Экономика информационной безопасности. Обзор российского рынка информационной безопасности Информационная защита стратегических объектов

Вкладывают деньги в различные технологии компьютерной безопасности - от платформ для выплаты премий за обнаружение уязвимостей в программах до диагностики и автоматизированного тестирования программ. Но больше всего их привлекают технологии аутентификации и управления идентификационной информацией - в стартапы, занимающиеся этими технологиями, было инвестировано порядка $900 млн по итогам 2019 года.

Инвестиции в стартапы, занимающиеся обучением в области информационной безопасности , в 2019 году достигли $418 млн, чему во многом способствовала компания KnowBe4, которая привлекла $300 млн. Этот стартап предлагает платформу для симуляции фишинговых атак и ряд обучающих программ.

Порядка $412 млн в 2019 году получили компании, занимающиеся безопасностью интернета вещей. В этой категории по объёму вложений лидирует SentinelOne , которая в 2019-м получила $120 млн на развитие технологий защиты конечных точек.

При этом аналитики Metacurity приводят другие данные, характеризующие ситуацию на рынке венчурного финансирования в секторе информационной безопасности. В 2019 году объём вложений здесь достигли $6,57 млрд, увеличившись с $3,88 млрд в 2018-м. Количество сделок тоже увеличилось - со 133 до 219. При этом средний объём инвестиций в расчёте на одну сделку практически не изменился и составил 29,2 млн по итогам 2019 года, подсчитали в Metacurity.

2018

Рост на 9% до $37 млрд - Canalys

В 2018 году продажи оборудования, программного обеспечения и сервисов, предназначенных для информационной безопасности (ИБ), достигли $37 млрд, увеличившись на 9% относительно показателя годичной давности ($34 млрд). Такие данные 28 марта 2019 года обнародовали аналитики Canalys .

По их словам, несмотря на то, что многие компании уделяют первостепенное внимание защите своих активов, данных, конечных точек, сетей, сотрудников и клиентов, на кибербезопасность пришлось лишь 2% от общих расходов на ИТ в 2018 году. Однако появляется все больше новых угроз, они становятся сложнее и чаще, что предоставляет производителям ИБ-решений новые возможности для роста. Ожидается, что в 2020 году суммарные расходы на кибербезопасность превысят $42 млрд.

Аналитик Canalys Мэтью Болл (Matthew Ball) считает, что переход на новые модели внедрения информационной безопасности ускорится. Клиенты меняют характер своих ИТ-бюджетов, используя публичные облачные сервисы и гибкие сервисы на основе подписки.

Около 82% проектов развертывания систем информационной безопасности в 2018 году было связано с использованием традиционного оборудования и программного обеспечения. В остальных 18% случаев применялась виртуализация , публичные облака и ИБ-услуги.

К 2020 году доля традиционных моделей развертывания ИБ-систем снизится до 70%, поскольку набирают популярность новые решения на рынке.

Поставщики должны будут создать широкий спектр бизнес-моделей для поддержки этого перехода, поскольку различные продукты подходят для разных типов развертываний. Основная задача на сегодняшний день для многих заключается в том, чтобы сделать новые модели более ориентированными на партнерские каналы и интегрировать их с существующими партнерскими программами, особенно с операциями клиентов через облачные площадки. На это уже отреагировали некоторые облачные маркетплейсы, позволив партнерам предлагать индивидуальные предложения и цены непосредственно клиентам, отслеживая регистрацию сделок и скидки, - сообщил Мэтью Болл в публикации от 29 марта 2019 года.

По словам аналитика Canalys Кетаки Борейд (Ketaki Borade), ведущие производители технологий для киберзащиты внедрили новые модели распространения продуктов, которые предполагают переход компаний на подписную схему и увеличение операций в облачной инфраструктуре.

Рынок кибербезопасности оставался весьма динамичным и показал рекордную активность сделок и их объема в ответ на растущие нормативные и технические требования, а также сохраняющийся распространенный риск утечки данных, - говорит соучредитель и управляющий партнер Momentum Cyber Эрик Макалпайн (Eric McAlpine). - Мы считаем, что этот импульс будет и дальше подталкивать сектор на новую территорию, так как он стремится к противодействию возникающим угрозам и консолидируется перед лицом усталости поставщиков и растущей нехватки навыков.

2017

ИБ-расходы перевалили за $100 млрд

В 2017 году глобальные расходы на информационную безопасность (ИБ) - продукты и услуги - достигли $101,5 млрд, заявили в исследовательской компании Gartner в середине августа 2018 года. В конце 2017-го эксперты оценивали этот рынок в $89,13 млрд. С чем связано существенное повышение оценки, не сообщается.

ИБ-директора стремятся помочь своим организациям безопасно использовать технологические платформы, чтобы стать более конкурентоспособными и стимулировать рост бизнеса, - говорит директор по исследованиям Gartner Сиддхарт Дешпанде (Siddharth Deshpande). - Сохраняющаяся нехватка квалифицированных кадров и регуляторные изменения, такие как Общий регламент по защите данных (GDPR) в Европе, способствуют дальнейшему росту рынка сервисов кибербезопасности.

Эксперты считают, что одним из ключевых факторов, способствующих повышению расходов на информационную защиту, является внедрение новых методов обнаружения угроз и реагирования на них - именно они стали высшим приоритетом безопасности организаций в 2018 году.

Согласно оценкам Gartner, в 2017 году расходы организаций на услуги киберзащиты в глобальном масштабе превысили $52,3 млрд. В 2018-м эти затраты поднимутся до $58,9 млрд.

В 2017 году компании потратили $2,4 млрд на защиту приложений, на защиту данных - $2,6 млрд, на защиту облачных сервисов - $185 млн.

Годовые продажи решений для управления идентификацией и доступом (Identity And Access Management) оказались равными 8,8 млрд. Реализация средств защиты ИТ-инфраструктуры повысилась до $12,6 млрд.

Также в исследовании говорится о затратах в размере $10,9 млрд на оборудование, используемое для обеспечения сетевой безопасности. На системах управления рисками информационной безопасности их производители заработали $3,9 млрд.

Потребительские ИБ-расходы за 2017 год оценены аналитиками в $5,9 млрд, говорится в исследовании Gartner.

Gartner оценила объем рынка в $89,13 млрд

В декабре 2017 года стало известно, что мировые расходы компаний на обеспечение информационной безопасности (ИБ) в 2017 году составят $89,13 млрд. Согласно оценке Gartner , корпоративные затраты на кибербезопасность почти на $7 млрд превысят сумму 2016 года в $82,2 млрд.

Крупнейшей статей расходов эксперты считают ИБ-услуги: в 2017 году компании направят на эти цели свыше $53 млрд против $48,8 млрд в 2016-м. Второй по величине сегмент ИБ-рынка - решения для защиты инфраструктуры, затраты на которые в 2017-м составят $16,2 млрд вместо $15,2 млрд год назад. Оборудование для сетевой безопасности - на третьем месте ($10,93 млрд).

