Ulažu u različite kompjuterske sigurnosne tehnologije - od platformi za isplatu bonusa za otkrivanje ranjivosti u programima do dijagnostike i automatizovanog testiranja programa. Ali najviše od svega privlače ih tehnologije za autentifikaciju i upravljanje informacijama o identitetu - oko 900 miliona dolara uloženo je u startape koji se bave ovim tehnologijama krajem 2019.

Ulaganja u startupe za obuku iz sajber sigurnosti dostigla su 418 miliona dolara u 2019., predvođena KnowBe4, koja je prikupila 300 miliona dolara. Startup nudi platformu za simulaciju phishing napada i niz programa obuke.

U 2019. godini kompanije uključene u sigurnost Interneta stvari dobile su oko 412 miliona dolara. Lider u ovoj kategoriji po obimu ulaganja je SentinelOne, koji je u 2019. godini dobio 120 miliona dolara za razvoj tehnologija za zaštitu krajnjih tačaka.

Istovremeno, Metacurity analitičari pružaju i druge podatke koji karakterišu situaciju na tržištu rizičnog finansiranja u sektoru informacione bezbednosti. U 2019., obim investicija ovdje je dostigao 6,57 milijardi dolara, što je povećanje sa 3,88 milijardi dolara u 2018. Porastao je i broj transakcija - sa 133 na 219. Istovremeno, prosječan obim ulaganja po transakciji ostao je praktično nepromijenjen i iznosio je 29,2 miliona na kraju 2019. godine, kako je izračunao Metacurity.

2018

Rast od 9% na 37 milijardi dolara - Canalys

U 2018. godini prodaja opreme, softver i usluge namenjene informacionoj bezbednosti (IS), dostigao je 37 milijardi dolara, što je povećanje od 9% u odnosu na prethodnu godinu (34 milijarde dolara). Takve podatke objavili su analitičari Canalysa 28. marta 2019. godine.

Uprkos tome što mnoge kompanije daju prioritet zaštiti svoje imovine, podataka, krajnjih tačaka, mreža, zaposlenih i kupaca, sajber sigurnost je činila samo 2% ukupne IT potrošnje u 2018. godini, rekli su. Međutim, sve više i više novih prijetnji se pojavljuju, postaju složenije i sve češće, što proizvođačima rješenja za sigurnost informacija pruža nove mogućnosti za rast. Očekuje se da će ukupna potrošnja na sajber sigurnost premašiti 42 milijarde dolara u 2020.

Analitičar Canalysa Matthew Ball smatra da će se ubrzati prelazak na nove modele implementacije informacione sigurnosti. Korisnici mijenjaju prirodu svojih IT budžeta koristeći javne usluge u oblaku i fleksibilne usluge zasnovane na pretplati.

Oko 82% implementacija sigurnosti informacija u 2018. uključivalo je korištenje tradicionalnog hardvera i softvera. U preostalih 18% slučajeva korišteni su virtuelizacija, javni oblaci i usluge informacione sigurnosti.

Do 2020. godine udio tradicionalnih modela za implementaciju sistema informacione sigurnosti će pasti na 70%, jer nova rješenja na tržištu postaju sve popularnija.

Dobavljači će morati da stvore širok spektar poslovnih modela kako bi podržali ovu tranziciju jer različiti proizvodi različito odgovaraju različite vrste raspoređivanja. Glavni izazov za mnoge danas je da se novi modeli više fokusiraju na partnerske kanale i integriraju ih sa postojećim partnerski programi, posebno kod transakcija klijenata putem platformi u oblaku. Neka tržišta u oblaku već su odgovorila na ovo dozvoljavajući partnerima da ponude prilagođene ponude i cijene direktno kupcima praćenjem registracija ponuda i popusta, izvijestio je Matthew Ball u objavi od 29. marta 2019.

Prema analitičaru kompanije Canalys Ketaki Borade, vodeći proizvođači tehnologije sajber sigurnosti uveli su nove modele distribucije proizvoda koji uključuju kompanije koje prelaze na model pretplate i povećavaju operacije u infrastrukturi oblaka.

Tržište sajber sigurnosti ostalo je vrlo dinamično i zabilježilo je rekordnu aktivnost i obim poslova kao odgovor na rastuću regulativu i tehnički zahtjevi, kao i kontinuirani široko rasprostranjeni rizik od kršenja podataka, kaže suosnivač Momentum Cyber ​​i upravljački partner Eric McAlpine. “Vjerujemo da će ovaj zamah nastaviti da gura sektor na novu teritoriju jer nastoji da se pozabavi novim prijetnjama i konsoliduje se suočen sa zamorom dobavljača i rastućim nedostatkom vještina.”

2017

Troškovi sajber sigurnosti premašili su 100 milijardi dolara

U 2017. globalna potrošnja na informacionu sigurnost (IS) - proizvode i usluge - dostigla je 101,5 milijardi dolara, objavila je istraživačka kompanija Gartner sredinom augusta 2018. Na kraju 2017. godine stručnjaci su ovo tržište procijenili na 89,13 milijardi dolara, a ne navodi se šta je uzrokovalo značajno povećanje vrijednosti.

CISO-e žele pomoći svojim organizacijama da sigurno koriste tehnološke platforme kako bi postale konkurentnije i pokrenule poslovni rast, kaže Siddharth Deshpande, direktor istraživanja u Gartneru. - Kontinuirani nedostatak vještina i regulatorne promjene kao što je Opća uredba o zaštiti podataka (GDPR) u Evropi pokreću dalji rast na tržištu usluga kibernetičke sigurnosti.

