Реферат2_Гуров_АЭ_231_352_Затраты_на_защиту_информации

1. Подходы к определению затрат на защиту информации

Объем и доля бюджета фирм, выделяемых на информационную
безопасность
Гуров Арсений Эрнестович
Группа 231-352
Дисциплина: Экономика и управление бизнес-процессами в информационной безопасности
Проверили: к.т.н., доцент Пителинский К.В., преподаватель Маковей С.О.

2.

Почему сумму трудно определить
Результат защиты часто выглядит как отсутствие
происшествия
• слишком малый бюджет оставляет дорогие риски без контроля
• покупки без расчета создают лишние расходы на сопровождение
• процент от выручки или бюджета ИТ дает ориентир, но не ответ
• состав расходов в разных фирмах учитывается по-разному
2

3.

Что входит в затраты
Видимые статьи
То, что легко забыть
• персонал
• внедрение и настройка
• программные средства
• обучение работников
• оборудование
• проверки и документы
• внешние услуги
• резерв на срочные работы
• время которое тратят
другие сотрудники
3

4.

Прямые и скрытые расходы
Вид
Пример
Почему важен
Прямой
лицензия, договор, зарплата
виден в смете
Скрытый
время на согласование доступа
влияет на производительность
После происшествия
простой, восстановление, юристы
возникает в другом бюджете
Экономия на защите оценивается вместе с остаточным риском.
4

5.

Разовые и текущие расходы
Разовые
Текущие
• обследование
• обновление
• проектирование
• мониторинг
• внедрение
• техническая поддержка
• первичное обучение
• повторные проверки
Горизонт сравнения: от трех до пяти лет
5

6.

Полная стоимость владения
ПСВ = покупка + внедрение + эксплуатация + персонал + вывод
Статья
Что проверить
Покупка
цена и способ лицензирования
Внедрение
настройка, перенос данных, связь с системами
Эксплуатация
обновления, хранение журналов, поддержка
Персонал
нагрузка команды и обучение
Вывод
перенос, архив, прекращение договора
6

7.

Четыре подхода к бюджету
Подход
Что дает
Роль
Нормативный
обязательный минимум
нижняя граница
Рисковый
связь с возможным ущербом
приоритеты
Сравнительный
показывает, сколько тратят похожие компании
проверка масштаба
Экономический
сопоставление затрат и эффекта
выбор меры
Итоговый план строится сочетанием методов.
7

8.

Нормативный подход
Требование переводится в конкретную работу и сумму
• законы и отраслевые правила
• условия договоров и требования заказчиков
• внутренние документы фирмы
• доказательства выполнения и проверки
Это нижняя граница, а не весь расчет.
8

9.

Рисковый подход
ОГУ = сумма вероятности сценария × потери
• выделить важные процессы и данные
• описать сценарии и последствия
• оценить вероятность или диапазон
• проверить снижение риска после меры
9

10.

Сравнение с похожими фирмами
Что сравнивают
Что уточняют
• долю от бюджета ИТ
• состав выборки
• долю от выручки
• год и географию
• расходы на сотрудника
• границу учета
• структуру затрат
• среднее и медиану
Среднее значение рынка не является целью.
10

11.

Экономическая оценка меры
Эффект = ОГУ до меры - ОГУ после меры - стоимость
Положительное значение говорит в пользу проекта
• обязательные меры могут быть нужны при отрицательном результате
• редкий тяжелый сценарий нельзя оценивать только средним ущербом
• расчет помогает принять решение, но не заменяет руководство
11

12.

Универсального процента нет
8,3%
13,2%
0,32%
медиана от бюджета ИТ
среднее от бюджета ИТ
медиана от выручки
Это ориентиры выборки IANS 2024, а не нормы для любой
фирмы.
12

13.

Доля от бюджета ИТ
14,0
13,0
Проценты
12,0
11,0
10,0
9,0
8,0
7,0
6,0
2020
2021
2022
Среднее
Медиана
2023
2024
13

14.

Доля от выручки
0,80
0,70
Проценты
0,60
0,50
0,40
0,30
0,20
0,10
0,00
2020
2021
2022
Среднее
Медиана
2023
2024
14

15.

Размер компании и абсолютная сумма
Категория
Бюджет ИТ
Безопасность
Доля
Крупные
41,8 млн долл.
5,7 млн долл.
13,6%
Средние
10,5 млн долл.
1,2 млн долл.
11,6%
Малый бизнес
1,6 млн долл.
0,2 млн долл.
12,5%
Доли близки, суммы отличаются во много раз.
15

16.

Мировые расходы на безопасность
121,2
120,0
105,9
Млрд долл.
100,0
92,8
95,0
83,8
77,1
80,0
60,0
40,0
21,3
23,3
25,8
20,0
0,0
Сеть
Услуги
2024
2025
2026
Программные средства
16

17.

Что меняет долю бюджета
Долю повышают
Долю могут снизить
• жесткие требования
• простая инфраструктура
• высокая цена простоя
• единые типовые решения
• старые системы
• передача части функций
• быстрый рост фирмы
• устранение лишних систем
Низкая доля не доказывает эффективность. Высокая не
гарантирует защиту.
17

18.

Порядок планирования
Шаг
Содержание
1
важные процессы и активы
2
обязательные требования
3
сценарии риска
4
варианты мер и их стоимость
5
смета и резерв
6
план, факт и проверка результата
18

19.

Учебная фирма
1,2 млрд руб.
72 млн руб.
450
годовая выручка
бюджет ИТ
сотрудников
Собственный центр обработки данных и клиентские
данные
Все числа на следующих слайдах учебные.
19

20.

Проверка по открытым ориентирам
Основа
Доля
Сумма
Бюджет ИТ, медиана
8,3%
5,98 млн руб.
Бюджет ИТ, среднее
13,2%
9,50 млн руб.
Выручка, медиана
0,32%
3,84 млн руб.
Выручка, среднее
0,69%
8,28 млн руб.
Коридор получился широким: от 3,84 до 9,50 млн руб.
20

21.

Учебная оценка сценариев
Млн руб. в год
Сбой поставщика
Утечка данных
Шифрование и простой
0,96
6,70 млн
руб.
суммарный
ожидаемый ущерб
2,50
3,24
Это расчетная величина, а
не прогноз обязательной
потери.
21

22.

Предлагаемый бюджет
Резерв
Обучение
Млн руб.
Проверки
Оборудование
Программы
Мониторинг
Персонал
0,9
8,40 млн руб.
0,4
0,7
11,7% бюджета ИТ
1,1
0,70% выручки
1,5
1,6
2,2
22

23.

Вывод
• требования задают нижнюю границу
• оценка риска расставляет приоритеты
• рыночные данные проверяют масштаб
• экономический расчет помогает выбирать меры
Каждая крупная статья должна быть связана с риском,
требованием или поддержкой действующей функции.
23

24.

Спасибо за внимание
Гуров Арсений Эрнестович, группа 231-352