В структуру ИБ-расходов также входит потребительское ПО для обеспечения информационной безопасности и системы идентификации и управления доступом (Identity and Access Management, IAM). Затраты по этим направлениям в 2017 году в Gartner оценивают в $4,64 млрд и $4,3 млрд, тогда как в 2016 году показатели были на уровне $4,57 млрд и $3,9 млрд соответственно.

Аналитики ожидают дальнейший подъем на ИБ-рынке: в 2018 году организации увеличат затраты на киберзащиту еще на 8% и направят на эти цели в общей сложности $96,3 млрд. Среди факторов роста специалисты перечислили меняющееся регулирование в ИБ-сфере, информированность о новых угрозах и разворот компаний к стратегии цифрового бизнеса.

В целом расходы на кибербезопасность в значительной степени обусловлены реакцией компаний на ИБ-инциденты, ведь по всему миру растет число резонансных кибератак и утечек информации , от которых страдают организации, - комментирует прогноз директор по исследованиям Gartner Руггеро Конту (Ruggero Contu).

Слова аналитика подтверждают и данные, полученные Gartner в 2016 году в ходе опроса с участием 512 организаций из восьми стран мира: Австралии , Канады , Франции , Германии , Индии , Сингапура и США .

53% респондентов назвали ИБ-риски главной движущей силой, стоящей за ростом расходов на кибербезопасность. Из этого числа самый высокий процент опрошенных заявил, что более всего на принятие решений о затратах на информационную безопасность влияет угроза кибератак.

Прогноз Gartner на 2018 год предусматривает увеличение расходов по всем основным направлениям. Так, на сервисы киберзащиты будет потрачено около $57,7 млрд (+$4,65 млрд), на обеспечение безопасности инфраструктуры - порядка $17,5 млрд (+$1,25 млрд), на оборудование для защиты сетей - $11,67 млрд (+$735 млн), на потребительское ПО - $4,74 млрд (+$109 млн) и на IAM-системы - $4,69 млрд (+$416 млн).

Также аналитики полагают, что к 2020 году более 60% организаций в мире будут вкладывать средства одновременно в несколько инструментов защиты данных, в том числе в средства предотвращения потери информации, шифрования и аудита. По состоянию на конец 2017 года доля компаний, закупающих такие решения, была оценена в 35%.

Еще одной существенно статьей корпоративных расходов на информационную безопасность будет привлечение сторонних специалистов. Ожидается, что на фоне дефицита кадров в области кибербезопасности , растущей технической сложности ИБ-систем и увеличения киберугроз затраты компаний на ИБ-аутсорсинг в 2018 году увеличатся на 11% и составят $18,5 млрд.

По расчетам Gartner, к 2019 году корпоративные расходы на услуги сторонних ИБ-экспертов составят 75% от общей суммы затрат на ПО и оборудование для обеспечения кибербезопасности, тогда как в 2016 году это соотношение было на уровне 63%.

IDC прогнозирует объем рынка $82 млрд

Две трети расходов придутся на компании, относящиеся к крупному и очень крупному бизнесу. К 2019 году, по мнению аналитиков IDC, размеры расходов корпораций со штатом более 1000 человек, преодолеют отметку в $50 млрд.

2016: Объем рынка $73,7 млрд, рост в 2 раза больше ИТ-рынка

В октябре 2016 года аналитическая компания IDC представила краткие результаты исследования мирового рынка информационной безопасности . Ожидается, что его рост будет вдове выше, чем у ИТ-рынка.

В IDC подсчитали, что глобальные продажи оборудования, программного обеспечения и сервисов для киберзащиты достигнут около $73,7 млрд в 2016 году, а в 2020-м показатель превысит $100 млрд, составив $101,6 млрд. В период с 2016 по 2020 годы рынок ИБ-технологий будет расти в среднем на 8,3% ежегодно, что вдвое больше ожидаемых темпов роста ИТ-отрасли.

Наибольшие ИБ-расходы ($8,6 млрд) по итогам 2016 года ожидаются в банках . На втором, третьем и четвертом местах по размеру таких инвестиций расположатся предприятия дискретного производства, государственные органы и предприятия непрерывного производства соответственно, на долю которых придется около 37% расходов.

Лидерство по динамике увеличения ИБ-инвестиций аналитики отдают здравоохранению (в 2016-2020 годах ожидается среднегодовой рост на 10,3%). Примерно на 9% в год будут подниматься затраты на киберзащиту в телекоме, жилищном секторе, госорганах и на рынке инвестиций и ценных бумаг.

Крупнейшим ИБ-рынком исследователи называют американский , объем которого в 2016 году достигнет $31,5 млрд. В тройку лидеров также войдут Западная Европа и Азиатско-Тихоокеанский регион (исключая Японию). Информация по российскому рынке в краткой версии исследования IDC отсутствует.

Генеральный директор российской компании «Монитор безопасности» Дмитрий Гвоздев прогнозирует рост доли услуг в общих российских расходах на безопасность с 30-35% до 40-45%, а также предсказывает развитие клиентской структуры рынка – от тотального преобладания государственного, финансового и энергетического секторов в сторону средних предприятий из более широкого круга отраслей.

Одной из тенденций должно стать развитие доли отечественных программных продуктов в связи с вопросами импортозамещения и внешнеполитической ситуацией. Однако насколько это найдет отражение в финансовых показателях - во многом будет зависеть от курса рубля и ценовой политики иностранных вендоров, до сих пор занимающих как минимум половину отечественного рынка программных решений и до двух третей в сегменте оборудования. К внешним экономическим факторам может быть привязан и итоговый годовой финансовый результат всего российского рынка ИБ-решений, - сообщил Гвоздев в разговоре с TAdviser .

2015

MARKET SIZE

FEDERAL SPENDING

CYBER CRIME

COST-PER-BREACH

FINANCIAL SERVICES

International

SECURITY ANALYTICS

2013: Рынок EMEA вырос до $2,5 млрд.

Объем рынка средств безопасности региона EMEA (Европа , Ближний Восток и Африка) вырос на 2,4% по сравнению с 2012 годом и составил $2,5 млрд. Наиболее крупным и быстро развивающимся сегментом рассматриваемого рынка аналитики называли многофункциональные программно-аппаратные комплексы для защиты компьютерных сетей – UTM-решения (Unified threat management). При этом IDC прогнозировал, что рынок технических средств информационной безопасности к 2018 году достигнет в стоимостном выражении $4,2 млрд при среднегодовом росте в 5,4%.

По итогам 2013 года лидирующую позицию среди поставщиков по выручке от продаж технических средств информационной безопасности в регионе EMEA заняла компания Check Point . По данным IDC, выручка вендора в этом сегменте за 2013 год выросла на 3,8% и составила $374,64 млн, что соответствует доле рынка в 19,3%.

