Оценка затрат на проведение мероприятий по обеспечению информационной безопасности организаций потребкооперации

Размещено на http://www.Allbest.Ru/

Белгородский университет кооперации, экономики и права

Оценка затрат на проведение мероприятий по обеспечению информационной безопасности организаций потребкооперации

М.В. Бирюков

Н.А. Климова

Т.В. Гостищева



Аннотация

Целью статьи является конкретизация систем оценки затрат на обеспечение информационной безопасности применительно к организациям потребкооперации. В настоящее время вопрос модернизации средств информационной безопасности стоит особенно остро: объем киберпреступлений ежегодно растет, при этом статьи расходов, предназначенные на поддержание информационной безопасности, жестко регламентируются. В работе предложен обзор оценки затрат информационной безопасности применительно к организациям потребкооперации и проведен расчет затрат на модернизацию средств информационной безопасности на конкретном предприятии. Проанализированы ключевые черты организаций потребкоопераций. Произведена выборка удовлетворяющих критериям организаций потребкооперации средств оценки затрат на модернизацию комплекса средств защиты информации. Предложены возможности перераспределения затрат на модернизацию ИБ с целью повышения эффективности информационной безопасности на среднесрочную перспективу. В ходе исследования использовались общенаучные методы (наблюдение, сравнение); экономико-статистические методы обработки данных (группировка, сравнение, анализ воздействия на бизнес (BIA)), анализ причин и следствий, техническое обслуживание, направленное на обеспечение надежности. Результатом исследования является применение предложенного алгоритма оценки ИБ предприятия потребкооперации и оптимизации расходов на модернизацию комплекса средств информационной безопасности.

Ключевые слова: информационная безопасность, оценка затрат информационной безопасности, организации потребкооперации, комплексные системы защиты информации.



Abstract

Cost estimate on implementation of measures, ensuring information security in consumer cooperation organizations

M.V. Biryukov, N.A. Klimova, T.V. Gostishcheva, Belgorod University of Cooperation, Economics & Law

The purpose of this article is particularization of information security cost estimation systems specification inconsumer cooperation organizations. At the present time the question of information security modernization is very actual: cybercrime rises annually, and the expense items, which aimed at maintaining of information security, are strictly regulated. The article contains review of cost estimates for information security inconsumer cooperation organizations. Also it includes calculation of expenses, which are necessary for information security modernization in a particular institution. The individual features of consumer cooperative organizations are analyzed. A selection of satisfactory organizations was made to assess the costs of upgrading a set of information protection tools. Proposed opportunities to redistribute the costs of modernization and increase the level of security in the medium term. During the study were used general scientific methods (observation, comparison);economic statistical data processing methods (grouping, comparison, business impact analysis (BIA)), cause and effect analysis, maintenance activities designed for ensuring reliability. The result of the study is an application of the proposed information security assessment algorithm, which applies in consumer cooperation organization, and an optimization the costs of information security tools upgrading.

Keywords: information security, information security cost estimate, consumer cooperation organizations, integrated information security systems.



Введение

Потребительской кооперацией является система потребительских обществ и их объединений, созданных в целях удовлетворения материальных и иных потребностей их членов.

Задачи потребительской кооперации это:

- создание и развитие организаций торговли;

- закупка у граждан и юридических лиц сельскохозяйственной продукции и сырья, изделий и продукции личных подсобных хозяйств и промыслов, дикорастущих плодов, ягод и грибов, лекарственно-технического сырья с последующей их переработкой и реализацией;

- производство пищевых продуктов и непродовольственных товаров с последующей их реализацией через организации розничной торговли;

- оказание членам потребительских обществ производственных и бытовых услуг [Белгородский областной союз потребительских обществ, 2019].

Потребительские общества составляют основу потребительской кооперации. В настоящее время в системе Центросоюза России существует более 3000 потребительских кооперативов, из которых 77 % приходятся на долю населенных пунктов численностью менее 5000 человек [Вологодский областной союз потребительских обществ, 2019]. Обобщив существенные признаки потребительских организаций в срезе обеспечения информационной безопасности, мы выделили следующие отличительные черты [Бусыгин, 2017]:

- членами потребкооперации являются и могут являться различные социальные и профессиональные группы граждан;

- участники потребкооперации в подавляющей массе не имеют специального образования или подготовки в области защиты информации и информационных технологий;

- на объектах потребкооперации нет возможности установки специальных пропускных пунктов и иных пунктов контроля посещений организации.

