Методика обоснования затрат на обеспечение системы информационной безопасности хозяйствующего субъекта Текст научной статьи по специальности «Экономика и бизнес»

Литература и примечания

1. Акимов В.А. Оценка и прогноз стратегических рисков России: теория и практика // Право и безопасность. 2004. № 1.

2. Постановление ФАС Уральского округа от 03.09.2008 № Ф09-6310/08. С. 4.

3. Сергеев С.Г. Банкротство ликвидируемого юридического лица // Юрист. 2000. № 10. С. 98.

4. Телюкина М.В. Комментарий к ФЗ «О несостоятельности (банкротстве)». С. 515.

5. Ткачев В.Н. Признаки и критерии несостоятельности (банкротства) ликвидируемых и отсутствующих должников как особой категории субъектов конкурсного права// Закон. 2007. № 7.

6. Соловьева С.В. Комментарий к ФЗ «О несостоятельности (банкротстве)» / под ред. В.В. Залесского. С. 511.

7. Ткачев В.Н. Признаки и критерии несостоятельности (банкротства) ликвидируемых и отсутствующих должников как особой категории субъектов конкурсного права// Закон. 2007. № 7.

Методика обоснования затрат

на обеспечение системы информационной безопасности хозяйствующего субъекта

Минзов А.С.*, Кольер С.М.**

In this work some new approaches to a substantiation of expenses for organization CHE in view of various factors, values of risks and the restrictions allowing to the full to realize a principle of «rational sufficiency» are considered at the organization of system of information safety of the managing subject.

Система информационной безопасности сегодня становится необходимым условием успешного ведения любого вида деятельности хозяйствующего субъекта. При этом, если вопрос о целесообразности создания системы информационной безопасности (СИБ) для хозяйствующего субъекта (ХС) не подвергается обсуждению, то вопрос о рациональных объемах финансирования затрат на защиту информации всегда остается открытым для лиц, принимающих решение (ЛПР). Нельзя сказать, что сегодня нет внимания к этой проблеме. В специализированных изданиях периодически появляются публикации на эту тему, но научно обоснованных и верифицированных механизмов обоснования затрат на создание СИБ, учитывающих значимые для ЛПР факторы, сегодня не существует. С другой стороны, используемые сегодня специалистами по защите информации норматив -ные документы по управлению информационными рисками, организации систем информационной безопасности и другие документы1'2'3'4, рассматривают эту проблему преимущественно только со стороны специалиста по организации СИБ и управлению информационными рисками, что далеко не всегда является убеди-

тельным для ЛПР по финансированию СИБ.

1. Два взгляда на проблему

Вообще говоря, количество мнений и взглядов на структуру и организацию СИБ значительно больше двух. Свой взгляд на ее рациональную организацию имеют, кроме ЛПР, бухгалтеры, экономисты, юристы, менеджеры и другие сотрудники, участвующие в процессах приема, обработки, хранения и передачи информации, организующие делопроизводство либо обслуживающие вычислительную технику, средства коммуникаций и связи. Мы рассмотрим мнения и позиции только двух основных участников процесса обоснования затрат: ЛПР по определению бюджета системы информационной безопасности и Специалиста по защите информации. Анализ показал, что они совершенно по-разному относятся к этому процессу (табл.1).

Как видно из табл. точки зрения на организацию СИБ в значительной степени отличаются. При этом, если действия специалиста по защите информации регламентированы отечественными и зарубежными стандартами, то для ЛПР сегодня не существует убедительных механизмов принятия решений по финансирова-

Заведующий кафедрой «Комплексная безопасность бизнеса» ЦП ИББ МЭИ (ТУ), доктор технических наук, профессор (Институт безопасности бизнеса).

Аспирант кафедры «Системный анализ и управление» Международного университета природы, общества и человека «Дубна».