2012: Прогноз PAC: Рынок ИБ будет расти на 8% в год

Мировой рынок информационной безопасности будет ежегодно расти на 8% до 2016 года, когда может составить 36 млрд евро, сообщалось в исследовании

Как уже отмечалось, безопасность предприятия обеспечивается комплексом мер на всех этапах его жизненного цикла, его информационной системы и в общем случае складывается из стоимости:

• - проектных работ;
• - закупки и настройки программно-технических средств защиты;
• - затрат на обеспечение физической безопасности;
• - обучения персонала;
• - управления и поддержки системы;
• - аудита защиты информации;
• - периодической модернизации системы защиты информации и т.д.

Стоимостным показателем экономической эффективности комплексной системы защиты информации будет сумма прямых и косвенных затрат на организацию, эксплуатацию и сопровождение системы защиты информации в течение года.

Он может рассматриваться как ключевой количественный показатель эффективности организации защиты информации в компании, так как позволит не только оценить совокупные затраты на защиту, но управлять этими затратами для достижения требуемого уровня защищенности предприятия. При этом прямые затраты включают как капитальные компоненты затрат, так и трудозатраты, которые учитываются в категориях операций и административного управления. Сюда же относят затраты на услуги удаленных пользователей и др., связанные с поддержкой деятельности организации.

В свою очередь, косвенные затраты отражают влияние комплексной системы безопасности и подсистемы защиты информации на служащих посредством таких измеримых показателей, как простои и «зависания» корпоративной системы защиты информации и комплексной системы безопасности в целом, затраты на операции и поддержку.

Очень часто косвенные затраты играют значительную роль, так как они обычно изначально не отражаются в бюджете на комплексную систему безопасности, а выявляются явно при анализе затрат в последствии, что в конечном счете приводит к росту «скрытых» затрат компании. Рассмотрим, как можно определить прямые и косвенные затраты на комплексную систему безопасности. Предположим, что руководство предприятия проводит работы по внедрению на предприятии комплексной системы защиты информации. Уже определены объекты и цели защиты, угрозы информационной безопасности и меры по противодействию им, приобретены и установлены необходимые средства защиты информации.

Как правило, затраты на информационную безопасность подразделяются на следующие категории:

• - затраты на формирование и поддержание звена управления системой защиты информации;
• - затраты на контроль, то есть на определение и подтверждение достигнутого уровня защищенности ресурсов предприятия;
• - внутренние затраты на ликвидацию последствий нарушения информационной безопасности - затраты, понесенные организацией в результате того, что требуемый уровень защищенности не был достигнут;
• -внешние затраты на ликвидацию последствий нарушения информационной безопасности - компенсация потерь при нарушениях политики безопасности в случаях, связанных с утечкой информации, потерей имиджа компании, утратой доверия партнеров и потребителей и т.п.;
• -затраты на техническое обслуживание системы защиты информации и мероприятия по предотвращению нарушений политики безопасности предприятия.

При этом обычно выделяют единовременные и систематические затраты.

Единовременные, затраты на формирование безопасности предприятия: организационные затраты и затраты на приобретение и установку средств защиты.

Систематические, затраты на эксплуатацию и обслуживание. Классификация затрат условна, так как сбор, классификация и анализ затрат на информационную безопасность - внутренняя деятельность предприятий, и детальная разработка перечня зависят от особенностей конкретной организации.

Главное при определении затрат на систему безопасности -взаимопонимание и согласие по статьям расходов внутри предприятия.

Кроме того, категории затрат должны быть постоянными и не должны дублировать друг друга. Невозможно полностью исключить затраты на безопасность, однако они могут быть приведены к приемлемому уровню.

Некоторые виды затрат на безопасность являются абсолютно необходимыми, а некоторые могут быть существенно уменьшены или исключены. Последние - это те, которые могут исчезнуть при отсутствии нарушений безопасности или сократятся, если количество и разрушающее воздействие нарушений уменьшатся.

При соблюдении безопасности и проведении профилактики нарушений можно исключить или существенно уменьшить следующие затраты:

• - на восстановление системы безопасности до соответствия требованиям безопасности;
• - на восстановление ресурсов информационной среды предприятия;
• - на переделки внутри системы безопасности;
• - на юридические споры и выплаты компенсаций;
• - на выявление причин нарушения безопасности.

Необходимые затраты - это те, которые необходимы даже если уровень угроз безопасности достаточно низкий. Это затраты на поддержание достигнутого уровня защищенности информационной среды предприятия.

Неизбежные затраты могут включать:

• а) обслуживание технических средств защиты;
• б) конфиденциальное делопроизводство;
• в) функционирование и аудит системы безопасности;
• г) минимальный уровень проверок и контроля с привлечением специализированных организаций;
• д) обучение персонала методам информационной безопасности.

Однако существуют и другие затраты, которые определить достаточно сложно. В их числе:

• а) затраты на проведение дополнительных исследований и разработку новой рыночной стратегии;
• б) потери от снижения приоритета в научных исследованиях и невозможности патентования и продажи лицензий на научно-технические достижения;
• в) затраты, связанные с ликвидацией «узких мест» в снабжении, производстве и сбыте продукции;
• г) потери от компрометации производимой предприятием продукции и снижения цен на нее;
• д) возникновение трудностей в приобретении оборудования или технологий, в том числе повышение цен на них, ограничение объема поставок.

Перечисленные затраты могут быть вызваны действиями персонала различных отделов, например, проектного, технологического, планово-экономического, юридического, хозяйственного, отдела маркетинга, тарифной политики и ценообразования.

Поскольку сотрудники всех этих отделов вряд ли будут заняты полный рабочий день вопросами внешних потерь, то установление объема затрат необходимо вести с учетом реально затраченного времени. Один из элементов внешних потерь невозможно точно вычислить - это потери, связанные с подрывом имиджа предприятия, снижением доверия потребителя к продукции и услугам предприятия. Именно по этой причине многие корпорации скрывают, что их сервис небезопасен. Корпорации боятся обнародования такой информации даже больше, чем атаки в той или иной форме.

Однако многие предприятия игнорируют эти затраты на основании того, что их нельзя установить с какой-либо степенью точности - они только предположительны. Затраты на предупредительные мероприятия. Эти затраты, вероятно, наиболее сложно оценить, поскольку предупредительные мероприятия проводятся в разных отделах и затрагивают многие службы. Эти затраты могут появляться на всех этапах жизненного цикла ресурсов информационной среды предприятия:

• - планирования и организации;
• - приобретения и ввода в действие;
• - доставки и поддержки;
• - мониторинга процессов, составляющих информационную технологию.

В дополнение к этому, большинство затрат данной категории связано с работой персонала службы безопасности. Затраты на предупредительные мероприятия в основном включают заработную плату и накладные расходы. Однако точность их определения в большей степени зависит от точности установления времени, затраченного каждым сотрудником в отдельности. Некоторые предупредительные затраты легко выявить напрямую. Они, в частности, могут включать оплату различных работ сторонних организаций, например:

• - обслуживание и настройку программно-технических средств защиты, операционных систем и используемого сетевого оборудования;
• - проведение инженерно-технических работ по установлению сигнализации, оборудованию хранилищ конфиденциальных документов, защите телефонных линий связи, средств вычислительной техники и т.п.;
• - доставку конфиденциальной информации;
• - консультации;
• - курсы обучения.

