This document is posted to help you gain knowledge. Please leave a comment to let me know what you think about it! Share it to your friends and learn new things together.
§ Реальный пример: сотрудник тратил 6 часов из 8 на ежедневный просмотр порнографии, но за оставшиеся 2 часа приносил недельную выручку Проект по внедрению средства контроля доступа в Интернет провалился
Видимая оценка
• 1,5 часа в день на «одноклассниках»
• 200 сотрудников • 6600 часов экономии – 825 чел/дней
• $18750 в месяц (при зарплате $500)
• $225000 в год экономии
Скрытая оценка
• Блокирование доступа не значит, что сотрудники будут работать
• Работа «от» и «до» и не больше • Ухудшение псих.климата • Потери $150000 в год
§ Цена на инцидент стоимость расследования инцидента стоимость восстановления после инцидента стоимость PR/общения с прессой затраты на юридические издержки (опционально) затраты на нарушение соответствия (опционально) стоимость досудебного урегулирования (опционально)
§ Цена на запись стоимость уведомления (создание списка пострадавших, печать, почтовые услуги) стоимость реагирования пострадавших, например, звонки в Help Desk (опционально) стоимость защитных мер у заказчиков, например, регулярные уведомления, системы борьбы с мошенничеством, средства ИБ (опционально)
§ Дополнительные метрики Отток клиентов (в течении 1, 3, 6, 12, n месяцев) Удар по курсовой стоимости акций (в течении 1, 3, 6, 12, n месяцев) Удар по доходам (в течении 1, 3, 6, 12, n дней или недель - в месяцах измерять нет смысла - рынок все забывает)
§ А еще можно попробовать посчитать стоимость утекшей информации Информация стоит денег сама по себе (оценка нематериальных активов) Информация позволяет улучшить что-то (стоимость информации равна разнице между стоимостью «до» и «после») Информация позволяет принимать решения (выгоды от принятого решения)
§ Цель – ежегодное прохождение сотрудниками тренинга по ИБ и включение в должностные обязанности темы ИБ Это ответ на вопрос: «ЧТО мы хотим сделать?», но не «ЗАЧЕМ мы хотим это сделать?»
§ ЗАЧЕМ необходимо ежегодное прохождение сотрудниками тренинга по ИБ? Чтобы было меньше инцидентов? è Считайте отдачу за счет снижения ущерба от инцидентов! Чтобы выполнить требования регуляторов? è Считайте штрафы от невыполнения требований!
§ Инвестиции в процессы ИБ почти всегда сопряжены с оценкой пост-фактум, что усложняет обоснование выделения ресурсов Штрафы за неисполнение каких-то требований в области ИБ пока незначительны, а правоприменительная практика практически отсутствует
§ Финансовая оценка ИБ нужна только в том случае, если бизнес вообще готов разговаривать в этом разрезе Учитывая скепсис к финансовой оценке эффективности ИТ/ИБ, это происходит не всегда
§ Многие руководители (не только службы ИБ) считают, что оценить ИБ финансово невозможно Но можно оценить стоимость защищаемой информации, ущерб от инцидентов, эффективность проекта по IT Security
§ В таких случаях оценка финансовой отдачи от продуктов/проектов ИБ – просто интересная задача, не имеющая ничего общего с реальностью конкретной организации
§ Закрытая методика, разработанная компанией Giga Group, купленной Forrester Требует участия экспертов Forrester Почти все упомянутые на предыдущем слайде методики требуют участия их авторов, работающих «на доверии» и «на имени»
§ Оценивает эффективность по трем критериям Гибкость Стоимость Преимущества
Стоимость женских духов и экономика ИБ: что общего?
§ «Правда заключается в том, что никакой объективной стоимости нет в природе. Цена любого предмета, произведенного человеком, складывается из массы других, столь же относительных цен – цены труда в столице, деревне, Франции или Занзибаре, цены сырья, цены транспортировки. Все они – условны: то, что человечество на данном этапе своего существования сочло ценным, совсем не обязательно было таковым раньше»
§ Обратите внимание при какой зарплате в западных калькуляторах будут положительные ROI и иные показатели
§ Исходные данные: Число сотрудников (почтовых ящиков) – 7000 Объем электронной корреспонденции – 70000 в сутки (10 сообщений на сотрудника) Объем спама – 60% (42000 сообщений) Время обработки одного спам-сообщения сотрудником в ручном режиме – 10 сек Суммарные дневные затраты на спам – 14,583 человеко-дня Средняя зарплата сотрудника – $1500
§ Потери компании В день – $994,29 В месяц – $21784,5 В год – $248573,86
§ Выгоден ли антиспам в данной ситуации? Да, как и всегда в крупных организациях. Помимо затрат на Интернет и серверные мощности
Идентификация несоответствующих компьютеров 1.0 $12.00 Определение местоположения несоответствующих компьютеров 1.0 $12.00 Приведение в соответствие 2.0 $24.00 Потенциально сэкономленные затраты на 1 компьютер (в год) $48.00 Потенциально сэкономленные затраты на 1 компьютер (за 3 года) $144
$14400 (100 users) $72000 (500 users) $144000 * из расчета зарплаты ИТ-специалиста 2200 долларов в месяц (цифра может варьироваться от $1000 до $4000
Элемент решения Цена
Cisco ISE Appliance 3315 Server (100 users) / 3Y
$15490
Cisco ISE Appliance 3315 Server (500 users) / 3Y
$36490 (~2x)
Cisco ISE Appliance 3315 Server (1000 users) / 3Y
$62990 (~2,5x)
§ В крупных организациях автоматизация задач по ИБ всегда выгоднее, чем в небольших организациях, в которых многие задачи могут быть решены вручную
§ Все финансовые методы (традиционные и «новые») требуют для расчета исходные данные, обычно отсутствующие у служб информационной безопасности Нет, потому что мы не знаем, где их взять Нет, потому что не дают Нет, потому что у нас нет квалификации для измерений Нет, потому что мы не верим в эффективность этих методов Нет, потому что мы боимся соваться в финансы Нет, потому что нет гарантии, что нам поверят Нет, потому что нам не верят Нет, потому что мы забыли математику Нет, потому что нет
§ В области ИБ никто не проводил таких исследований, а в области ИТ отмечается существенный временной лаг между инвестициями в ИТ и эффектами от них Лаг достигает 4-5 лет Лаг связан с длительностью изменений, связанных с адаптацией организации к новым ИТ и более полным использованием их возможностей Долгосрочные эффекты от инвестиций в ИТ намного, в 2,5-3 раза, превышают краткосрочные В ИБ, вероятнее всего, сохраняются (в лучшем случае) те же показатели