**

нию СИБ. Кроме того, подход к оценке величины риска по одному показателю может быть приемлемым только в тех случаях, когда ущерб наносится многократно в течение рассматриваемого периода Следует также отметить, что при обработке информационных рисков совершенно не учитываются затраты, связанные с уменьшением, передачей или устра-

нением риска. Это не позволяет оценить в полной мере эффективность решений по защите информации хозяйствующего субъекта. Таким образом, существующие подходы к оценке и обработке рисков не являются убедительными для ЛПР и требуются другие механизмы оценки эффективности предлагаемых решений в сфере защиты информации.

Таблица № 1

Взгляды различных специалистов на механизмы обоснования затрат на систему информационной безопасности организации

№ ЛПР Специалист по защите информации

Механизм обоснования затрат

1 Защита информации — это необходимая функция ведения современного бизнеса, поэтому для принятия решения по защите информации ЛПР требуются не только знания вероятности риска и возможного ущерба, но и другая информация, обычно используемая для оценки эффективности бизнеса: • затраты на реализацию защитных мер по каждому риску (2). Желательно, чтобы эти затраты были распределены по времени в планируемом периоде; • коэффициенты ликвидности активов (К), относящихся к сфере обеспечения информационной безопасности по каждому риску; • описание характеристик возникновения угрозы или риска (одномоментное событие, реализация угрозы в полном объеме или серии инцидентов, в которых угроза реализуется постепенно и т.д.); • динамика морального износа активов, относящегося к риску для формирования системы амортизационных отчислений; • комбинации этих показателей, например, отношение затрат на снижение риска и возможного ущерба при его реализации и др. Защита информации — это функция Службы информационной безопасности по обеспечению бизнеса. Финансирование затрат на информационную безопасность производится на основании результатов оценки и анализа рисков существующими механизмами управления рисками5 или специальных методик. Экономические методы оценки эффективности при этом не используются. В основе оценки риска лежит мультипликативный критерий, который задается качественной или количественной оценкой в форме мультипликативного критерия : я = и • Р (1) где и — значение ущерба; Р — вероятность возникновения риска.

2 Идеальная модель затрат на СИБ

Z = X Z ^ min, (2) i при ui >> Zi, Pi >Po, Z < Zo где i e I; I — область снижения рисков; U — ущерб по i-му риску; Pi — вероятность i-го риска; p0 — вероятность, при которой принимаются риски. Определяется чаще всего с точки Специалиста по защите информации; Z0 — предельно допустимые затраты с точки зрения ЛПР. Возможен и другой подход. Например, при заданном уровне бюджета Z0 построить СИБ, при которой возможно максимальное снижение ущерба: U = X ui ^ max (4) i 2 = 12 (3) г при Г > Го, г > и р где г е I, г0 — граница рисков, определяемая чаще всего с точки зрения Специалиста по защите информации. г^ — текущий снижаемый риск.

Ol

Z

О

о

CJ

о о о

Q.

со

S

н о

0

1

о я с о m ф VO >5

о *

о ф

У S

2

0

1

о *

о

2

ф

d

я *

<

*

S I

н

о ф

Ol

Z

О

о

CJ

о о о

Q. С[ CQ

s н

о

0

1

о я с о т ф VO >s о

о

ш у

S

2

0

1

о *

о

2 ф d

л *

<

ü S I

н

о ф

2. Анализ существующих подходов к обоснованию затрат на систему информационной безопасности

Первые попытки создания механизмов оценки эффективности решений по защите информации были основаны на применении инвестиционных и финансово-аналитических инструментов.

В инвестиционном анализе6 существует одно обязательное условие, предъявляемое инвестиционному проекту, основанное на использовании ставки дисконтирования 7. Это необходимо в связи с тем, что стоимость денежных ресурсов в отдельные периоды времени различна из-за процессов инфляции. Удобнее всего приводить стоимость различных периодов к начальному периоду. Сказанное можно математически выразить следующим образом:

ных значении потока платежей, приведённых к сегодняшнему дню.