Источники сведений о рассмотренных затратах. При определении затрат на обеспечение ИБ необходимо помнить, что:

• - затраты на приобретение и ввод в действие программно-технических средств могут быть получены из анализа накладных, записей в складской документации и т.п.;
• - выплаты персоналу могут быть взяты из ведомостей;
• - объемы выплат заработной платы должны быть взяты с учетом реально затраченного времени на проведение работ по обеспечению информационной безопасности если только часть времени сотрудника затрачивается на деятельность по обеспечению информационной безопасности, то целесообразность оценки каждой из составляющих затрат его времени не должна подвергаться сомнению;
• - классификация затрат на безопасность и распределение их по элементам должны стать частью повседневной работы внутри предприятия.

2018-08-21T12:03:34+00:00

Крупные коммерческие компании тратят на обеспечение физической безопасности своего бизнеса порядка 1% годовой выручки. Безопасность предприятия – такой же ресурс, как технологии и средства производства. Но, когда речь заходит о цифровой защите данных и сервисов, просчитать финансовые риски и необходимые издержки становится непросто. Рассказываем, сколько денег ИТ-бюджета разумно выделить на кибербезопасность, существует ли минимальный набор инструментов, которыми можно обойтись.

Затраты на информационную безопасность растут

Коммерческие организации по всему миру, согласно отчету Gartner, потратили порядка 87 миллиардов долларов на нужды кибербезопасности в 2017 году, включая софт, специализированные сервисы и «железо». Это на 7% больше, чем в 2016 году. В текущем году цифра, как ожидается, достигнет 93 миллиардов, а уже в следующем перевалит отметку в 100.

По оценкам экспертов, в России объем рынка услуг информационной безопасности составляет порядка 55-60 миллиардов рублей (около 900 тыс. долларов). На 2/3 его закрывают государственные заказы. В корпоративном секторе доля таких затрат сильно зависит от формы предприятия, географии и сферы деятельности.

Отечественные банки и финансовые структуры в среднем вкладывают в свою кибербезопасность 300 млн. рублей в год, промышленники – до 50 млн., сетевые компании (ритейл) – от 10 до 50 млн.

Зато цифры прироста российского рынка кибербезопасности вот уже несколько лет в 1,5-2 раза выше, чем в общемировом масштабе. В 2017 году рост составил 15% (в деньгах заказчиков) по отношению к 2016 году. По итогам 2018 года он может оказаться еще солидней.

Высокие темпы роста объясняются общим оживлением рынка и резко выросшим вниманием организаций к реальной безопасности своей ИТ-инфраструктуры и сохранности данных. Издержки на построение системы информационной защиты теперь рассматриваются как инвестиции, они заранее планируются, а не просто берутся по остаточному принципу.

Positive Technologies выделяет три драйвера роста:

1. Громкие инциденты последних 1,5–2 лет привели к тому, что сегодня только ленивый не понимает роль информационной безопасности для финансовой стабильности предприятия. Каждый пятый топ-менеджер проявляет интерес к практической безопасности в контексте своего бизнеса.

Прошедший год стал поучительным для бизнеса, игнорирующего элементарную . Отсутствие актуальных обновлений и привычка работать, не обращая внимания на уязвимости, привели к остановке заводов Renault во Франции, Honda и Nissan в Японии; пострадали банки, энергетические, телекоммуникационные компании. Компании Maersk, к примеру, это обошлось в 300 млн. долларов единовременно.

1. Эпидемии вирусов-вымогателей WannaCry, NotPetya, Bad Rabbit научили отечественные компании тому, что установки антивирусов и файерволов недостаточно, чтобы чувствовать себя в безопасности. Нужна комплексная стратегия, инвентаризация своих активов в ИТ, выделенные ресурсы, стратегия реагирования на угрозы.
2. В определенном смысле тон задает государство, объявившее курс на цифровую экономику, охватывающую все сферы (от здравоохранения и образования до транспорта и финансов). Эта политика напрямую сказывается на росте сектора ИТ в целом и на информационной безопасности в частности.

Цена уязвимостей в информационной защите

Все это поучительно, но каждый бизнес – уникальная история. Вопрос, сколько тратить на информационную безопасность от общего ИТ-бюджета компании, хоть и не корректный, но, с точки зрения заказчика, самый насущный.

Международная исследовательская компания IDC на примере канадского рынка называет оптимальными 9,8-13,7% вложений в кибербезопасность от общего бюджета ИТ в организации. То есть сейчас канадский бизнес тратит в среднем около 10% на эти нужды (считается, что это показатель здоровой компании), а хотел бы, судя по опросам, ближе к 14%.

Компаниям нет смысла гадать, сколько нужно затратить на свою информационную безопасность, чтобы чувствовать себя спокойно. Сегодня оценить риски от инцидентов с кибербезопасностью не сложнее, чем просчитать потери от физических угроз. Есть общемировая статистика , согласно которой:

• Хакерские атаки стоят глобальной экономике более 110 млрд. долларов ежегодно.
• Для малого бизнеса каждый инцидент обходится в среднем в 188 тысяч долларов.
• 51% взломов в 2016 году были целевыми, то есть организованными криминальными группами против конкретной компании.
• 75% атак происходят с целью нанесения материального ущерба, финансово мотивированны.

«Лаборатория Касперского» весной 2018 года провела свое масштабное исследование . Согласно опросу 6 тысяч специалистов компаний по всему миру, ущерб от взломов корпоративных сетей и утечки данных за последние пару лет вырос на 20-30%.

Средняя цена ущерба на февраль 2018 года для коммерческих организаций, вне зависимости от размера, сферы деятельности, составила 1,23 млн. долларов. Для предприятий МСБ ошибка персонала или удачные действия хакеров обходятся в 120 тысяч долларов.

Технико-экономическое обоснование для ИБ

Для того чтобы правильно оценить финансовые ресурсы, необходимые для организации информационной безопасности на предприятии, нужно составить технико-экономическое обоснование.

1. Проводим инвентаризацию ИТ-инфраструктуры и оцениваем риски, составляем список уязвимостей в порядке убывания их значимости. Сюда же закладываются репутационные потери (рост страховых тарифов, снижение кредитного рейтинга, цена простоя сервисов), стоимость восстановления системы (обновления оборудования и ПО).
2. Прописываем задачи, которые должна решать система информационной безопасности.
3. Подбираем оборудование, инструменты для решения задач, определяем его стоимость.

Если в компании нет компетенций для оценки угроз и рисков кибербезопасности, всегда можно заказать аудит информационной безопасности на стороне. Сегодня эта процедура недолгая, недорогая и безболезненная.