Stručnjaci smatraju da je jedan od ključnih faktora koji doprinosi povećanju troškova informacione sigurnosti uvođenje novih metoda otkrivanja i odgovora na prijetnje, što je postalo glavni sigurnosni prioritet za organizacije u 2018. godini.

Prema procjenama Gartnera, u 2017. godini su organizacije koje su potrošile na usluge sajber zaštite na globalnom nivou premašile 52,3 milijarde dolara, au 2018. ovi troškovi će porasti na 58,9 milijardi dolara.

U 2017. godini kompanije su potrošile 2,4 milijarde dolara na zaštitu aplikacija, 2,6 milijardi dolara na zaštitu podataka, usluge u oblaku- 185 miliona dolara

Ispostavilo se da je godišnja prodaja rješenja za upravljanje identitetom i pristupom (Identity And Access Management) jednaka 8,8 milijardi, dok je prodaja alata za zaštitu IT infrastrukture porasla na 12,6 milijardi dolara.

Studija također ukazuje na potrošnju od 10,9 milijardi dolara na opremu koja se koristi za obezbjeđivanje mrežne sigurnosti. Njihovi proizvođači zaradili su 3,9 milijardi dolara od sistema za upravljanje rizikom sigurnosti informacija.

Potrošnja na sajber-sigurnost potrošača za 2017. godinu analitičari procjenjuju na 5,9 milijardi dolara, prema studiji Gartnera.

Gartner je procijenio veličinu tržišta na 89,13 milijardi dolara

U decembru 2017. godine postalo je poznato da će globalna potrošnja kompanija na informacionu sigurnost (IS) u 2017. iznositi 89,13 milijardi dolara. Prema Gartneru, korporativna potrošnja na sajber sigurnost će premašiti iznos iz 2016. od 82,2 milijarde dolara za skoro 7 milijardi dolara.

Stručnjaci smatraju da su usluge informacione sigurnosti najveća stavka rashoda: kompanije će u 2017. godini izdvojiti više od 53 milijarde dolara u ove svrhe u poređenju sa 48,8 milijardi dolara u 2016. godini. Drugi najveći segment tržišta informacione sigurnosti su rješenja za zaštitu infrastrukture, čiji će troškovi u 2017. godini iznositi 16,2 milijarde dolara umjesto 15,2 milijarde prije godinu dana. Mrežna sigurnosna oprema je na trećem mjestu (10,93 milijarde dolara).

Struktura troškova informacione sigurnosti uključuje i softver potrošača za informacionu sigurnost i sisteme za upravljanje identifikacijom i pristupom (Identity and Access Management, IAM). Gartner procjenjuje troškove u ovim oblastima u 2017. na 4,64 milijarde dolara i 4,3 milijarde dolara, dok su u 2016. cifre iznosile 4,57 milijardi dolara i 3,9 milijardi dolara, respektivno.

Analitičari očekuju dalji rast tržišta informacione sigurnosti: organizacije će u 2018. godini povećati potrošnju na sajber zaštitu za još 8% i za te namjene izdvojiti ukupno 96,3 milijarde dolara.Među faktorima rasta stručnjaci su naveli promjenu regulative u sektoru informacione sigurnosti i svijest o novim prijetnjama i okretanje kompanija digitalnoj poslovnoj strategiji.

Općenito, potrošnja na kibernetičku sigurnost je u velikoj mjeri vođena odgovorom kompanija na incidente u vezi s informacijskom sigurnošću, jer raste broj visokoprofilnih sajber napada i curenja informacija koji pogađaju organizacije širom svijeta, kaže Ruggero Contu, direktor istraživanja u Gartneru, komentirajući prognozu .

Riječi analitičara potvrđuju podaci do kojih je Gartner došao 2016. godine tokom istraživanja u kojem je učestvovalo 512 organizacija iz osam zemalja: Australije, Kanade, Francuske, Njemačke, Indije, Singapura i SAD-a.

53% ispitanika navelo je rizike sajber-sigurnosti kao glavnu pokretačku snagu povećane potrošnje na sajber sigurnost. Od ovog broja, najveći procenat ispitanika je rekao da opasnost od sajber napada najviše utiče na odluke o potrošnji na sigurnost informacija.

Gartnerova prognoza za 2018. predviđa povećanje potrošnje u svim glavnim oblastima. Tako će oko 57,7 milijardi dolara (+4,65 milijardi dolara) biti potrošeno na usluge sajber zaštite, oko 17,5 milijardi dolara (+1,25 milijardi dolara) će biti potrošeno na osiguranje infrastrukture infrastrukture, a 11,67 milijardi dolara (+735 miliona dolara), za potrošački softver - 4,74 milijarde dolara ( +109 miliona dolara) i za IAM sisteme - 4,69 milijardi dolara (+416 miliona dolara).

Analitičari također vjeruju da će do 2020. godine više od 60% organizacija u svijetu istovremeno investirati u nekoliko alata za zaštitu podataka, uključujući prevenciju gubitka informacija, šifriranje i alate za reviziju. Na kraju 2017. godine udio kompanija koje kupuju takva rješenja procijenjen je na 35%.

Još jedna značajna stavka korporativnih izdataka za sigurnost informacija biće uključivanje stručnjaka trećih strana. Očekuje se da će, s obzirom na nedostatak kadrova u oblasti kibernetičke sigurnosti, rastuću tehničku složenost sistema informacione sigurnosti i sve veće kibernetičke prijetnje, troškovi kompanije za outsourcing informacione sigurnosti u 2018. godini porasti za 11% i iznositi 18,5 milijardi dolara. .

