Практикум по информационной безопасности: Учебно-методическое пособие, страница 56

•  Получить реалистичную информацию об уровне защищенности КИС исовокупной стоимости владения системой защиты;

•  Сравнивать подразделения службы ИБ компании не только между собой, но и с аналогичными подразделениями в других компаниях отрасли;

•  Оптимизировать   инвестиции   на   ИБ   компании   с   учетом   реального   значения показателя ТСО.

Под показателем ТСО понимается сумма прямых и косвенных затрат на организацию (реорганизацию), эксплуатацию и сопровождение системы защиты в течение года. С помощью ТСО можно не только оценивать совокупные затраты на ИБ, но и управляя этими затратами достигать требуемый уровень защищенности КИС.

Прямые затраты включают капитальные составляющие (ассоциируемые с фиксированными активами или «собственностью») и трудозатраты, учитываемые в категориях операций и административного управления. Сюда же относят затраты на услуги удаленных пользователей, сторонние услуги и др., связанные с деятельностью организации.

Косвенные затраты показывают влияние КИС и системы защиты на пользователей посредством таких измеряемых показателей, как простои и «зависание» системы защиты и КИС в целом, затраты на операции и поддержку, не отнесенные к прямым затратам.

Подход к оценке ТСО базируется на результатах аудита ИБ и КИС в целом, включая действия сотрудников ИТ подразделения, службы ИБ и пользователей. Сбор и анализ статистики по структуре прямых и косвенных затрат проводится в течение достаточно длительного периода времени, как правило в течение 1 года. Полученные данные оцениваются по ряду критериев с учетом сравнения с аналогичными компаниями по отрасли.

Методика ТСО дает неплохие результаты при оценке и сравнении состояния защищенности КИС компании с некоторым типовым профилем защиты. Экономическая точка зрения на состояние и развитие системы защиты может быть выражена следующим образом: «сейчас мы тратим на ИБ столько-то, если будем тратить столько-то по таким направлениям ИБ, то получим такой-то эффект».

Сбор информации для расчета показателей ТСО охватывает следующие позиции:

•  компоненты      КИС,      включая      систему      защиты      информации      (серверы, пользовательские ПК, сетевые устройства, периферийное оборудование и пр.);

•  расходы на программные и аппаратные средства защиты (амортизация, расходные материалы);

•  затраты   на  организацию  ИБ  в   компании   (   обслуживание  средств  защиты   и контроля   СОСТОЯ1ШЯ   безопасности,   штатных   средств   защиты   периферийных устройств, серверов, сетевых устройств, планирование и управлении процессами защиты информации, разработка политики и концепции ИБ и пр.);

•  расходы на организационные меры защиты информации;

•  косвенные   расходы   на   ИБ,   в   частности   на   обеспечение   непрерывности   и устойчивости бизнеса компании.