Выбор и обоснование методики расчёта экономической эффективности предлагаемых мер защиты

Оценка экономической эффективности проекта

Экономическая эффективность мероприятий по защите информации может быть определена через объем предотвращенного ущерба или величину снижения риска для информационных активов организации.

Для того, чтобы воспользоваться данным подходом к решению проблемы, необходимо знать (или уметь определять), во-первых, ожидаемые потери при нарушении защищенности информации; во-вторых, зависимость между уровнем защищенности и средствами, затрачиваемыми на защиту информации.

Для определения уровня затрат обеспечивающих требуемый уровень защищенности информации, необходимо по крайней мере знать:

1) полный перечень угроз информации;

2) потенциальную опасность для информации для каждой из угроз;

3) размеры затрат, необходимых для нейтрализации каждой из угроз.

Поскольку оптимальное решение вопроса о целесообразном уровне затрат на защиту состоит в том, что этот уровень должен быть равен уровню ожидаемых потерь при нарушении защищенности, достаточно определить только уровень потерь. В качестве одной из методик определения уровня затрат возможно использование следующей эмпирической зависимости ожидаемых потерь (рисков) от i-й угрозы информации (1):

(1)

где: – коэффициент, характеризующий возможную частоту возникновения соответствующей угрозы;

– коэффициент, характеризующий значение возможного ущерба при ее возникновении. При выполнении дипломного проекта используем следующие значения коэффициентов и , приведенные в таблице (таблица 6).

Таблица 1

Значения коэффициентов S_i и Vi

Ожидаемая (возможная) частота появления угрозы	Предполагаемое значение
Почти никогда
1 раз в 1 000 лет
1 раз в 100 лет
1 раз в 10 лет
1 раз в год
1 раз в месяц (примерно, 10 раз в год)
1-2 раза в неделю (примерно 100 раз в год)
3 раза в день (1000 раз в год)
Значение возможного ущерба при проявлении угрозы, руб.	Предполагаемое значение
3 000
30 000
300 000
3 000 000
30 000 000
300 000 000

Суммарная стоимость потерь определяется формулой (2):

(2)

где N – количество угроз информационным активам.

Оценим потери от угроз:

- угрозы, обусловленные преднамеренными действиями;

- угрозы, обусловленные случайными действиями;

- угрозы, обусловленные естественными причинами (природные, техногенные факторы).

Определим значения коэффициентов S_i и Vi для информационных активов компании (таблица 2).

Таблица 2

Значения коэффициентов S_i и Vi

Оценка потерь от угроз информационным активам представлена в таблице 3.

Таблица 3

Величины потерь (рисков) для критичных информационных ресурсов до внедрения/модернизации системы защиты информации

После внедрения, частоты появления угроз изменятся (таблица 4). При этом ожидаемые потери от угроз останутся на прежнем уровне.

Таблица 4

Содержание и объем разового ресурса, выделяемого на защиту информации

Таблица 5

Содержание и объем постоянного ресурса, выделяемого на защиту информации

Таблица 6

Величины потерь (рисков) для критичных информационных ресурсов

после внедрения/модернизации системы защиты информации