Gartner procjenjuje da će do 2019. korporativna potrošnja na stručnjake za kibernetičku sigurnost trećih strana činiti 75% ukupne potrošnje na softver i hardver za sajber sigurnost, u odnosu na 63% u 2016. godini.

IDC predviđa veličinu tržišta na 82 milijarde dolara

Dvije trećine troškova dolaziće od velikih i veoma velikih kompanija. veliki posao. Do 2019. godine, prema analitičarima IDC-a, troškovi korporacija sa više od 1.000 zaposlenih će premašiti granicu od 50 milijardi dolara.

2016: Obim tržišta 73,7 milijardi dolara, rast 2 puta veći od IT tržišta

U oktobru 2016. godine analitička kompanija IDC predstavila je kratke rezultate studije globalnog tržišta informacione sigurnosti. Očekuje se da će njegov rast biti dvostruko veći od IT tržišta.

IDC je izračunao da će globalna prodaja opreme, softvera i usluga za sajber zaštitu u 2016. godini dostići oko 73,7 milijardi dolara, a 2020. će ta cifra premašiti 100 milijardi dolara i iznositi 101,6 milijardi dolara. tehnologija će rasti po prosječnoj stopi od 8,3% godišnje, što je dvostruko više od očekivane stope rasta IT industrije.

Najveći troškovi informacione sigurnosti (8,6 milijardi dolara) na kraju 2016. očekuju se u bankama. Na drugom, trećem i četvrtom mestu po veličini ovakvih investicija biće diskretna proizvodna preduzeća, vladine agencije i preduzeća kontinuirane proizvodnje, koja će činiti oko 37% troškova.

Analitičari daju vodeću ulogu u dinamici povećanja investicija u sigurnost informacija u zdravstvo (očekuje se prosječni godišnji rast od 10,3% u 2016-2020). Troškovi sajber zaštite u telekomunikacijama, stambenom sektoru, vladinim agencijama i na tržištu investicija i vrijednosnih papira će rasti za otprilike 9% godišnje.

Istraživači američko tržište nazivaju najvećim tržištem informacione sigurnosti, čiji će obim dostići 31,5 milijardi dolara u 2016. Prva tri će takođe uključiti Zapadnu Evropu i Azijsko-pacifičku regiju (bez Japana). U kratkoj verziji IDC studije nema informacija o ruskom tržištu.

CEO ruske kompanije Security Monitor, Dmitrij Gvozdev predviđa povećanje udjela usluga u ukupnoj ruskoj potrošnji na sigurnost sa 30-35% na 40-45%, a predviđa i razvoj strukture klijenata na tržištu - od ukupne prevlasti vladinog, finansijskog i energetskog sektora prema srednjim preduzećima iz šireg spektra industrija.

Jedan od trendova treba da bude razvoj udela domaćih softverskih proizvoda u vezi sa pitanjima supstitucije uvoza i spoljnopolitičkom situacijom. Međutim, u kojoj meri će se to odraziti na finansijske pokazatelje u velikoj meri zavisiće od kursa rublje i cenovne politike stranih dobavljača, koji još uvek zauzimaju najmanje polovinu domaćeg tržišta. softverska rješenja i do dvije trećine u segmentu opreme. Konačni godišnji finansijski rezultat čitavog ruskog tržišta informatičkih rješenja može se vezati i za eksterne ekonomske faktore, rekao je Gvozdev u razgovoru za TAdviser.

2015

VELIČINA TRŽIŠTA

FEDERALNA POTROŠNJA

CYBER CRIME

CENA-PO-KRŠA

FINANSIJSKE USLUGE

International

BEZBEDNOSNA ANALITIKA

2013: Tržište EMEA je poraslo na 2,5 milijardi dolara.

Obim tržišta sigurnosne opreme u EMEA regionu (Evropa, Bliski istok i Afrika) porastao je za 2,4% u odnosu na 2012. i iznosio je 2,5 milijardi dolara. Analitičari su multifunkcionalne softverske i hardverske sisteme za zaštitu nazvali najvećim i najbrže rastućim segmentom tržišta u razmatranju. kompjuterske mreže– UTM rješenja (Ujedinjeno upravljanje prijetnjama). Istovremeno, IDC je predvidio da tržište tehnička sredstva informaciona sigurnost će dostići 4,2 milijarde dolara u vrijednosti do 2018. godine sa prosječnim godišnjim rastom od 5,4%.

Krajem 2013. godine, vodeću poziciju među dobavljačima po prihodu od prodaje opreme za informatičku sigurnost u EMEA regiji zauzeo je Check Point. Prema IDC-u, prihod dobavljača u ovom segmentu za 2013. porastao je za 3,8% i iznosio je 374,64 miliona dolara, što odgovara tržišnom udjelu od 19,3%.

2012: Prognoza PAC: Tržište informacione sigurnosti će rasti za 8% godišnje

Globalno tržište informacione sigurnosti će rasti za 8% godišnje do 2016. godine, kada bi moglo dostići 36 milijardi eura, navodi se u studiji.

Postoje dva glavna pristupa opravdavanju troškova informacione sigurnosti.

Naučni pristup. Da biste to učinili, potrebno je uključiti menadžment kompanije (ili njenog vlasnika) u procjenu troškova informacionih resursa i utvrđivanje procjene potencijalne štete od kršenja u oblasti informacione sigurnosti.