Промышленным компаниям с высоким уровнем автоматизации процессов эксперты рекомендуют использовать модель адаптивной архитектуры безопасности (Adaptive Security Architecture ), предложенную в 2014 году Gartner. Она позволяет правильно перераспределить расходы на ИБ, уделяя больше внимания инструментам обнаружения и реагирования на угрозы, и подразумевает внедрение системы мониторинга и аналитики ИТ-инфраструктуры.

Сколько стоит кибербезопансоть для небольших компаний

Авторы блога Capterra решили подсчитать , во сколько в среднем обходится система информационной защиты для компаний малого и среднего бизнеса в первый год использования. Для этого был выбран список из 50 популярных «коробочных» предложений на рынке.

Оказалось, что разброс цен довольно большой: от 50 долларов за год (есть даже 2-3 бесплатных решения для небольших компаний) до 6 тысяч долларов (есть единичные пакеты и по 24 тысячи, но их не стали включать в расчет). В среднем малый бизнес может рассчитывать на 1 400 долларов на построение элементарной системы защиты от киберугроз.

Дешевле всего обойдутся технические решения типа бизнес-VPN или защиты электронной почты, которые помогут защититься от конкретных типов угроз (например, фишинга)

На другом конце спектра представлены полноценные системы мониторинга с «продвинутыми» инструментами реагирования на события и комплексной защиты. Они помогают уберечь корпоративную сеть от масштабных атак и иногда даже позволяют предсказывать их появление, купировать на ранних стадиях.

Компания может выбрать несколько моделей оплаты системы информационной безопасности:

• Цена за каждую лицензию, Средняя цена – 1000-2000 долларов, или от 26 до 6000 долларов за лицензию.
• Цена за пользователя. Средняя стоимость системы ИБ за одного пользователя в компании – 37 долларов, разброс идет от 4 до 130 долларов за человека в месяц.
• Цена за подключаемое устройство. Средняя стоимость по этой модели составляет 2,25 долларов за один девайс. Цена варьируется от 0,96 до 4,5 долларов в месяц.

Для правильного расчета затрат на информационную безопасность даже небольшой компании придется внедрить у себя основы риск-менеджмента. Первый же инцидент (упал сайт, сервис, платежная система), который невозможно будет исправить в течение суток, может привести к закрытию бизнеса.

Глобальное исследование рисков информационной безопасности для бизнеса (Kaspersky Lab Global Corporate IT Security Risks Survey) – это ежегодный анализ тенденций в области корпоративной информационной безопасности по всему миру. Мы рассматриваем такие важные аспекты кибербезопасности, как размер затрат на ИБ, актуальные типы угроз для различных видов компаний и финансовые последствия столкновений с этими угрозами. Кроме того, получив от руководителей сведения о принципах формирования бюджетов информационной безопасности, мы можем проследить, как компании в разных регионах мира реагируют на изменения в ландшафте угроз.

В 2017 году мы постарались понять, видят ли компании в информационной безопасности источник затрат (необходимое зло, на которое они вынуждены выделять деньги), или начинают считать ее стратегическими инвестициями (то есть средством обеспечения непрерывности бизнес-процессов, которое дает значительные преимущества в эпоху стремительно развивающихся киберугроз).

Это очень важный вопрос, особенно в связи с тем, что в большинство регионов мира IT-бюджет снижался.

В России, однако, в 2017 году был зафиксирован небольшой рост среднего бюджета, выделяемого на безопасность – 2%. Средний ИБ-бюджет в России составил около 15,4 млн рублей.

В этом отчете подробно рассматриваются типы угроз, с которыми сталкиваются компании любого размера, а также характерные закономерности распределения IT-затрат.

Общие сведения и методология исследования

Глобальное исследование «Лаборатории Касперского» в области рисков информационной безопасности для бизнеса (Kaspersky Lab Corporate IT Security Risks Survey) – это опрос руководителей, управляющих IT-службами своих организаций, который проводится ежегодно, начиная с 2011 года.

Самые свежие данные были собраны в марте и апреле 2017 года. Всего было опрошено 5274 респондента более чем из 30 стран, в исследовании участвовали компании самых разных размеров.

В отчете иногда используются следующие обозначения: малый бизнес – менее 50 сотрудников, СМБ (средний и небольшой бизнес – от 50 до 250 сотрудников) и крупный бизнес (компании со штатом от 250 человек). В текущем отчете представлен анализ наиболее показательных параметров из проведенного опроса.

Основные выводы:

Компаниям любого размера становится сложнее бороться с киберугрозами, расходы на защиту также возрастают. В России в сегменте среднего и малого бизнеса средние затраты на ликвидацию последствий лишь одного киберинцидента составляет 1,6 млн рублей, а для сегмента крупного бизнеса затраты составляют 16,1 млн рублей.

Растет доля IT-бюджета, выделяемая на информационную безопасность. Это характерно для компаний любого размера. Общая сумма бюджета при этом остается невысокой, а в России рост составил всего 2%, поэтому специалисты вынуждены выполнять свои задачи с небольшими ресурсами.

Ущерб от одного лишь инцидента растет, и компании, которые не приоритизируют затраты на информационную безопасность, могут вскоре столкнуться с серьезными проблемами. Исследование показало, что в сегменте SMB компании тратят около 300 тыс. рублей при каждом инциденте безопасности на дополнительные выплаты персоналу, а крупные корпорации могут потратить 2,7 млн рублей на снижение ущерба, нанесенного бренду.

Ущерб от инцидентов безопасности

Ущерб от инцидентов кибербезопасности постоянно растет: компаниям приходится иметь дело со множеством их последствий, от дополнительной работы с общественностью до найма новых сотрудников. В 2017 году был отмечен дальнейший рост финансовых потерь в случае нарушений целостности данных. Это должно повлиять на подход к данному вопросу: компании перестанут видеть в затратах на кибербезопасность необходимое зло и начнут рассматривать их как инвестиции, которые позволят избежать значительных денежных потерь в случае атаки.

Серьезные нарушения целостности данных обходятся все дороже

Больше всего технических директоров волнуют массовые атаки, которые приводят к утечке миллионов записей. Таковы были нападения на Национальную службу здравоохранения (NHS) Великобритании, компанию Sony или взлом телеканала HBO с обнародованием конфиденциальных данных, относящихся к сериалу «Игра престолов». Однако на деле такие крупные инциденты скорее исключение, чем правило. Большинство кибератак до прошлого года не попадали в новостные заголовки и оставались уделом специальных сводок для специалистов. Конечно, эпидемии шифровальщиков немного изменили ситуацию, но все же корпоративный сегмент бизнеса не осознает всей картины.

Относительно малое число известных масштабных кибератак вовсе не значит, что и ущерб от большинства атак незначителен. Итак, сколько же в среднем тратят компании на ликвидацию «типичного» нарушения целостности данных? Мы попросили участников исследования оценить, какие суммы потратила/потеряла их компания в результате любого инцидента безопасности, произошедшего в последний год.