PV -

V

T

(1 + г)

T

(6)

где: PV — приведенная стоимость денежных средств; VT — стоимость денежных средств в периоде T r — ставка дисконтирования.

При этом за ставку дисконтирования могут приниматься различные процентные ставки, которые отражают альтернативы применению денег. Так, используя в качестве ставки дисконтирования процент, предоставляемый банком по депозитному вкладу, можно привести будущую стоимость депозитного вклада к стоимости денежных средств текущего периода.

За ставку дисконтирования могут приниматься:

> минимальная доходность альтернативного безрискового способа использования капитала (например, ставка процента по надежным ценным бумагам или ставка процента по депозиту в надежном банке); средний уровень доходности капитала в компании;

стоимость капитала, используемого для данного инвестиционного проекта (например, ставка по инвестиционному кредиту); значение инфляции. Исходя из этого, можно составить математическую модель инвестиций, которая будет представлять значение чистой приведенной стоимости (7).

Чистая приведенная стоимость (чистый дисконтированный доход) (англ. Net present value) — это сумма дисконтирован-

>

>

>

NPV = -I0 + £

Д V

C

i = 1 (1 + rt )i (1 + гп + 1)п

(7)

где: NPV — чистая приведенная стоимость; I0 — стартовый объем инвестиций в нулевой период; n — число интервалов функционирования проекта; AV — сальдо8 поступлений и расходов в /-ом периоде; Г — ставка дисконтирования, выбранная для этого периода; C — ликвидационная стоимость чистых активов, полученных в процессе инвестирования.

Такой подход может быть во многих случаях обоснован, если предоставляет возможность оценить или измерить полученные экономические эффекты от вложения инвестиций. Однако при оценке экономической эффективности системы защиты информации возникает проблема. Сущность ее заключается в том, что происходит подмена понятий при оценке экономических эффектов.

Для инвестиционных проектов в качестве основного показателя экономической эффективности рассматривается изменение прибыли хозяйствующего субъекта до и после внедрения проекта, а при оценке эффективности вложений в систему защиты рассматривается оценка предотвращенного ущерба, которая носит вероятностный характер и не может быть измерена объективно и показана в бухгалтерском балансе предприятия. Полученные эффекты от защиты «растворяются» среди других мероприятий организационного и технического характера, поэтому оценить их конкретно не всегда представляется возможным.

Другой подход к оценке экономической эффективности проектов основан на методике оценки совокупной стоимости владения (Total Cost of Ownership), которая первоначально разрабатывалась как средство расчета стоимости владения компьютером9. Но в последнее время, благодаря усилиям компании Gartner Group, эта методика стала основным инструментом подсчета совокупной стоимости владения корпоративными системами защиты информации. Основной целью расчета ТСО является выявление избыточных статей расхода и оценка возможности возврата инвестиций, вложенных в технологии безопасности. Таким образом, полученные данные по совокупной стоимости владения используются для

выявления расходной части использования системы защиты информации.

Главной проблемой при определении ТСО является проблема выявления составляющих совокупной стоимости владения и их количественная оценка. Все составляющие ТСО условно разделяются на «видимые» пользователю (первоначальные затраты) и «невидимые» (затраты на эксплуатацию и использование). При этом «видимая» часть ТСО обычно значительно меньше, чем «невидимая».

К группе «видимых» затрат относятся следующие:

> стоимость лицензии;

> стоимость внедрения;

> стоимость обновления;

> стоимость сопровождения.

Все эти затраты, за исключением внедрения, имеют фиксированную стоимость и могут быть определены еще до принятия решения о внедрении корпоративной системы защиты информации. Следует отметить, что и в «видимом» секторе поставщиками систем безопасности иногда могут использоваться скрытые механизмы увеличения стоимости для привлечения клиента.