1. Ako je cijena informacija niska, nema značajnih prijetnji informatičkoj imovini kompanije, a potencijalna šteta je minimalna, osiguravanje sigurnosti informacija zahtijeva manje sredstava.

2. Ako informacija ima određenu vrijednost, prijetnje i potencijalne štete su značajne i definisane, onda se postavlja pitanje uključivanja troškova za podsistem informacione sigurnosti u budžet. U ovom slučaju potrebno je izgraditi korporativni sistem zaštita informacija.

Praktičan pristup sastoji se u određivanju realne troškovne opcije za korporativni sistem informacione bezbednosti zasnovan na sličnim sistemima u drugim oblastima. Praktičari u oblasti informacione sigurnosti smatraju da bi trošak sistema informacione sigurnosti trebao biti otprilike 10-20% cijene korporativnog informacioni sistem, u zavisnosti od specifičnih zahteva za režim informacione bezbednosti.

Opšteprihvaćeni zahtevi za obezbeđivanje režima bezbednosti informacija „najbolje prakse” (na osnovu praktičnog iskustva), formalizovani u nizu standarda, na primer ISO 17799, primenjuju se u praksi prilikom razvoja specifičnih metoda za procenu efikasnosti sistema bezbednosti informacija.

Upotreba savremenih metoda za procjenu troškova informacione sigurnosti omogućava izračunavanje cjelokupnog potrošnog dijela informacijske imovine organizacije, uključujući direktne i indirektne troškove hardvera i softver, organizacione događaje, obuku i stručno usavršavanje zaposlenih, reorganizaciju, restrukturiranje poslovanja itd.

Oni su neophodni za dokaz ekonomska efikasnost postojeće sisteme korporativne zaštite i omogućavaju rukovodiocima službi informacione bezbednosti da opravdaju budžet za informacionu bezbednost, kao i da dokažu efikasnost rada zaposlenih u relevantnoj službi. Metode procjene troškova koje koriste strane kompanije omogućavaju:

Dobiti adekvatne informacije o nivou bezbednosti distribuiranog računarskog okruženja i ukupnim troškovima vlasništva nad korporativnim sistemom informacione bezbednosti.

Uporedite odeljenja za bezbednost informacija u organizaciji i među njima i sa sličnim odeljenjima drugih organizacija u industriji.

Optimizirajte ulaganja u informacijsku sigurnost organizacije.

Jedna od najpoznatijih metoda za procjenu troškova u vezi sa sistemom sigurnosti informacija je metoda ukupni trošak vlasništva (TCO) kompanija Gartner Group Pod indikatorom TCO-a podrazumijeva se zbir direktnih i indirektnih troškova za organizaciju (reorganizaciju), rad i održavanje korporativnog sistema informacione sigurnosti tokom godine. Koristi se u gotovo svim glavnim fazama životni ciklus korporativni sistem informacione bezbednosti i omogućava objektivno i nezavisno opravdanje ekonomske opravdanosti uvođenja i korišćenja specifičnih organizaciono-tehničkih mera i sredstava informacione bezbednosti. Za objektivnost odluke potrebno je dodatno uzeti u obzir i stanje eksternog i internog okruženja preduzeća, na primjer, pokazatelje tehnološkog, kadrovskog i finansijskog razvoja preduzeća.

Poređenje određenog TCO indikatora sa sličnim TCO indikatorima u industriji (sa sličnim kompanijama) omogućava vam da objektivno i nezavisno opravdate troškove organizacije za sigurnost informacija. Uostalom, često se pokaže da je prilično teško ili čak praktično nemoguće procijeniti direktan ekonomski učinak ovih troškova.

Ukupni trošak vlasništva za sistem sigurnosti informacija općenito se sastoji od troškova:

Dizajnerski radovi,

Kupovina i konfiguracija softverskih i hardverskih alata za zaštitu, uključujući sljedeće glavne grupe: zaštitni zidovi, alati za kriptografiju, antivirusi i AAA (alati za autentifikaciju, autorizaciju i administraciju),

Troškovi osiguranja fizičke sigurnosti,

obuka kadrova,

Upravljanje sistemom i podrška (bezbednosna administracija),

Revizija informacione bezbednosti, - periodična modernizacija sistema informacione bezbednosti.

Direktni troškovi uključuju i komponente kapitalnih troškova (povezane sa stalnim sredstvima ili "imovinom") i troškove rada, koji su uključeni u kategorije operacija i administrativnog upravljanja. Ovo takođe uključuje troškove za usluge udaljenih korisnika, itd., povezane sa podrškom aktivnostima organizacije.

Zauzvrat, indirektni troškovi odražavaju uticaj korporativnog informacionog sistema i podsistema informacione bezbednosti na zaposlene u organizaciji kroz takve merljive indikatore kao što su zastoji i zamrzavanja korporativnog informacionog sistema i informacionog sistema u celini, operativni troškovi i troškovi podrške (ne vezano za direktne troškove). Vrlo često indirektni troškovi igraju značajnu ulogu, jer se obično u početku ne odražavaju u budžetu za sigurnost informacija, ali se kasnije otkrivaju u analizi troškova.

Izračunavanje indikatora TCO organizacije vrši se u sljedećim područjima.

Komponente korporativnog informacionog sistema(uključujući sistem informacione bezbednosti) i informacione aktivnosti organizacije (serveri, klijentski računari, periferni uređaji, mrežni uređaji).

Troškovi hardvera i softvera za sigurnost informacija: potrošni materijal i amortizacija ne koštaju ni servere, ni klijentske računare (desktop i mobilnih računara), periferne uređaje i mrežne komponente.