Все компании, насчитывающие от 50 сотрудников, должны были оценить затраты, понесенные в каждой из следующих категорий:

Для каждой из категорий мы рассчитали средние затраты, которые понесли компании, столкнувшиеся с ИБ-инцидентами, а сумма всех категорий позволила нам оценить размер общего ущерба, нанесенного ИБ-инцидентом.

Ниже отдельно приведены результаты для сегмента СМБ и крупного бизнеса, поскольку статистика для них во многом различается. Например, средний ущерб для российских СМБ-компаний составляет почти 1,6 млн рублей, а для крупного бизнеса он почти в десять раз выше – 16,1 млн рублей. Это показывает, что кибератаки обходятся дорого компаниям любого размера.

То, что крупный бизнес в среднем несет больше потерь при нарушении целостности данных, неудивительно, однако интересно проанализировать распределение ущерба по категориям.

В прошлом году дополнительные выплаты сотрудникам были самой значительной статьей расхода и для SMB, и для крупного бизнеса. Однако в этом году картина изменилась, и у компаний разного размера главными стали разные статьи расходов. Небольшой и средний бизнес теряет больше всего по-прежнему на выплатах сотрудникам. А вот крупный бизнес стал вкладываться в дополнительный PR, чтобы снизить ущерб репутации бренда. Кроме того, значительной статьей расходов для крупного бизнеса стали затраты на улучшение технического оснащения и приобретение дополнительного ПО.

Для всех компаний выросли затраты на обучение сотрудников. Инциденты безопасности часто заставляют компании осознать важность повышения киберграмотности и улучшения системы анализа угроз.

Более обширные внутренние ресурсы крупных компаний и особенности регулирования их деятельности определяют иной баланс между затратами на ликвидацию самой угрозы и затратами на возмещение ущерба. Серьезной статьей расхода стало увеличение страховых премий, ухудшение кредитных рейтингов и подрыв доверия к компании: в среднем после каждого инцидента крупные компании теряют на этом около 2,3 млн рублей.

Наше исследование показало, что во многом росту расходов компании были обязаны необходимостью предотвратить – или хотя бы снизить – репутационные потери в виде кредитного рейтинга, имиджа бренда и компенсаций.

В связи с повсеместным внедрением все новых нормативных требований средний ущерб, скорее всего, продолжит расти: компаниям придется публично сообщать обо всех инцидентах и повышать прозрачность защиты данных.

Такие тенденции характерны, например, для Японии, где средние затраты на ликвидацию последствий бреши в системе безопасности увеличились больше чем вдвое: с 580 тыс. долл. США в 2016 году до 1,3 млн долл. США в 2017 году. Правительство Японии приняло меры к ужесточению нормативных требований в связи с увеличением числа угроз кибербезопасности. В 2017 году вступили в силу новые законы, которые и вызвали внезапный рост затрат.

Однако разработка и внедрение законов требует времени. В условиях стремительного развития корпоративного IT-ландшафта и эволюции киберугроз отставание нормативных мер становится серьезной проблемой. Например, новые японские стандарты были согласованы еще в 2015 году, однако их вступление в силу пришлось отложить на целых два года. Многим эта задержка обошлась очень дорого: за эти два года ряд крупных японских компаний стали жертвами дорогостоящих атак. Один из примеров – туристическая компания JTB Corp., которая в 2016 году столкнулась с огромной утечкой. Были украдены данные 8 миллионов клиентов, включая имена, адреса и номера паспортов.

Это один из симптомов общемировой проблемы: угрозы развиваются стремительно, а инерция правительств и компаний слишком высока. Еще один пример затягивания гаек – общеевропейские стандарты защиты данных (GDPR), которые вступают в силу в мае 2018 года и значительно ограничивают допустимые способы обработки и хранения данных граждан Евросоюза.

Законы меняются по всему миру, но за киберугрозами им не угнаться – об этом в России напомнили три волны шифровальщиков в 2017 году. Поэтому бизнесу следует помнить о несовершенстве законодательства и укреплять защиту в соответствии с фактическими обстоятельствами – или заранее смириться с ущербом для репутации и клиентов. К новым нормативным требованиям стоит готовиться, не дожидаясь крайних сроков. Меняя политики уже после выхода соответствующих законов, компании рискуют не только штрафами, но и безопасностью своих и клиентских данных.

Чужих уязвимостей не бывает: бреши в защите партнеров обходятся дорого

Для защиты от утечек данных очень важно представлять, какие векторы атаки используют злоумышленники. В свою очередь, эти сведения помогут понять, какие типы атак обходятся дороже всего.

Опрос показал, что для среднего и малого бизнеса наиболее тяжелые финансовые последствия имели следующие инциденты:

• Инциденты, затрагивающие инфраструктуру, размещенную на оборудовании третьей стороны (17,2 млн руб.)
• Инциденты, затрагивающие сторонние облачные сервисы, которые использует компания (3,6 млн руб.)
• Ненадлежащий обмен данными посредством мобильных устройств (2,5 млн руб.)
• Физическая потеря мобильных устройств, подвергающая организацию рискам (2,1 млн руб.)
• Инциденты, связанные с невычислительными устройствами, подключенными к интернету (например, промышленные системы управления, Интернет вещей) (1,7 млн руб.)

Ситуация с крупным бизнесом несколько иная:

• Целевые атаки (75 млн руб.)
• Инциденты, затрагивающие облачные сервисы сторонних вендоров (19 млн руб.)
• Вирусы и вредоносные программы (9 млн руб.)
• Ненадлежащий обмен данными посредством мобильных устройств (7,3 млн руб.)
• Инциденты, затрагивающие поставщиков, с которыми компании обмениваются данными (4,4 млн руб.)

По этим данным видно, что очень часто атаки, вызванные проблемами с безопасностью у бизнес-партнеров, обходятся компаниям любого размера едва ли не дороже всего. Это касается как организаций, арендующих у сторонних поставщиков облачную или иную инфраструктуру, так и компаний, которые обмениваются своими данными с партнерами.

Как только вы даете другой компании доступ к своим данным или инфраструктуре, их слабости становятся вашей проблемой. Однако ранее мы уже наблюдали, что большинство организаций не придают этому достаточного значения. Потому неудивительно, что инциденты такого рода вызывают самые большие расходы: любой боксер скажет вам, что в нокаут обычно отправляет именно неожиданный удар.

Также немедленно обращает на себя внимание еще один вектор, неожиданно вошедший в топ-5 угроз для среднего бизнеса: атаки, связанные с подключенными устройствами, не являющимися компьютерами. Сегодня трафик в интернете вещей (IoT) растет куда быстрее, чем трафик, генерируемый любыми другими технологиями. Это еще один пример того, как новые разработки увеличивают число потенциально уязвимых точек в бизнес-инфраструктуре. В частности, широкое использование заводских паролей по умолчанию и слабых средств безопасности на устройствах интернета вещей сделало их идеальным уловом для ботнетов типа Mirai – зловредов, способных объединять огромное количество уязвимых устройств в единую сеть для проведения масштабных DDoS-атак на выбранные цели.

