиций всегда является наиболее ответственным этапом принятия инвестиционного решения, от результатов которого в значительной мере зависит степень реализации цели инвестирования. В свою очередь, объективность и достоверность полученных результатов во многом обусловлены используемыми методами анализа.

Таким образом, целью данной курсовой работы является изучение и исследование вопросов инвестирования в информационную безопасность.

При этом конкретными задачами являются:

1. рассмотрение основных понятий информационной безопасности и ее основных составляющих;
2. рассмотрение теоретических основ инвестирования, а именно: понятия инвестиций, видов инвестиций, понятия инвестиционного проекта и его эффективности;
3. определение понятия инвестиций в информационную безопасность;
4. описание методов оценки эффективности инвестиций, не предполагающие использования концепции дисконтирования и основанные на использовании концепции дисконтирования;
5. описание существующих программных продуктов по оценке инвестиций в информационную безопасность;
6. оценка эффективность инвестиционного проекта ЗАО «ФрантМиг» по обеспечению информационной безопасности одного из сегментов сети.

Предметом исследования являются вопросы, связанные с инвестициями в информационную безопасность. Объектом исследования, в свою очередь, стал инвестиционный проект компании ЗАО «ФрантМиг» по защите одного из сегментов сети информационной системы при помощи системы обнаружения вторжений (IDS).

Теоретическими основами данной работы послужили учебно-методическая литература, статьи в периодических изданиях, посвященные вопросам инвестирования в информационную безопасность, материалы справочного характера, информация, полученная автором в процессе исследовательской деятельности.

Работа состоит из введения, где реализуется постановка цели и задач исследования, трех глав, заключения, содержащего краткие выводы по работе, а также списка использованных источников и литературы.

Глава 1. Теоретические основы инвестиций в информационную безопасность

1.1. Основные понятия информационной безопасности экономических систем

Современный этап информатизации характеризуется наличием большого числа угроз безопасности информации. Безопасность проявляется как невозможность нанесения вреда функционированию и свойствам объекта, либо его структурным составляющим. Под угрозой безопасности информации следует понимать события или действия, которые могут привести к искажению, несанкционированному использованию или даже к разрушению информационных ресурсов управляемой системы, а также программных и аппаратных средств [8].

Среди угроз безопасности информации следует выделять как один из видов угроз случайные, или непреднамеренные. Их источником могут быть выход из строя аппаратных средств, неправильные действия работников информационные системы (ИС) или ее пользователей, непреднамеренные ошибки в программном обеспечении и т.д. Такие угрозы тоже следует держать во внимании, т.к. ущерб от них может быть значительным [8]. Однако, как правило, наибольшее внимание уделяется угрозам умышленным, которые в отличие от случайных преследуют цель нанесения ущерба управляемой системе или пользователям. Это делается нередко ради получения личной выгоды.

Появляется необходимость обеспечения информационной безопасности. В наиболее общем виде информационная безопасность может быть определена как невозможность нанесения вреда свойствам объекта безопасности, обусловливаемым информацией и информационной инфраструктурой.

Информационная безопасность включает:

-состояние защищенности информационного пространства, обеспечивающее его формирование и развитие в интересах граждан, организаций и государства;

-состояние инфраструктуры, при котором информация используется строго по назначению и не оказывает негативного воздействия на систему при ее использовании;

-состояние информации, при котором исключается или существенно затрудняется нарушение таких ее свойств, как конфиденциальность, целостность и доступность;

-экономическую составляющую (структуры управления в экономической сфере, включая системы сбора, накопления и обработки информации в интересах управления производственными структурами, системы общеэкономического анализа и прогнозирования хозяйственного развития, системы управления и координации в промышленности и на транспорте, системы управления энергосистем, централизованного снабжения, системы принятия решения и координации действий в чрезвычайных ситуациях, информационные и телекоммуникационные системы);

-финансовую составляющую (информационные сети и базы данных банков и банковских объединений, системы финансового обмена и финансовых расчетов) [8].

Обеспечение информационной безопасности должно начинаться с выявления субъектов отношений, связанных с использованием информационных систем. Спектр их интересов может быть разделен на следующие основные категории: доступность (возможность за приемлемое время получить требуемую информационную услугу), целостность (актуальность и непротиворечивость информации, ее защищенность от разрушения и несанкционированного изменения), конфиденциальность (защита от несанкционированного ознакомления).

Понятие информационной безопасности в узком смысле этого слова подразумевает:

-надежность работы компьютера;

-сохранность ценных данных;

-защиту информации от внесения в нее изменений неуполномоченными лицами;

-сохранение тайны переписки в электронной связи.

Объектом информационной безопасности может быть коммерческое предприятие. Тогда содержание «информационной безопасности» будет заключаться в защищенности интересов собственника данного предприятия, удовлетворяемых с помощью информации, либо связанных с защитой от несанкционированного доступа тех сведений, которые представляются собственнику достаточно важными. На предприятии к объектам информационной безопасности относят:

— информационные ресурсы, содержащие сведения, отнесенные к коммерческой тайне, и конфиденциальную информацию, представленную в виде информационных массивов и баз данных;

— средства и системы информатизации — средства вычислительной и организационной техники, сети и системы, общесистемное и прикладное программное обеспечение, автоматизированные системы управления предприятиями, системы связи и передачи данных, технические средства сбора, регистрации, передачи, обработки и отображения информации, а также их информативные физические поля.

Защита информации — комплекс мероприятий, направленных на обеспечение важнейших аспектов информационной безопасности: целостности, доступности и, если нужно, конфиденциальности информации ресурсов, используемых для ввода, хранения, обработки и передачи данных.

Существует два принципиальных подхода к защите информации:

1. Фрагментарный. Данный подход ориентируется на противодействие строго определенным угрозам при определенных условиях (например, специализированные антивирусные средства, отдельные средства регистрации и управления, автономные средства шифрования и т.д.).

Достоинством фрагментарного подхода является его высокая избирательность относительно конкретной угрозы. Недостатком — локальность действия, т.е. фрагментарные меры защиты обеспечивают эффективную защиту конкретных объектов от конкретной угрозы. Но не более того.

2. Комплексный. Данный подход получил широкое распространение вследствие недостатков, присущих фрагментарному. Он объединяет разнородные меры противодействия угрозам и традиционно рассматривается в виде трех дополняющих друг друга направлений. Организация защищенной среды обработки информации позволяет в рамках существующей политики безопасности обеспечить соответствующий уровень безопасности системы. Недостатком данного подхода является высокая чувствительность к ошибкам установки и настройки средств защиты, сложность управления.

Методами обеспечения защиты информации на предприятии являются следующие:

1.Препятствие — метод физического преграждения пути злоумышленнику к защищаемой информации (к аппаратуре, носителям информации и т.п.).

2.Управление доступом — метод защиты информации регулированием использования всех ресурсов автоматизированной информационной системы предприятия. Управление доступом включает следующие функции защиты:

Источник