Среди информационных объектов организаций потребкооперации главной ценностью являются персональные данные участников, бухгалтерская, экономическая документация и доступ к электронным финансовым потокам [Гордон, 1994]. Оптимизация затрат на кибербезопасность является актуальным вопросом снижения ежегодных затрат организации. Различные аспекты оптимизации затрат на кибербезопасность рассматривались в работах многих зарубежных и отечественных ученых, таких как: Е.В. Касперский, Виндов Снайдер, Брайан Тускан, Мико Хюппонен, Кэти Муссурис, Дженнифер Леггио.

Целью данной статьи является конкретизация систем оценки затрат на обеспечение информационной безопасности применительно к организациям потребкооперации. В ходе исследования использовались общенаучные методы (наблюдение, сравнение); экономико-статистические методы обработки данных (группировка, сравнение, анализ воздействия на бизнес (BIA)), анализ причин и следствий, техническое обслуживание, направленное на обеспечение надежности.

Результатом исследования является применение соответствующих средств оценки затрат на модернизацию информационной безопасности организаций потребкооперации и оптимизация расходов на модернизацию комплекса средств информационной безопасности.

Исходя из существующих признаков организаций потребкооперации оценку затрат для обеспечения информационной безопасности следует вести по следующим критериям:

1. Оценка информационной безопасности (далее ИБ) должна обеспечивать количественную оценку рисков, затрат и последствий проведенных мероприятий.

2. Методика должна обеспечивать прозрачность всех совершаемых операций.

3. Должна быть учтена универсальность методики: применимость к финансовым затратам на приобретение программного, аппаратного обеспечения, обучения персонала и привлечения сторонних специалистов.

4. Необходима возможность моделирования возможных угроз и применения контрмер в рамках заданных алгоритмов.

5. Учитывая вышеизложенное для оценки затрат по обеспечению ИБ организаций потребкооперации возможно проводить по ряду методик, рассмотренных в дальнейшем.



Economic Value Added (EVA, добавленная экономическая стоимость)

Универсальная, ставшая классической методика, применяемая с 1980-х годов. EVA предполагает создание автономной структуры информационной безопасности, обслуживающей исключительно организации и предприятия в рамках одной финансовой сети (в нашем случае потребкооперации). EVA позволяет выводить на самоокупаемость предприятие ИБ за счет обслуживания предприятий внутри сети и варьировать стоимость и количество предлагаемых мер по ИБ, отталкиваясь от конкретных задач и условий организации. Безусловным плюсом подобной методики является автономность работы подразделений ИБ, что сокращает возможные потери данных. Однако данная методика применима исключительно к предприятиям с разветвленной и обширной сетью, что удовлетворяет условиям потребкооперации [Глаголев, Ваганова, 2013].

System Life Cycle Analysis (SLCA, методика анализа жизненного цикла)

Данный отечественный метод оценки ИБ основывается на математическом соотношении существующих мер систем защиты информации и сумме возможных рисков и вероятности наступления данных рисков. Выявленные посредством данного метода финансовые потери соотносятся с приемлемым уровнем издержек и формируют расчетную модель «до» и «после» модернизации средств ИБ. Точка пересечения графов существующих и приемлемых рисков формирует будущий объем средств для модернизации комплекса средств защиты информации предприятия [Всероссийская перепись населения, 2019].

SLCA применяется как на этапе проектирования и предварительной оценки эффективности новых систем ИБ, так и для проведения аудита ИБ.

Balanced Scorecard (BSC, комплекс сбалансированных показателей)

Данная методика была разработана в 1990-х годах, ее специфика заключается в учете нематериальных активов: организационные инновации, эмоциональная удовлетворенность сотрудников, эффективность применения ПО и приложений.

BSC группирует показатели ИБ по 4 стратегическим критериям:

- финансы (задачи присутствия организации на рынке, рентабельность, прибыль и пр.);

- рынок сбыта и клиентура (качественные показатели обслуживания клиентов, стратегия освоения новых рынков и пр.);

- процессы (критерии оценки эффективности процессов, таких как время, стоимость, объем рисков и пр.);

- развитие (перспективы и планирование развития с использованием новых технологий, повышение квалификации персонала и пр.)