Troškovi organizacije informacione sigurnosti: održavanje sistema informacione bezbednosti, standardnih sredstava zaštite perifernih uređaja, servera, mrežni uređaji, planiranje i upravljanje procesima sigurnosti informacija, razvoj sigurnosnih koncepata i politika i dr.

Troškovi rada informacionog sistema teme: direktni troškovi održavanja osoblja, troškovi rada i vanjskih izvršitelja organizacije kao cjeline ili usluge za implementaciju tehnička podrška i operacije održavanja infrastrukture za korisnike.

Administrativni troškovi: direktni troškovi osoblja, operativna podrška i troškovi internih/eksternih dobavljača (prodavaca) za podršku operacijama, uključujući upravljanje, finansiranje, nabavku i obuku informacionih sistema.

Transakcioni troškovi krajnjeg korisnika: Troškovi samopodrške krajnjeg korisnika, formalna obuka krajnjeg korisnika, povremena (neformalna) obuka, uradi sam razvoj aplikacija, podrška lokalnom sistemu datoteka.

Troškovi zastoja: Godišnji gubici produktivnosti krajnjih korisnika zbog planiranih i neplaniranih ispada mrežnih resursa, uključujući klijentske računare, zajedničke servere, štampače, aplikativne programe, komunikacione resurse i komunikacioni softver.

Kako opravdati troškove informacione sigurnosti?

Preštampano uz ljubaznu dozvolu OJSC InfoTex Internet Trust
Izvorni tekst se nalazi Evo.

Nivoi zrelosti kompanije

Gartner grupa identifikuje 4 nivoa zrelosti kompanije u smislu informacione sigurnosti (IS):

• nivo 0:
• Niko se ne bavi informacionom bezbednošću u kompaniji, menadžment kompanije ne shvata značaj problema bezbednosti informacija;
• Nema finansiranja;
• IS se implementira redovnim sredstvima operativni sistemi, DBMS i aplikacije (zaštita lozinkom, kontrola pristupa resursima i servisima).
• Nivo 1:
• Informacionu sigurnost menadžment smatra čisto „tehničkim“ problemom, ne postoji jedinstveni program (koncept, politika) za razvoj sistema informacione sigurnosti kompanije (ISMS);
• Finansiranje se obezbjeđuje u okviru ukupnog IT budžeta;
• Informaciona sigurnost se implementira nultim nivoom + sredstva Rezervna kopija, antivirusni alati, firewall, VPN organizacioni alati (tradicionalni sigurnosni alati).
• Nivo 2:
• Informacionu sigurnost menadžment posmatra kao kompleks organizacionih i tehničkih mjera, postoji razumijevanje značaja informacione sigurnosti za proizvodne procese, postoji program razvoja ISMS-a kompanije odobren od strane menadžmenta;
• Informacionu sigurnost implementiraju alati prvog nivoa + poboljšani alati za autentifikaciju, alati za analizu e-mail poruka i web sadržaja, IDS (sistemi za otkrivanje upada), alati za sigurnosnu analizu, SSO (jednostruki alati za autentifikaciju), PKI (infrastruktura) javni ključevi) i organizacione mjere (interna i eksterna revizija, analiza rizika, politika sigurnosti informacija, propisi, procedure, propisi i smjernice).
• Nivo 3:
• Sigurnost informacija je dio korporativne kulture, imenovan je CISA (viši službenik za sigurnost informacija);
• Finansiranje se obezbjeđuje u okviru posebnog budžeta;
• Informaciona sigurnost se implementira putem drugog nivoa + sistema upravljanja bezbednošću informacija, CSIRT (tim za reagovanje na incidente u oblasti bezbednosti informacija), SLA (ugovor o nivou usluge).

Prema Gartner Grupi (podaci za 2001. godinu), procenat kompanija u odnosu na opisana 4 nivoa je sledeći:
Nivo 0 - 30%,
Nivo 1 - 55%,
Nivo 2 - 10%,
Nivo 3 - 5%.

Prognoza Gartner grupe za 2005. je sljedeća:
Nivo 0 - 20%,
Nivo 1 - 35%,
Nivo 2 - 30%,
Nivo 3 - 15%.

Statistike pokazuju da je većina kompanija (55%) trenutno implementirala minimalno potreban set tradicionalna tehnička sredstva zaštite (nivo 1).

Prilikom implementacije različitih tehnologija i sigurnosnih mjera često se postavljaju pitanja. Šta prvo implementirati, sistem za otkrivanje upada ili PKI infrastrukturu? Šta će biti efikasnije? Stephen Ross, direktor Deloitte&Touchea, predlaže sljedeći pristup za procjenu efikasnosti pojedinačnih mjera i alata za sigurnost informacija.

Na osnovu gornjeg grafikona može se uočiti da su najskuplji i najmanje efikasni specijalizovani alati (u kući ili po meri).

Najskuplji, ali ujedno i najefikasniji su zaštitni proizvodi kategorije 4 (nivoi 2 i 3 prema Gartner Grupi). Za implementaciju alata u ovoj kategoriji potrebno je koristiti proceduru analize rizika. Analiza rizika u ovom slučaju će osigurati da troškovi implementacije budu adekvatni postojećim prijetnjama kršenja sigurnosti informacija.

Najjeftinije, ali sa visokim stepenom efikasnosti, uključuju organizacione mere (interna i eksterna revizija, analiza rizika, politika bezbednosti informacija, plan kontinuiteta poslovanja, propisi, procedure, propisi i priručnici).