Дополнительные затраты («невидимые») появляются у каждого предприятия, завершившего у себя внедрение системы защиты информации. «Невидимые» затраты также разделяются на группы:

> затраты на оборудование (включают в себя затраты на приобретение или обновление средств защиты информации, на организацию бесперебойного питания и резервного копирования информации, на установку новых устройств безопасности и пр.);

> дополнительное программное обеспечение (системы управления безопасностью, VPN, межсетевые экраны, антивирусы и пр.);

> персонал (например, ошибки и трудности в работе со средствами защиты, неприятие или даже саботаж новых средств защиты и т. д.);

> другие (в этом случае оценивается степень и стоимость риска «выхода из строя» системы).

Такой подход (ТСО) может быть полезен в тех случаях, когда требуется оценить эффективность различных альтернативных вариантов защиты информации при одинаковых условиях. Показатель ТСО системы информационной безопасности рассчитывается как сумма всех затрат, «видимых» и «невидимых». Затем

этот показатель сравнивается с рекомендуемыми величинами для данного типа предприятия.

Существует 17 типов предприятий, которые, в свою очередь, делятся на малые, средние и крупные. Если полученная совокупная стоимость владения системой безопасности значительно превышает рекомендованное значение и приближается к предельному, то необходимо принять меры по снижению показателя ТСО. Сокращения совокупной стоимости владения можно достичь следующими способами: максимальной централизацией управления безопасностью, уменьшением числа специализированных элементов, настройкой прикладного программного обеспечения безопасности и пр.

Кроме этой модели существуют методики расчета TCO и у других аналитических компаний (Forrester Research, Meta Group, IDC). Из-за различий в этих методиках разброс результатов бывает довольно большим.

Трудности использования этих подходов к оценке эффективности систем защиты информации привели к тому, что возникла необходимость создания новых методик обоснования затрат, которые были бы понятны ЛПР и учитывали вероятностный характер информационных рисков.

3.Методика обоснования затрат на основе двухфакторной модели информационных рисков

Наиболее простым является метод оценки рисков на основе двухфакторной модели

R = <P, U> , при Z < Z0. (8)

Сущность механизма обоснования затрат представлена на рис.1. Все информационные риски отображаются в системе координат (Вероятность, Ущерб). При этом выделяют несколько областей для анализа:

> Первая область (правый верхний угол) представляет собой риски, вероятность которых высока, а ущерб при их реализации существенный. Эта область принимаемых рисков, а значит, хозяйствующий субъект будет нести определенные затраты на их предотвращение, передачу или снижение. При обработке каждого риска проверяется условие (8). В том случае, если оно выполняется, то риск принимается.

OI

Z

О

о

CJ

о о о

Q.

со s

H

о о z о я с о m ф VO >5

о *

о ф

У

s

s

о z

о *

о

s

ф

ч

я *

<

*

s z

H

о ф

> Вторая область — непринимаемых рисков, которые имеют малую вероятность возникновения и незначительный ущерб при их реализации. Эти риски, вполне естественно, не рассматриваются в ходе анализа либо обрабатываются в последнюю очередь при

слабых ограничениях на финансирование системы защиты информации.

> Наконец, третья область представляет собой те риски, которые рассматриваются только при имеющемся ресурсе на финансирование защиты информации.

Вероятность риска

Область рисков, защита от которых определяется в зависимости от бюджета

Область принимаемых рисков

Ущерб

Рис.1. Распределение рисков в двухфакторной модели обоснования затрат на информационную безопасность

Ol

Z

О

о

CJ

о о о

Q.

со

S

н о

0

1

о я с о m ф VO >5

о *

о ф

у

S

2

0

1

о *

о

2

ф

d

я <

S I

н

о ф

со

Такой подход может быть приемлем в тех случаях, если ЛПР представляет себе примерный уровень затрат на защиту информации. А это связано, прежде всего, с финансовыми возможностями организации.

4. Методика обоснования затрат на основе трехфакторной модели информационных рисков

Более интересным является подход к обоснованию затрат на основе трехфак-торной модели информационных рисков, представленной на рис.2.

