Анализ существующих методов оценки эффективности мер по защите информации

Михайлова Любовь

Изложение основного материала исследования. Следует отметить, что в большинстве случаев акцент делается на решении технического аспекта проблемы - создание комплексных систем защиты и оценке их технической эффективности. Так как в таких системах существует две составные части эффективности: техническая и экономическая на ряду с технической эффективностью, которая рассматривается полно, необходимо более полно рассматривать экономическую эффективность комплексных систем защиты информации. Большинство работ, посвященных оценке экономической эффективности, рассматривают не оценку эффективности системы защитыинформации, а оценку эффективности внедрения информационных технологий, что не позволяет применять эти методы для оценки систем защиты информации. Поскольку применение информационных технологий (далее - ИТ) влияет на эффективность производства непосредственно, они влияют на производственном процессе (повышают производительность труда, увеличивают скорость обращения, влияют на принятие управленческих решений и т.д.), а комплексные системы защиты информации участвуют в процессе производства косвенно, создавая условия работы.

Многие работы в области защиты информации рассматривают экономическую эффективность комплексной системы защиты информации как эффективность от внедрения нового ИТ-проекта. Анализ существующей литературы позволил сгруппировать эти методы и представить их в виде схемы на рисунке 1.

Рис. 1. Методы оценки эффективности внедрения ИТ- проекта

Однако, большинство идей заложенных в этих методах могут быть использованы для оценки эффективности комплексной системы защиты информации. При использовании различных вариантов, представленных на рис.1, для расчета эффективности комплексной системы защиты информации возникает ряд сложностей. Так например, финансовые методы оперируют информацией притока и оттока денежных средств на предприятии, что не является показателем эффективности системы защиты. Вероятностные и качественные методы требуют уточнения и совершенствования, поскольку существующие подходы не могут дать количественную оценку эффективности работы системы защиты. Поэтому применение подхода оценки эффективности комплексной системы защиты информации в качестве оценки эффективности самостоятельного ИТ-проекта не отражает эффект от работы комплексной системы защиты информации на предприятии.

Другой подход к оценке экономической эффективности комплексных систем защиты информации состоит в вычислении соотношения эффекта и затрат, также связан с рядом вычислительных и методических сложностей. Проблема состоит в том, что нет единого подхода для расчета затрат, а также отсутствует единое мнение специалистов по вопросу что будет являться эффектом от функционирования комплексной системы защиты информации и как он рассчитывается.

Решение проблемы расчета затрат на проектирование и функционирование комплексной системы защиты информации в телекоммуникационной сфере было предложено нами в [12]. Поэтому в дальнейшем рассмотрим расчет эффекта.

Проблему расчета эффекта от функционирования комплексной системы защиты информации часто предлагают решать принимая за эффект сумму предотвращенного ущерба. Такой подход рассматривают [11] и [13]. Однако варианты предложенных методов имеют значительные отличия.

В [13] предлагает рассчитывать общую сумму предотвращенного ущерба как суму слагаемых: стоимость потерь от снижения производительности, стоимость восстановления работоспособности автоматизированного узла или сегмента (стоимость замены оборудования и запасных частей, переустановка системы и стоимость повторного ввода информации) и упущенную выгоду от простоя атакованного узла или сегмента.

Данный подход может быть успешно применим для использования при расчете ущерба телекоммуникационного оператора от реализации атаки. Однако, поскольку телекоммуникационный оператор имеет большое количество программных и аппаратных средств, то при применении данного метода необходимо учитывать все взаимосвязи между функционирующим оборудованием и программным обеспечением, так как при осуществлении атаки даже на незначительную составляющую телекоммуникационной сети может вывести из строя всю сеть. Поэтому этот вариант расчета проще осуществить для совершенной атаки и принесенного ущерба после осуществленной атаки, так как сложно предугадать на какое количество оборудования повлияет осуществление атаки, а также не учитывается вероятность ее осуществления.

В [11] показатель ожидаемых потерь рассчитывается с учетом вероятности возникновения потенциальной угрозы:

где - показатель ожидаемых расходов,

- частота возникновения потенциальной угрозы за рассматриваемый период времени,Размещено на http://www.allbest.ru/

- величина потерь.Размещено на http://www.allbest.ru/

Основным недостатком данного подхода является расчет частоты возникновения угрозы. Это происходит в связи с тем, что статистика вероятности появления угроз и реализованных атак на комплексную систему защиты информации накапливается на предприятии с уже функционирующей системой защиты. Таким образом расчет затрудняется если его производить для проектируемой комплексной системы защиты информации.

Одним из походов является оценка экономической эффективности через использование риска [14], где эффективность выражена соотношением стоимости системы защиты информации к разности риска для незащищенной сети и риска для защищенной сети:

где ЭФСЗИ - эффективность системы защиты информации в денежных единицах, информация инсайдер телекоммуникационный сеть

При этом каждая из этих компонент предполагает выявление потерь, связанных с возникновением этой угрозы и их уменьшение. Этот подход является общеметодическим и не имеет механизма расчета, что говорит о невозможности его применения в таком виде в

любой сфере деятельности предприятия.

Выполненный анализ показывает что эти подходы не в полной мере отражают сущность эффекта от функционирования комплексной системы защиты информации и не учитывают особенностей организации технологического процесса и продукции телекоммуникационного оператора, которые состоят в неотделимости процесса потребления от процесса производства, что требует разветвленной единой телекоммуникационной сети, которая позволяет установить связь в масштабах всей страны или определенной территории и в нематериальной форме производимого продукта.

Поэтому эти методы только частично пригодны для использования в телекоммуникационной сфере. Анализ показывает, что из метода в [13] можно взять вероятность наступления события, при этом частота возникновения потенциальной угрозы может быть взята из статистических данных на предприятии, для которого производится расчет, или же на подобных предприятиях либо подобных технологических системах. , метод представленный в [13] не учитывает всех возможных убытков при удачной реализации атаки, такие как потеря собственно имиджа, убытки владельца информации, убытки пользователей сети и требует доработки с учетом технологических особенностей телекоммуникационного предприятия.

При этом каждый из перечисленных методов подразумевает расчет потерь при удачной реализации атаки, но ни в одном из них он не приведен. Именно эта проблема возникает при применении существующих подходов оценки экономической эффективности комплексных систем защиты информации. Поэтому при расчете эффективности функционирования комплексных систем защиты информации мы предлагаем учитывать особенности организации производственного процесса на телекоммуникационном предприятии, что позволит частично использовать перечисленные выше методы с их дальнейшей доработкой и приведет к возможности адекватной оценки эффективности систем комплексной защиты информации.

The rapid development of information technology involves a number of problems, one of which is information protection. The problem of necessary information protection from external influence and actions of insiders is particularly acute in the telecommunications sector. A large number of specialists worldwide work on the problem of security of information that is transmitted via telecommunications networks. However, the concentration on the individual solutions in the aspect of information security suppresses another essential issue, the problem of assessing effectiveness of the complex system of information protection. Therefore, the aim of the article is the analysis of existing methods of assessing the effectiveness of information protection systems applied in different spheres and their function in the telecommunications sector.The author analyzes the existing methodology for assessing effectiveness of the integrated systems of information protection. There are shown both advantages and disadvantages of each existing approach. The individual elements of theseapproaches that can be used to evaluate the effectiveness of integrated systems of information protection in the telecommunications sector are also discussed.

Keywords: effect, information security, complex system of information protection, cost, telecommunications, risk.

Размещено на Allbest.ru