Uvođenje dodatnih sredstava zaštite (prelazak na nivo 2 i 3) zahtijeva značajna finansijska ulaganja i, shodno tome, opravdanost. Nepostojanje jedinstvenog programa razvoja ISMS odobrenog i potpisanog od strane menadžmenta pogoršava problem opravdanosti ulaganja u sigurnost.

Analiza rizika

Takvo opravdanje mogu biti rezultati analize rizika i akumuliranih statistika o incidentima.Mehanizme za sprovođenje analize rizika i prikupljanja statistike treba navesti u politici informacione bezbednosti kompanije.

Proces analize rizika sastoji se od 6 uzastopnih faza:

1. Identifikacija i klasifikacija zaštićenih objekata (resursi preduzeća koji se štite);

3. Izgradnja modela napadača;

4. Identifikacija, klasifikacija i analiza prijetnji i ranjivosti;

5. Procjena rizika;

6. Izbor organizacionih mjera i tehničkih sredstava zaštite.

Na pozornici identifikacija i klasifikacija objekata zaštite Potrebno je izvršiti popis resursa kompanije u sljedećim oblastima:

• Informacijski resursi (povjerljive i kritične informacije o kompaniji);
• Softverski resursi (OS, DBMS, kritične aplikacije, kao što je ERP);
• Fizički resursi (serveri, radne stanice, mreža i telekomunikacijska oprema);
• Resursi usluge (e-mail, www, itd.).

Kategorizacija je određivanje nivoa povjerljivosti i kritičnosti resursa. Povjerljivost se odnosi na nivo tajnosti informacija koje resurs čuva, obrađuje i prenosi. Kritičnost se odnosi na stepen uticaja nekog resursa na efikasnost proizvodnih procesa kompanije (na primer, u slučaju zastoja telekomunikacionih resursa, kompanija provajder može bankrotirati). Dodjeljujući određene kvalitativne vrijednosti parametrima povjerljivosti i kritičnosti, možete odrediti nivo značaja svakog resursa u smislu njegovog učešća u proizvodnim procesima kompanije.

Da biste utvrdili važnost resursa kompanije sa stanovišta sigurnosti informacija, možete dobiti sljedeću tabelu:

Na primjer, fajlovi sa informacijama o nivoima plata zaposlenih u kompaniji imaju vrijednost „strogo povjerljivo“ (parametar povjerljivosti) i vrijednost „nevažno“ (parametar kritičnosti). Zamjenom ovih vrijednosti u tablicu možete dobiti integralni pokazatelj značaja ovog resursa. Različite opcije za metode kategorizacije date su u međunarodnom standardu ISO TR 13335.

Izgradnja modela napadača je proces klasifikacije potencijalnih prekršitelja prema sljedećim parametrima:

• Vrsta napadača (konkurent, klijent, programer, zaposleni u kompaniji, itd.);
• Položaj napadača u odnosu na objekte zaštite (unutrašnji, eksterni);
• Nivo znanja o zaštićenim objektima i životnoj sredini (visok, srednji, nizak);
• Nivo mogućnosti pristupa zaštićenim objektima (maksimalni, prosječni, minimalni);
• Trajanje djelovanja (konstantno, u određenim vremenskim intervalima);
• Lokacija akcije (očekivana lokacija napadača tokom napada).

Dodeljivanjem kvalitativnih vrednosti navedenim parametrima napadačevog modela, može se utvrditi potencijal napadača (integralna karakteristika napadačevih sposobnosti da implementira pretnje).

Identifikacija, klasifikacija i analiza prijetnji i ranjivosti omogućavaju vam da odredite načine za implementaciju napada na zaštićene objekte. Ranjivosti su svojstva resursa ili njegovog okruženja koje napadač koristi za implementaciju prijetnji. Spisak ranjivosti softverskih resursa može se naći na Internetu.

Prijetnje se klasificiraju prema sljedećim kriterijima:

• naziv prijetnje;
• vrsta napadača;
• sredstva implementacije;
• iskorišćene ranjivosti;
• preduzete radnje;
• učestalost implementacije.

Glavni parametar je učestalost implementacije prijetnji. Zavisi od vrijednosti parametara "potencijala napadača" i "sigurnosti resursa". Vrijednost parametra “sigurnost resursa” utvrđuje se kroz stručne procjene. Prilikom određivanja vrijednosti parametra uzimaju se u obzir subjektivni parametri napadača: motivacija za implementaciju prijetnje i statistika pokušaja implementacije prijetnje ovog tipa(ako je dostupno). Rezultat faze analize prijetnji i ranjivosti je procjena parametra „učestalosti implementacije“ za svaku prijetnju.

Na pozornici procjene rizika potencijalna šteta od prijetnji kršenja sigurnosti informacija utvrđuje se za svaki resurs ili grupu resursa.

Kvalitativni pokazatelj oštećenja ovisi o dva parametra:

• Značaj resursa;
• Učestalost implementacije prijetnji na ovom resursu.

Na osnovu dobijenih procjena štete, razumno se biraju adekvatne organizacione mjere i tehnička sredstva zaštite.

Akumulacija statistike o incidentima

Jedina slaba tačka u predloženoj metodologiji za procjenu rizika i, shodno tome, opravdavanje potrebe za uvođenjem novih ili promjenom postojećih tehnologija zaštite je određivanje parametra „učestalost pojave prijetnji“. Jedini način da se dobiju objektivne vrijednosti ovog parametra je akumuliranje statistike o incidentima. Akumulirana statistika, na primjer, za godinu dana će vam omogućiti da odredite broj implementacija prijetnji (određenog tipa) po resursu (određenog tipa). Preporučljivo je raditi na prikupljanju statističkih podataka kao dio procedure obrade incidenata.

