Методика инвестирования информационной безопасности организации

DOI:

В основе построения системы информационной безопасности (СИБ) организации лежит инвестирование проектов обеспечения информационной безопасности (ПОИБ). Финансовый диапазон ИБ, который устанавливается руководством, редко подлежит увеличению. При принятии решения об эффективном инвестировании ПОИБ нужно применять методику, способную реализовать эффективное вложение в СИБ [6]. В исследовании [8] отмечено, что на предприятии задачи ИБ сводятся к корпоративной безопасности, поэтому специалист по безопасности должен быть бизнес-аналитиком. На практике политика инвестирования ИБ является либо частью общей политики инвестирования проектов предприятия, либо частной политикой системы менеджмента качества. Авторами [5] проанализированы под- ходы к оценке затрат на ИБ, результатом анализа явилось то, что ни один из подходов не является универсальным для достижения эффективности инвестиций в ИБ, а также не ориентированным на отечественные организации. В работе [5] исследована специфика российского подхода к оценке затрат в ИБ, согласно которой основными этапами являются: аудит ИБ, идентификация рисков, оценка рисков, определение допустимых уровней рисков. Согласно [4], менеджмент риска ИБ способствует: идентификации и оценке рисков, осознанию и информированию о вероятности и последствиях рисков, проведению регулярного мониторинга и пересмотра процесса менеджмента рисков. На основании [2–8] можно сделать вывод, что проектируемая методика должна соответствовать ГОСТ и бизнес-процессам предприятия.

Методика инвестирования информационной безопасности организации

В работе [4] процесс менеджмента риска ИБ представлен двумя основными составляющими: «коммутация риска» с процессами управления и «мониторинг и переоценка рисков». В статье [7] процесс управления инвестициями в ИБ представлен как «черный ящик». Входными сигналами являются: стоимость активов, затраты на ИБ, коэффициент дисконтирования. Выходными – прогнозирование ущербов, интегральный критерий эффективности, оптимизация затрат.

Предложенная авторами методика (рисунок) включает семь этапов. На первом этапе производится аудит ИБ или предпроектное обследование объектов защиты, результатом работ данного этапа является формирование направлений ИБ (классификация задач обеспечения ИБ) и определение требований по ИБ. На втором этапе определяются сроки и этапы работ по ПОИБ, наем лицензиатов в области обеспечения ИБ (по необходимости), прием на работы специалистов или инженеров ИБ (в случае отсутствия специализированных штатных сотрудников). На третьем этапе выбирается методика проведения тестовых испытаний, проводится тестирование разработанной системы защиты (СЗ), осуществляется развертывание пилот-проекта, результаты тестирований документируются. На четвертом этапе производится согласование результатов тестирований и в случае необходимости вносятся изменения в ПОИБ. Пятый этап включает в себя внедрение разработанной СЗ и подготовку итогового пакета документов. Шестой этап включает: администрирование и мониторинг СЗ, техническую поддержку пользователей, проведение контрольных мероприятий. Заключительным этапом является разработка нового ПОИБ. Таким образом, предложенная методика (см. рисунок) отображает процессы ИБ и процедуры инвестирования. Характеристики инвестирования ИБ могут быть получены при помощи использования какой-либо модели, например, повышающей эффективность инвестиций в ИБ предприятия [6], или подходов, о которых говорилось выше. В работе [1] говорится о ценности информационных активов (ИА). Оценку ценности ИА необходимо проводить на первом этапе. В статье [2] предложена оценка значимости ИА. Оценку информационных рисков и рисков инвестирования ИБ необходимо проводить на втором и четвертом этапах.

Методика инвестирования ИБ, предложенная авторами статьи, содержит структуру, описывающую возможности применения теории управления инвестициями в ИБ, и топологию взаимодействия процедур инвестирования с процессами обеспечения ИБ.