МЕТОД ОЦЕНКИ ИНФОРМАЦИОННЫХ РИСКОВ

Для оценки эффективности системы защиты от несанкционированного доступа необходимо принимать во внимание две составляющие – это ожидаемый от внедрения предлагаемой СЗИ результат и финансовые затраты, которые необходимы для ее внедрения.

СЗИ предназначена для защиты ИС предприятия от потерь, которые возможны при реализации той или иной угрозы. Для определения предотвращенных потерь P_i, необходимо вычисление вероятности реализации i-ой угрозы ИСПД (i = 1, 2, …n). Для вычисления возможных экономических потерь также необходимо учитывать потери от реализации тех или иных сценариев угрозы до и после внедрения СЗИ предприятия.

Предотвращенные потери – это та возможная часть прибыли предприятия, которая может быть утрачена при реализации тех или иных сценариев угроз в условиях отсутствия мероприятий по их предотвращению.

Одним из методов, применяемых для оценки эффективности СЗИ является стандартный метод анализа затрат и выгод (Cost Benefit Analysis – CBA).

Цель метода анализа затрат и выгод (CBA) – помочь лицам, принимающим решения, сделать осознанный выбор о том, следует ли инвестировать в СЗИ, предназначенные для увеличения устойчивости предприятия к внешним угрозам безопасности.

Процесс анализа затрат и выгод оценивает выгоды и затраты от инвестиций по двум причинам:

1. Определить, является ли проект жизнеспособным;

2. Сравнить инвестиции одного проекта с другими конкурирующими проектами, чтобы определить, какой из проектов более выгоден.

Это позволяет лицам, принимающим решения, оценивать проекты последовательным и сопоставимым образом. Проведение CBA может быть дорогостоящим и обременительным мероприятием, в зависимости от диапазона входных данных, используемых для определения затрат и выгод проекта. Следовательно, они рекомендуются для использования в проектах, где потенциальные затраты на проект(ы) достаточно значительны, чтобы оправдать распределение ресурсов для прогнозирования, измерения и оценки ожидаемых выгод, затрат и воздействий.

Ценность денег или товаров в данном случае рассматривается как ожидаемые стоимость товаров и финансовые доходы в будущем. Чем больше потенциальная выгода или стоимость в будущем, тем меньше его значение. Эта концепция становится материальной благодаря процессу, называемому дисконтированием. Ставка дисконтирования применяется к ожидаемым затратам и выгодам проекта в течение срока работы или «срока окупаемости» проекта. Она преобразует ценность прибыли в будущем в сегодняшнюю стоимость. Следовательно, например, доходность многолетнего проекта обычно называется дисконтированной доходностью.

Чем ниже учетная ставка, иногда называемая процентной ставкой, тем выше возвращаемое значение будущих затрат и выгод проекта. И наоборот, чем выше дисконт/процентные ставки, тем ниже будущее возвращаемое значение. Выбор подходящей ставки дисконтирования важен для обеспечения возврата в будущем.

Существуют различные типы или методы анализа для определения экономической эффективности проекта:

1. Соотношение затрат и выгод (BCR). Означает, что текущий показатель выгоды станет равной значениям затрат, если величина внутренней ставки рентабельности будет эквивалентной дисконтной ставке (r). Так, если BCR больше единицы, дисконтированные выгоды становятся выше дисконтированных затрат. Из этого следует, что бизнес-план является прибыльным, поэтому есть смысл его утвердить. Если BCR меньше единицы, это дело убыточное.

2. Коэффициент дополнительных затрат и выгод.

3. Чистая приведенная стоимость (NPV). Этот показатель означает разницу между различными финансовыми притоками и оттоками, которые приведены к текущему моменту времени, то есть, ко времени оценивания инвестиционного плана.

4. Срок окупаемости.

Список литературы:

1. Гришин И. Ю. Анализ перспективных подходов к проектированию систем безопасности распределенных компьютерных сетей //Вестник Российского нового университета. Серия: Сложные системы: модели, анализ и управление. – 2015. – №. 2. – 4 с.
2. Тутубалин П. И., Кирпичников А. П. Модель анализа устойчивого управления информационной безопасностью распределённой информационной системы // cyberleninka.ru. Электрон. изд. [2017]. [Электронный ресурс]. URL: https://cyberleninka.ru/article/n/model-analiza-ustoychivogo-upravleniya-informatsionnoy-bezopasnostyu-raspredelyonnoy-informatsionnoy-sistemy. – (дата обращения: 25.03. 2019).