Svrha studije: analizirati i odrediti glavne trendove na ruskom tržištu informacione sigurnosti
Korišćeni su podaci Rosstata (obrasci statističkog izveštavanja br. 3-Inform, P-3, P-4), finansijski izveštaji preduzeća itd.

Korištenje informacionih i komunikacijskih tehnologija i alata za sigurnost informacija od strane organizacija

• Za pripremu ovog odjeljka korišteni su agregirani, geografski odvojeni odjeli i predstavništva (Obrazac 3-Inform „Informacije o upotrebi informaciono-komunikacionih tehnologija i proizvodnji kompjuterska tehnologija, softver i pružanje usluga u ovim oblastima".

Analiziran je period 2012-2016. Podaci ne tvrde da su potpuni (budući da su prikupljeni prema ograničen krug preduzeća), ali se, po našem mišljenju, može koristiti za procjenu trendova. Broj anketiranih preduzeća za posmatrani period kretao se od 200 do 210 hiljada. Odnosno, uzorak je prilično stabilan i uključuje najvjerovatnije potrošače (velika i srednja preduzeća), koji čine najveći dio prodaje.

Dostupnost personalnih računara u organizacijama

Prema obrascu za statističko izveštavanje 3-Inform, 2016. godine bilo je oko 12,4 miliona jedinica u ruskim organizacijama koje su davale informacije na ovom obrascu personalni računari(PC). U ovom slučaju, PC znači desktop i laptop računare; ovaj koncept ne uključuje mobilni Mobiteli i džepni personalni računari.

U proteklih 5 godina, broj PC jedinica u organizacijama u Rusiji u cjelini porastao je za 14,9%. Najbolje opremljen federalni okrug je Centralni federalni okrug, koji čini 30,2% računara u kompanijama. Neosporno vodeća regija po ovom pokazatelju je grad Moskva; prema podacima za 2016. godinu, moskovske kompanije imaju oko 1,8 miliona računara. Najniža vrijednost indikatora zabilježena je u Sjeverno-kavkaskom federalnom okrugu; organizacije u okrugu imaju samo oko 300 hiljada PC jedinica, najmanji broj je u Republici Ingušetiji - 5,45 hiljada jedinica.

Rice. 1. Broj personalnih računara u organizacijama, Rusija, milion jedinica.

Troškovi organizacije informacionih i komunikacionih tehnologija

U periodu 2014-2015. Zbog nepovoljne ekonomske situacije, ruske kompanije su bile prinuđene da minimiziraju svoje troškove, uključujući troškove informacija i komunikacijske tehnologije. U 2014. godini smanjenje troškova u ICT sektoru iznosilo je 5,7%, ali je na kraju 2015. godine zabilježen blagi pozitivan trend. U 2016. potrošnja ruskih kompanija na informacione i komunikacione tehnologije iznosila je 1,25 biliona. rub., što je za 0,3% više nego prije krize 2013. godine.

Najveći dio troškova pada na kompanije koje se nalaze u Moskvi - preko 590 milijardi rubalja, ili 47,2% od ukupnog broja. Najveći obim troškova organizacija za informacione i komunikacione tehnologije u 2016. godini zabilježen je u: Moskovskoj regiji - 76,6 milijardi rubalja, Sankt Peterburgu - 74,4 milijarde rubalja, Tjumenskoj regiji - 56,0 milijardi rubalja, Republici Tatarstan - 24,7 milijardi rubalja, Nižnjem Novgorodu region – 21,4 milijarde rubalja. Najniži troškovi zabilježeni su u Republici Ingušetiji – 220,3 miliona rubalja.

Rice. 2. Iznos troškova kompanija za informacione i komunikacione tehnologije, Rusija, milijarde rubalja.

Upotreba alata za sigurnost informacija od strane organizacija

IN U poslednje vreme Može se primijetiti značajan porast broja kompanija koje koriste alate za zaštitu informacione sigurnosti. Godišnja stopa rasta njihovog broja je prilično stabilna (sa izuzetkom 2014. godine), i iznosi oko 11-19% godišnje.

Prema zvaničnim podacima Rosstata, Najpopularnija sredstva zaštite trenutno su tehnička sredstva autentifikacije korisnika (tokeni, USB ključevi, pametne kartice). Od više od 157 hiljada kompanija, 127 hiljada kompanija (81%) je navelo upotrebu ovih alata kao zaštitu informacija.

Rice. 3. Distribucija organizacija korištenjem sredstava za osiguranje informacione sigurnosti u 2016. godini, Rusija, %.

Prema zvaničnoj statistici, u 2016. godini 161.421 kompanija koristila je globalni internet u komercijalne svrhe. Među organizacijama koje koriste internet u komercijalne svrhe i koje su ukazale na korištenje mjera sigurnosti informacija, najpopularniji je elektronski digitalni potpis. Ovaj alat Preko 146 hiljada preduzeća, ili 91% od ukupnog broja, naznačeno je kao sredstvo zaštite. Prema korištenju alata za sigurnost informacija, kompanije su raspoređene na sljedeći način:

• • Elektronska sredstva digitalni potpis– 146.887 preduzeća;
  • Redovno ažurirano antivirusni programi– 143.095 preduzeća;
  • Softver ili hardver koji sprječava neovlašteni pristup malware iz globalnih informacija ili lokalnih kompjuterske mreže(Firewall) – 101.373 kompanije;
  • Spam filter – 86.292 preduzeća;
  • Alati za šifrovanje – 86.074 preduzeća;
  • Sistemi za detekciju kompjuterskih ili mrežnih upada – 66.745 kompanija;
  • Softverski alati za automatizaciju procesa analize i kontrole sigurnosti kompjuterski sistemi– 54.409 preduzeća.