Обращает на себя внимание сумма потери от целевых атак в сегменте крупного бизнеса – этой угрозе крайне сложно противодействовать. За последние пару лет стало известно о ряде громких целевых атак на банки, что также подкрепляет эту неутешительную статистику.

Инвестиции в сокращение рисков

Как показало наше исследование, угрозы информационной безопасности становятся все серьезнее. В этих условиях не может не беспокоить состояние самих бюджетов информационной безопасности. Проанализировав их изменения, мы сможем решить вопрос, рассматривают ли организации свою безопасность как источник затрат, или баланс понемногу меняется, и в ней начинают видеть поле для инвестиций, дающих реальное конкурентное преимущество.

Размер бюджета показывает отношение компании к IT-безопасности, важность роли защитной системы с точки зрения руководства и готовность организации к риску.

Бюджет информационной безопасности: доля растет, «пирог» уменьшается

В этом году мы наблюдаем, что экономия и аутсорсинг привели к сокращению IT-бюджетов. Несмотря на это (а может, и вследствие этого), доля информационной безопасности в этих IT-бюджетах возросла. В России положительная тенденция прослеживается в компаниях всех размеров. Даже среди микробизнеса, работающего в условиях недостатка ресурсов, доля в IT-бюджетах, отведенная на информационную безопасность, выросла, пусть и на долю процента.

Это означает, что компании наконец-то начинают понимать важность информационной безопасности. Возможно, это показывает, что ИБ стала восприниматься многими как потенциально полезные инвестиции, а не как источник затрат.

Мы наблюдаем, что в мире IT-бюджеты значительно сокращаются. Хотя информационная безопасность получает больший «кусок пирога», сам «пирог» уменьшается. Тенденция тревожная, особенно учитывая, как высоки ставки в этой области и как дорого обходится каждая атака.

В России средний бюджет на ИБ для крупного бизнеса в 2017 году достигал 400 млн руб, а для СМБ –4,6 млн руб.

Выборка: 694 респондента в России, способных дать оценку бюджета

Неудивительно, что организации, оказывающие государственные услуги (в том числе оборонный сектор), и финансовые учреждения по всему миру в этом году сообщают о самых высоких затратах на информационную безопасность. Предприятия в обоих этих секторах тратили на безопасность в среднем более 5 млн долл. США. Стоит отметить и то, что сектор IT и телекоммуникаций, а также компании энергетической отрасли тоже потратили на ИБ больше среднего, хотя их бюджеты оказались ближе к 3 млн долл. США, а не к 5.

Однако если разделить общие затраты на количество сотрудников, то государственные организации сдвигаются к концу списка. В среднем «подушные» затраты сектора IT и телекоммуникаций на ИБ составляют 1258 долл. США, тогда как энергетический сектор тратит 1344 долл. США, а финансовые компании – 1436 долл. США. Для сравнения, государственные учреждения выделяют на ИБ всего 959 долл. США на человека.

Как в сегменте IT и телекоммуникаций, так и в отрасли энергоснабжения высокие затраты на одного сотрудника, скорее всего, связаны с особенно актуальной в этих секторах экономики необходимостью защищать интеллектуальную собственность. В случае с организациями энергоснабжения высокие затраты на защиту могут быть обусловлены и тем, что эти компании все более уязвимы для целевых атак, организованных группами злоумышленников.

В этой отрасли инвестиции в информационную безопасность становятся залогом выживания, поскольку обеспечивают непрерывность работы – чрезвычайно важный фактор для энергоснабжения. Последствия успешной кибератаки в этой отрасли особенно тяжелы, поэтому инвестиции в ИБ приобретают весьма осязаемые преимущества.

В России в ИБ вкладываются в первую очередь IT и телекоммуникации, а также промышленные предприятия – средние расходы для первых достигают 300 млн рублей, для вторых – 80 млн рублей. Промышленные и производственные компании, как правило, полагаются на автоматизированные системы управления (ICS) для обеспечения непрерывности производственных процессов. При этом атаки на ICS увеличиваются в числе: за последние 12 месяцев их количество выросло на 5%.

Причины инвестиций в информационную безопасность

Разброс сумм инвестиций в ИБ между секторами очень велик. Поэтому особенно важно выяснить причины, побуждающие компании тратить ограниченные ресурсы на информационную безопасность. Не зная мотивов, невозможно понять, считает ли компания деньги, потраченные на безопасность IT-инфраструктуры, выброшенными на ветер или рассматривает их как выгодные вложения.

В 2017 году значительно больше компаний во всем мире признало, что собирается вкладывать средства в кибербезопасность независимо от ожидаемого возврата инвестиций: 63% по сравнению с 56% в 2016 году. Это показывает, что все больше компаний понимают важность ИБ.

Основные причины увеличения бюджета информационной безопасности, Россия

Не все компании ожидают скорого возврата инвестиций, однако многие глобальные компании назвали в качестве причины увеличения бюджетов ИБ давление со стороны ключевых заинтересованных лиц, включая топ-менеджмент компании (32%). Это показывает, что компании начинают видеть в росте расходов на ИБ свое стратегическое преимущество: меры безопасности позволяют не только защищаться в случае атаки, но и демонстрировать клиентам, что их данные находятся в надежных руках, а также обеспечивать непрерывность бизнеса, в которой заинтересовано руководство компании.

Самой популярной причиной для увеличения расходов на информационную безопасность большинство отечественных компаний назвали необходимость защитить все более сложную IT-инфраструктуру (46%), а необходимость повышения квалификации экспертов ИБ отметили 30%. Эти цифры указывают на потребность повышать уровень доступных компании экспертных знаний путем развития навыков собственных сотрудников. И в самом деле, как малые и средние, так и крупные предприятия все чаще инвестируют средства в поддержку внутренних трудовых ресурсов в борьбе против киберугроз.

При этом потребность увеличивать расходы на ИБ из-за новых бизнес-операций или расширения компании среди российского бизнеса снизилась: с 36% в прошлом году до 30% в 2017 году. Возможно, оно отражает макроэкономические факторы, с которыми нашим компаниям пришлось столкнуться в последнее время.

Заключение

Огромный урон в 2017 году нанесли массовые атаки, такие как WannaCry, exPetr и BadRabbit. Велик ущерб и от целенаправленных атак, в частности на российские банки. Все это демонстрирует, что ландшафт киберугроз меняется стремительно и неотвратимо. Компаниям приходится адаптировать свои средства защиты или оставаться не у дел.

Все более значительным фактором при принятии бизнес-решений становится разница между стоимостью подготовки к отражению кибератак и расходов, которые понесет жертва.

Отчет показывает, что даже сравнительно небольшие утечки данных, которые не интересуют широкую публику, могут весьма дорого обойтись компании и серьезно повлиять на ее работу. Еще одна причина роста затрат в случае инцидентов безопасности – изменения в законодательствах по всему миру. Компаниям приходится либо адаптироваться, либо рисковать как несоблюдением требований, так и возможным взломом.