Данные критерии имеют четкие причинно-следственные связи (например, высококвалифицированный персонал повышает качество обслуживания клиентов) и граф пересечений данных критериев формирует объективную оценку состояния организации и дает возможность оценить необходимые затраты для модернизации ИБ в случае низких показателей как комплекса критериев, так и частных характеристик [Дементьева, 2018]. Вследствие чего формируется план ИБ по следующим направлениям:

1. миссия (устав организации, фундаментальные принципы);

2. клиенты (задачи поддержки основной деятельности организации);

3. процессы (оценка эффективности процедур внедрения и разработки);

4. технологии (оценка и обоснование эффективности применяемых технологий);

5. организация (критерии эффективности внутренних показателей ИТ подразделений).

BSC применима исключительно для корпораций с разветвленной системой филиалов, потому отвечает требованиям применения в организациях потребкооперации.

модернизация информационный безопасность потребкооперация

Total Cost of Ownership (TCO, Общая стоимость владения)

Основной целью TCO является обнаружение избыточных расходов и оценка возможных мер возврата вложений в организациях.

TCO выявляет составляющие общей стоимости владения организации и разделяет на явные и неявные. Причем на долю последних приходится более двух третей общих затрат.

Явные затраты формируются из стоимости:

- лицензии;

- внедрения;

- обновления;

- сопровождения.

Неявные затраты как правило состоят из:

- затрат на приобретение и обновление оборудования средств ИБ;

- дополнительный софт (системы управления безопасностью, антивирусное ПО, сетевые экраны, VPN маршрутизаторы и пр.);

- персонала (переобучение, трудности работы с новыми средствами ИБ и пр.);

- стоимости возможностей (сумма затрат на возможные альтернативные пути усовершенствования ИБ) [Валовой региональный продукт по субъектам Российской Федерации, 2019].

Показатель TCO рассчитывает сумму всех затрат владения систем КЗИ, превышающую рекомендованное значение, и предлагает план оптимизации расходов.

Для определения затрат на проведение мероприятий по обеспечению информационной безопасности организаций потребкооперации, с поправкой на конкретные технические условия, материальные и персональные возможности можно использовать любую из предложенных методик.

Алгоритм оценки затрат вне зависимости от методологии будет включать следующие шаги [Гордон,1994].

1. Организационные затраты:

- затраты на приобретение технических средств (сервер, ПК, периферийные устройства и пр.);

- приобретение и установка средств защиты информации;

- оплата работы специализированного персонала;

2. Затраты контроля:

- плановые проверки программно-аппаратного комплекса и систем ЗИ;

- оплата работы инспекторов контроля требований;

- проведение аудита.

3. Техническое обслуживание СЗИ:

- затраты на планирование СЗИ;

- техническая поддержка персонала;

- затраты на эксплуатацию контрольно-пропускной системы.

Пример использования методики Total Cost of Ownership для расчета стоимости мероприятий обеспечения ИБ (рис. 1).

Объектом расчета затрат на проведение мероприятий по обеспечению информационной безопасности будет вымышленная организация ООО «Кооперация» (любые возможные совпадения случайны и непреднамеренны).

В системе потребительской кооперации трудится более 3,5 тысяч человек. 564 торговых предприятия системы обеспечивают бесперебойную продажу продуктов питания и товаров повседневного спроса, включая собственную продукцию кооперативных промышленных предприятий и общественного питания в 26 муниципальных образованиях области.

Рис. 1. Алгоритм переоценки рисков с применением TCO

Fig. 1. TCO Risk Assessment Algorithm

Конец первой или последующих итераций

Период анализа - сентябрь - октябрь 2019.

Основной вид деятельности - розничная торговля товарами.

Общий годовой доход - 300 млн руб.

Численность персонала - 3600 чел.

Средняя заработная плата - 38000 р.

Таблица 1 / Table 1

Текущие затраты на приобретение сетевого оборудования / Current costs for the acquisition of network equipment

Оборудование	Затраты, тыс. руб.
Серверы	90
Клиентские ПК	2810
Клиентские мобильные устройства	350
Периферийное оборудование	617
Сетевое оборудование	212
Итого	4079



Методика TCO позволяет сравнивать текущие затраты на ИБ с эталонными. Основными целями модернизации ИБ являются: модернизация аппаратной базы (табл. 1) антивирусная сетевая защита и система мониторинга доступа к информационным объектам. Соотнеся актуальные требования и показатели ИБ с существующими, мы получили ряд необходимых затрат, представленных в таблицах 2-4.