Систему предпочтений в трехфактор-ной модели выбора информационных

Область, защита которой определяется в зависимости от бюджета

рисков с позиций ЛПР можно сформулировать в следующем виде:

V(x >у)(р>Ру)л(ых > Ыу)А(гх <

^ х > - у (9)

при условии, что -1 + 2Х < 20, где х и у — сравниваемые риски; рх, ру — вероятности рисков; их, иу — значения ущерба для двух сравниваемых рисков; 2Х, 2у — значение затрат, связанных либо со снижением ущерба до допустимого уровня, либо с его исключением для рисков х и у; 2-1 — суммарные затраты на предыдущем (/ -1) этапе сравнения информационных рисков; V — квантор общности; х >- у — обозначение нестрогого превосходства переменной х над у.

Варианты затратной политики (2). Диаметр круга пропорционален объему затрат

затраты

Рис.2. Распределение рисков в трехфакторной модели обоснования затрат на информационную безопасность

p

Pmin

и

Z

Выражение (6) имеет следующий смысл: при парном сравнении двух рисков (х, у), у одного из которых (х) значения вероятности и ущерба больше или равны соответствующим значениям 2-го риска (у), а затраты на снижение или устранение риска меньше или равны 2-му, предпочтение отдается первому (х) риску при условии, что суммарные затраты на систему информационной безопасности не превышают заданных (г0).

Выражение (9) не описывает все возможные случаи отношений вероятностей рисков, ущерба и возможных затрат, например, когда (рх > ру) л (их > иу) и т.д. В этом случае целесообразно вводить дополнительные показатели для принятия решения о включении и исключении соответствующего риска. Таким показателем может быть отношение

их и — > —

гх -уг

(10)

Смысл этого отношения заключается в том, что из двух рисков выбирается тот, для которого отношения ущерба к затратам больше. Но возможны также и другие стратегии выбора рисков при условии существования ограничений по величине затрат на систему информационной безопасности. Трехфакторная модель обоснования затрат позволяет разработать формализованную процедуру обоснования решений в сфере защиты информаций для ЛПР.

5. Методы поиска оптимальных решений при заданных ограничениях на величину затрат

Выражения (9) и (10) реализуют практически процедуру обоснования выбора информационных рисков для последующего их снижения или устранения. При этом учитываются одновременно несколько факторов вместо одного мультипликативного критерия оценки риска

Г = Рг • и,-.

Такой подход позволяет хорошо выделить существенные и незначительные риски (рис. 3). В промежуточной области эти решения принимаются с учетом уже других показателей. Однако в определенных случаях возможно использование и методов поиска оптимальных решений.

Пусть Ьк — некоторая целевая функция возможного ущерба от рассматриваемых рисков

(11)

Ц = X Щ • щ г

Щ е ик, щ е N р^ е рк,

где: к — область рисков, в которых значения вероятностей их возникновения слабо различимы; иг — ущерб г-го риска; щ — переменная, которая может принимать значения [0,1]. При значении «0» риск не рассматривается и считается при заданных условиях незначительным.

Общие затраты на предотвращение рисков будут определяться как

гк = X гг, при условии, что X гк ^ г0,

г к

где: гг — затраты по каждому риску; г0 — общие предельно допустимые затраты.

Тогда цель решения задачи — найти такие значения щ, щ е N при которых значение целевой функции становится максимальным

Ьк ^ тах, при гк ^ г0 и г е Ях. (12)

Подобный подход позволяет находить условно-оптимальные решения по каждой из областей рисков, для которых значения вероятностей их возникновения неразличимы или определяются одними значениями терм-переменной, характеризующий значение.

Решение этой задачи методами математического программирования позволяет выбрать только те информационные риски, которые в наибольшей степени снижают ущерб при их возникновении.

Выводы

1. Существующие механизмы управления рисками при создании системы информационной безопасности не являются убедительными для ЛПР в силу их малой связи с целями хозяйственной, экономической и финансовой деятельности любой организации.