В этих обстоятельствах становится особенно важно учитывать все последствия и затраты. Возможно, именно поэтому все больше компаний из разных стран увеличивают долю информационной безопасности в своих IT-бюджетах. В 2017 году значительно больше компаний по всему миру признало, что собирается вкладывать средства в кибербезопасность независимо от ожидаемого возврата инвестиций: 63% по сравнению с 56% в 2016 году.

Скорее всего, в связи с ростом ущерба от инцидентов кибербезопасности именно те организации, которые считают IT-затраты инвестициями в безопасность и готовы тратить на них значительные средства, будут лучше подготовлены к возможным неприятностям. А какова ситуация в вашей компании?

Вобосновании затрат на информационную безопас­ность существует два основных подхода.

Научный подход . Для этого необходимо привлечь руководство компании (или ее собст­венника) к оценке стоимости информационных ресурсов, оп­ределению оценки потенциального ущерба от нарушений в области защиты информации.

1. Если стоимость информации невелика, существен­ных угроз для информационных активов компании нет, а по­тенциальный ущерб минимален, обеспечение информацион­ной безопасности требует меньшего финансирования.

2. Если информация обладает определенной стоимо­стью, угрозы и потенциальный ущерб значительны и опреде­лены, тогда возникает вопрос о внесении в бюджет расходов на подсистему информационной безопасности. В этом случае необходимо построение корпоративной системы защиты ин­формации.

Практический подход состоит в определении варианта реальной стоимости корпоративной системы защиты информации на основе аналогичных систем в других областях. Эксперты-практики в области защиты информации пола­гают, что стоимость системы защиты информации должна составлять примерно 10-20 % от стоимости корпоративной информационной системы, в зависимости от конкретных тре­бований к режиму информационной безопасности.

Общепри­нятые требования к обеспечению режима информационной безопасности "best practice" (на основе практического опыта), формализованные в ряде стандартов, например ISO 17799, реализуются на практике при разработке конкретных методов оценки эффективности системы информационной безопасно­сти.

Применение современных методов оценки затрат на информационную безопасность позволяет рассчитать всю расходную часть информационных активов организации, включая прямые и косвенные затраты на аппаратно-программные средства, организационные мероприятия, обу­чение и повышение квалификации сотрудников, реорганиза­цию, реструктуризацию бизнеса и т. д.

Они необходимы для доказательства экономической эффективности существующих корпоративных систем защи­ты и позволяют руководителям служб информационной безопасности обосновывать бюджет на информационную безопасность, а, также доказывать эффективность работы со­трудников соответствующей службы. Применяемые зарубеж­ными компаниями методики оценки затрат позволяют:

Получить адекватную информацию об уровне защи­щенности распределенной вычислительной среды и совокуп­ной стоимости владения корпоративной системы защиты ин­формации.

Сравнить подразделения службы информационной безопасности организации как между собой, так и с аналогичными подразделениями других организаций в данной отрасли.

Оптимизировать инвестиции на информационную безопасность организации.

Одна из наиболее известных методик оценки затрат применительно к системе информационной безопасности - методика совокупной стоимости владения (ССВ) компании Gartner Group Под показателем ССВ понимается сумма прямых и косвенных затрат на организацию (реорганизацию), эксплуатацию и сопровождение корпоративной системы за­щиты информации в течение года. Он используется практи­чески на всех основных этапах жизненного цикла корпора­тивной системы защиты информации и дает возможность объективно и независимо обосновать экономическую целесо­образность внедрения и использования конкретных организа­ционных и технических мер и средств защиты информации. Для объективности решения также необходимо дополнитель­но учитывать состояние внешней и внутренней среды пред­приятия, например, показатели технологического, кадрового и финансового развития предприятия.

Сравнение определенного показателя ССВ с аналогич­ными показателями ССВ по отрасли (с аналогичными компа­ниями) позволяет объективно и независимо обосновать затра­ты организации на информационную безопасность. Ведь час­то оказывается довольно трудно или даже практически невоз­можно оценить прямой экономический эффект от этих затрат.

Совокупная стоимость владения для системы инфор­мационной безопасности в общем случае складывается из стоимости:

Проектных работ,

Закупки и настройки программно-технических средств защиты, включающих следующие основные группы: межсетевые экраны, средства криптографии, антивирусы и ААА (средства аутентификации, авторизации и администри­рования),

Затрат на обеспечение физической безопасности,

Обучения персонала,

Управления и поддержки системы (администрирова­ние безопасности),

Аудита информационной безопасности, - периодической модернизации системы информацион­ной безопасности.

При этом прямые затраты включают как капитальные компоненты затрат (ассоциируемые с фиксированными акти­вами или "собственностью"), так и трудозатраты, которые учитываются в категориях операций и административного управления. Сюда же относят затраты на услуги удаленных пользователей и др., связанные с поддержкой деятельности организации.

В свою очередь, косвенные затраты отражают влияние корпоративной информационной системы и подсистемы за­щиты информации на сотрудников организации посредством таких измеримых показателей, как простои и "зависания" корпоративной системы защиты информации и информаци­онной системы в целом, затраты на операции и поддержку (не относящиеся к прямым затратам). Очень часто косвенные за­траты играют значительную роль, так как они обычно изна­чально не отражаются в бюджете на информационную безо­пасность, а выявляются при анализе затрат позже.

Расчет показателей ССВ организации проводится по следующим направлениям.

Компоненты корпоративной информационной системы (включая систему защиты информации) и информационные актины организации (серверы, клиентские компьютеры, пе­риферийные устройства, сетевые устройства).

Расходы на аппаратные и программные средства защиты информации : расходные материалы и амортизационные расходы ни серверы, компьютеры клиентов (настольные и мобильные компьютеры), периферийные устройства и сете­вые компоненты.

Расходы на организацию информационной безопасно­сти: обслуживание системы защиты информации, штатных средств защиты периферийных устройств, серверов, сетевых устройств, планирование и управление процессами защиты информации, разработка концепции и политики безопасности и прочие.

Расходы на операции информационной си стемы: пря­мые затраты на содержание персонала, стоимость работ и аутсорсинг, произведенные организацией в целом или службой для осуществления технической поддержки и операций по поддержанию инфраструктуры для пользователей.

Административные расходы : прямые затраты на пер­сонал, обеспечение деятельности и расходы внутрен­них/внешних поставщиков (вендоров) на поддержку опера­ций, включающих управление, финансирование, приобрете­ние и обучение информационных систем.

Расходы на операции конечных пользователей : затраты на самоподдержку конечных пользователей, официальное обучение конечных пользователей, нерегулярное (неофици­альное) обучение, самостоятельные прикладные разработки, поддержку локальной файловой системы.

Расходы на простои : ежегодные потери производи­тельности конечных пользователей от запланированных и не­запланированных отключений сетевых ресурсов, включая клиентские компьютеры, совместно используемые серверы, принтеры, прикладные программы, коммуникационные ре­сурсы и программное обеспечение для связи.