Таблица 2 / Table 2

Затраты на аппаратные средства (Hardware costs)

Категории затрат на аппаратные средства	Текущие руб.	Эталонные, руб.	Целевые, руб.	Разница между текущими и эталонными, руб.	Разница в %	Разница между целевыми и эталонными, руб.	Разница в %	Разница между целевыми и эталонными, руб.	Разница в %
Покупка оборудования	1909668	1894950	2109357	-14718	-1	214407	11	199689	10
Лизинговые платежи	307521	260480	395 994	-47 041	-15	135514	52	88473	29
Модернизация	67972	258340	57254	190 368	280	-201 086	-78	-10 717	-16
Комплектующие	81 855	36 640	165148	-45 215	-55	128508	351	83292	102
Лицензии	84 530	166 730	108 769	82 200	97	-57 961	-35	24 238	29
Общие затраты	2451546	2617140	2836522	165 594	7	219 382	8	384 976	16

Таблица 3 / Table 3

Затраты на программные средства и оборудование / Software and hardware costs

Категории затрат на программное обеспечение и оборудование	Текущие, руб.	Эталонные, руб.	Целевые, руб.	Разница между эталонными и текущими, руб.	Разница в %	Разница между целевыми и эталонными, руб.	Разница в %	Разница между целевыми и текущими руб.	Разница 8%
Оборудование	2451 546	2617140	2 836 522	165 594	7	219 382	8	384 9/6	16
Программное обеспечение	2 873 1 54	2 040 780	2 262 723	-832 374	-29	221 943	11	-610431	-21
Оборудование ИС	79 617	78690	89 665	-927	-1	10975	14	10048	13
Программное обеспечение ИС	197 240	195 СОО	211786	-2240	-1	16 786	9	14 546	7
Общие затраты	5 601 557	4931610	5 400 695	-669 947	-12	469 085	10	-200 862	-4

Таблица 4 / Table 4

Административные затраты / Administrative costs

Финансовые и административные затраты	Текущие, руб.	Эталонные, руб.	Целевые, руб.	Разница между эталонными и текущими, руб.	Разница в %	Разница между целевыми и эталонными, руб.	Разница в %	Разница между ролевыми и текущими, р/б.	Разница в %
Затраты на контроль	388410	199 511	317 198	-188 899	-49	117 688	59	-71211	-18
Административная помощь сотрудникам ИТ	39656	133 007	36 556	93 351	235	-96 451	-73	-3101	-8
Управление активами	70 323	66 504	17 374	-3 819	-5	-49129	-74	-52 949	-75
Бюджетирование	36128	66 504	32 031	30 375	84	-34 502	-52	-4 127	-11
Аудит	18032	33 252	10 023	15 220	84	-23 229	-70	-8 009	-44
Управление приобретением и контрактованием	84 239	133 007	54 290	48 768	58	-78 717	-59	-29 949	-36
Управление вендорами	159 048	33 252	107 883	-125 797	-79	74 632	224	-51165	-32
Общие ежегодные	795 837	665 036	575 326	-130 801	-16	-89 710	-13	-220 511	-28



Заключение

Сопоставляя полученные стоимостные результаты можно сделать выводы о возможной оптимизации административных затрат за счет внедрения автоматизированной системы управления активами (43%) и снижения показателей простоев (27%) посредством повышения квалификации персонала. Необходимое увеличение затрат на приобретение аппаратных и программных средств (28% от ежегодного плана модернизации технических средств) незначительно относительно будущего снижения коэффициента финансовых рисков. Итоговый показатель TCO в итоге оказался меньше текущего и соответствует изначально планируемым 5-7 % ежегодного дохода, выделяемым на модернизацию программно-аппаратной базы и переобучение персонала.



Список литературы

1. Белгородский областной союз потребительских обществ. Веб-архив.

2. Бусыгин А.Е. 2017. Потребительская кооперация как система в инфраструктуре развития села. Материалы международной научно-практической конференции «Российское село и кооперация: сегодня и завтра». М., «Канцлер», 416.

3. Валовой региональный продукт по субъектам Российской Федерации. Федеральная служба государственной статистики.

4. Вологодский областной союз потребительских обществ.

5. Всероссийская перепись населения. Том 1. Численность и размещение населения. Группировка сельских населенных пунктов по численности населения по субъектам Российской Федерации. Федеральная служба государственной статистики.

6. Глаголев С.Н., Ваганова О.В. 2013. Конкретные детерминанты для структурирования экономики с учетом фактора интеграции. Всемирный журнал прикладных наук. 24 (10): 1322-1329.

7. Гордон Л.А. 1994. Четыре рода бедности в современной России. Социологический журнал. №4: 1, 2, 5.

8. Дементьева И.Н. 2018. Потребительское поведение населения региона и особенности его адаптации к экономическим условиям кризиса 2014-2015 гг. Вопросы территориального развития. №3 (43): 8.