2. Используемые финансовые инструменты для оценки экономической эффективности финансовых вложений также практически не могут быть использованы при оценке необходимого уровня затрат на систему защиты информации. Основная причина этого факта заключается в том, что во всех инструментах оценки эффективности предполагается возврат финансовых вложений, в то же время при анализе эффективности системы защиты информации этот показатель проявляется в форме предотвращенного ущерба, который к тому же носит вероятностный характер. Для ЛПР должны быть учтены дополнительные факторы, позволяющие оценить уровень

01

г •

о

о сч

о о о о.

с[ со

I-

О

0

1

о я с о т ф ю

О *

О ф

у

2

0

1

о *

о

2

ф

Ч

я *

<

I I-

О ф

со

рациональности затрат, выделенных на защиту информации. 3. Трехфакторные модели во многих случаях позволяют построить систему

защиты информации на основе выявления системы предпочтений ЛПР, а в некоторых случаях позволяют находить условно-оптимальные решения.

Литература и примечания

1. Стандарт ГОСТ Р ИСО/МЭК 17799-2005 «Информационная технология. Практические правила управления информационной безопасностью».

2. Стандарт ГОСТ Р ИСО/МЭК 27001-2006 ««Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования».

3. Стандарт ГОСТ Р ИСО/МЭК 13335-1-2006 «Информационная технология. Методы и средства обеспечения безопасности. Часть 1. Концепция и модели менеджмента безопасности информационных и телекоммуникационных технологий».

4. Стандарт ГОСТ Р ИСО/МЭК 13335-3-2006 «Информационная технология. Методы и средства обеспечения безопасности. Часть 3. Методы менеджмента безопасности информационных технологий».

5. Марков А.С., Цирлов В.Л. Управление рисками — нормативный вакуум информационной безопасности // Открытые системы. 2007. № 8.

6. Арзуманов С.В. Оценка эффективности инвестиций в информационную безопасность// Защита информации. Инсайд. 2005. №1.

7. Ставка дисконтирования — это процентная ставка, используемая для приведения будущих потоков денежных средств к их текущей стоимости.

8. Сальдо — (от итал. saldo — расчет, расплата, остаток) — это разность между суммой всех денежных поступлений и суммой всех денежных расходов за определенный промежуток времени.

9. Петренко С. А., Терехова Е. М Оценка затрат на защиту информации// Защита информации. Инсайд. 2005. №1.

Номинальный сервис: проблемы правового

регулирования, экономической безопасности и ответственности

Хужин А.М.*, Карпычев М.В. **

In article nominal service as the social and legal phenomenon is considered. Relations between the nominal serviceman, and the interested person, in sphere of corporate relations and property relations are analyzed. Problems of responsibility and maintenance of economic safety with reference to rendering of services of nominal service are investigated.

Законодательство ряда государств, особенно офшорных территорий, предусматривает институт так называемого «номинального сервиса». Особо широкое распространение номинальный сервис получил в странах, законодательство о компаниях которых сформировано под влиянием английского права (сама Великобритания, Кипр, Британские Виргинские острова и др.).

Под номинальным сервисом принято понимать оказание услуг по предоставлению номинальных (подставных) директоров, секретарей и акционеров компаний

Основной целью лиц, прибегающих к использованию услуг номинального сервиса, является сокрытие информации о

фактических участниках и руководителях юридического лица.

В международной практике способ владения и (или) управления компанией, при котором владельцы не выступают под собственным именем ни в качестве владельцев, ни в качестве директоров, получил широкое распространение. Для этого при регистрации компании ее акции заполняются на имя номинальных акционеров, право управления фирмой получают номинальные директора и, соответственно, во все официальные документы и реестры вносятся имена и адреса номинальных акционеров и директоров.

При обращении к услугам номинального сервиса может возникнуть опасение,

Начальник кафедры гражданского права и процесса Нижегородской академии МВД России, кандидат юридических наук, доцент.

Доцент кафедры гражданского права и процесса Нижегородской академии МВД России, кандидат юридических наук, доцент.

**