9. Демография. Распределение населения по возрастным группам. Федеральная служба государственной статистики.

10. Демография. Численность и состав населения. Федеральная служба государственной статистики.

11. Демография. Численность населения. Федеральная служба государственной статистики.

12. Департамент агропромышленного комплекса и воспроизводства окружающей среды Белгородской области. Информация об области.

13. Правительство Российской Федерации. Распоряжение от 13 февраля 2019 г. №207-р.

14. Стратегический менеджмент: теория, методология, практика. 2013. С.Н. Глаголев, Ю.А. Дорошенко, П.П. Табурчак и др. Под ред. Ю.А. Дорошенко. Белгород: Изд-во БГТУ, 166 с.

15. Тверской областной союз потребительских обществ.

16. Число сельских населенных пунктов и поселков городского типа продолжает снижаться. Демоскоп Weekly. № 475-476.



References

1. Belgorodskiy oblastnoy soyuz potrebitelskikh obshchestv [Federal State Statistics Service.].

2. Busygin A.E. 2017. Potrebitelskaya kooperatsiya kak sistema v infrastrukture razvitiya sela [Consumer cooperation as a system in rural development infrastructure]. Materialy mezhdunarodnoy nauchno-prakticheskoy konferentsii «Rossiyskoe selo i kooperatsiya: segodnya i zavtra». M., «Kantsler», 416.

3. Valovoy regionalnyy produkt po subjektam Rossiyskoy Federatsii. Federalnaya sluzhba gosudarstvennoy statistiki [Gross regional product by constituent entities of the Russian Federation. Federal State Statistics Service].

4. Vologodskiy oblastnoy soyuz potrebitelskikh obshchestv [Vologda Regional Union of Consumer Societies].

5. Vserossiyskaya perepis naseleniya. Tom 1. Chislennost i razmeshchenie naseleniya. Gruppirovka selskikh naselennykh punktov po chislennosti naseleniya po sub"ektam Rossiyskoy Federatsii. Federalnaya sluzhba gosudarstvennoy statistiki [All-Russian population census. Volume 1. The size and distribution of the population. Grouping of rural settlements by population by subjects of the Russian Federation. Federal State Statistics Service].

6. Glagolev S.N. Vaganova O.V. 2013. Specific Determinants for Structuring the Economy, Taking into Account the Factor of Integration. World Applied Sciences Journal. 24 (10): 1322-1329. (in Russian)

7. Gordon L.A. 1994. Chetyre roda bednosti v sovremennoy Rossii. Sotsiologicheskiy zhurnal [Four kinds of poverty in modern Russia. Sociological Journal]. №4: 1, 2, 5.

8. Dementeva I.N. 2018. Potrebitelskoe povedenie naseleniya regiona i osobennosti ego adaptatsii k ekonomicheskim usloviyam krizisa 2014-2015gg [Population and distribution]. Voprosy territorialnogo razvitiya. №3 (43): 8.

9. Demografiya. Chislennost i sostav naseleniya. Federalnaya sluzhba gosudarstvennoy statistiki [Distribution of population by age groups. Federal State Statistics Service].

10. Demografiya. Chislennost naseleniya. Federalnaya sluzhba gosudarstvennoy statistiki [Issues of territorial development].

11. Demografiya. Raspredelenie naseleniya po vozrastnym gruppam. Federalnaya sluzhba gosudarstvennoy statistiki [Federal State Statistics Service].

12. Departament agropromyshlennogo kompleksa i vosproizvodstva okruzhayushchey sredy Belgorodskoy oblasti. Informatsiya ob oblasti [Federal State Statistics Service].

13. Pravitelstvo Rossiyskoy Federatsii. Rasporyazhenie ot 13 fevralya 2019 g. №207-r [Government of the Russian Federation. Order of February 13, 2019].

14. Strategic management: theory, methodology, practice. 2013. S.N. Glagolev, Yu.A. 15. Doroshenko, P.P. Taburchak et al. Ed.Yu. A. Doroshenko. Belgorod: Publishing House of BSTU, 166 p. (in Russian)

15. Tverskoy oblastnoy soyuz potrebitelskikh obshchestv [Journal of Social Policy Studies].

16. Chislo selskikh naselennykh punktov i poselkov gorodskogo tipa prodolzhaet snizhatsya [The number of rural settlements and urban-type settlements continues to decline]. Demoskop Weekly. №475476.

Размещено на allbest.ru

...