Rice. 4. Distribucija kompanija koje koriste internet u komercijalne svrhe, putem zaštite informacija koje se prenose preko globalnih mreža, u 2016. godini, Rusija, %.

U periodu 2012-2016, broj kompanija koje koriste internet u komercijalne svrhe porastao je za 34,9%. U 2016. godini 155.028 kompanija koristilo je internet za komunikaciju sa dobavljačima, a 110.421 kompanija koristilo je internet za komunikaciju sa potrošačima. Od kompanija koje koriste internet za komunikaciju sa dobavljačima, svrha upotrebe je naznačena:

• dobijanje informacija o potrebnim robama (radovima, uslugama) i njihovim dobavljačima - 138.224 preduzeća;
• pružanje informacija o potrebama organizacije za robom (radovima, uslugama) – 103.977 preduzeća;
• davanje narudžbi za robu (rad, usluge) neophodne za organizaciju (isključujući narudžbe poslane putem e-mail) – 95.207 preduzeća;
• plaćanje isporučenih dobara (radova, usluga) – 89.279;
• prijem elektronskih proizvoda – 62.940 preduzeća.

Od ukupnog broja kompanija koje koriste internet za komunikaciju sa potrošačima, svrha korištenja je naznačena:

• pružanje informacija o organizaciji, njenim proizvodima (radovima, uslugama) - 101.059 preduzeća;
• (radovi, usluge) (bez narudžbi poslanih e-mailom) – 44.193 preduzeća;
• implementacija elektronskog plaćanja sa potrošačima – 51.210 preduzeća;
• distribucija elektronskih proizvoda – 12.566 preduzeća;
• postprodajni servis (servis) – 13.580 kompanija.

Obim i dinamika budžeta saveznih organa izvršne vlasti za informacione tehnologije u 2016-2017.

Prema podacima Federalnog trezora, ukupan obim limita budžetskih obaveza za 2017. godinu, dostavljen federalnim organima izvršne vlasti (u daljem tekstu: savezni organ izvršne vlasti) prema šifri vrste rashoda 242 „Nabavka roba, radova, usluga iz oblasti informaciono-komunikacionih tehnologija” u pogledu informacija koje ne predstavljaju državnu tajnu, sa 1. avgustom 2017. iznosio je 115,2 milijarde rubalja, što je približno 5,1% više od ukupnog budžeta za informacione tehnologije saveznih izvršnih organa vlasti u 2016. (109,6 milijardi rubalja, prema Ministarstvu telekomunikacija i masovnih komunikacija). Dakle, dok ukupan obim IT budžeta federalnih resora nastavlja da raste iz godine u godinu, stopa rasta je smanjena (u 2016. ukupan obim IT budžeta povećan je za 8,3% u odnosu na 2015. godinu). Gde Postoji rastuća stratifikacija između „bogatih“ i „siromašnih“ u smislu troškova odeljenja za informacione i komunikacione tehnologije. Neosporni lider ne samo po veličini budžeta, već i po dostignućima u IT oblasti je Federalna poreska služba. Njegov ICT budžet ove godine iznosi više od 17,6 milijardi rubalja, što je više od 15% budžeta svih federalnih izvršnih vlasti. Ukupan udio prvih pet (Federalna porezna služba, Penzijski fond Ruske Federacije, Trezor, Ministarstvo unutrašnjih poslova, Ministarstvo telekomunikacija i masovnih komunikacija) je više od 53%.

Rice. 5. Struktura rashoda budžeta za nabavku roba, radova i usluga iz oblasti informaciono-komunikacionih tehnologija od strane saveznih organa izvršne vlasti u 2017. godini, %

Zakonska regulativa u oblasti nabavke softvera za državne i opštinske potrebe

Od 1. januara 2016. godine svi državni i opštinski organi, državne korporacije Rosatom i Roskosmos, organi upravljanja državnim vanbudžetskim fondovima, kao i državne i budžetske institucije koje sprovode nabavke u skladu sa zahtevima Federalnog zakona od 5. aprila 2013. br. 44 -FZ „O sistemu ugovora u oblasti nabavke roba, radova, usluga za zadovoljavanje državnih i opštinskih potreba“, dužni su da poštuju zabranu prijema softvera porijeklom iz stranih zemalja u svrhu nabavke. za zadovoljavanje državnih i opštinskih potreba. Zabrana je uvedena Uredbom Vlade Ruske Federacije od 16. novembra 2015. godine broj 1236 „O utvrđivanju zabrane prijema softvera porijeklom iz stranih zemalja u svrhu nabavke za potrebe državnih i općinskih potreba“. Prilikom kupovine softvera, gore navedeni kupci moraju direktno naznačiti zabranu kupovine uvezenog softvera u obavijesti o kupovini. Zabrana se odnosi na kupovinu softvera za elektroniku kompjuteri i baze podataka implementirane bez obzira na vrstu ugovora na materijalnom mediju i (ili) u u elektronskom formatu putem komunikacijskih kanala, kao i ekskluzivna prava na takav softver i prava na korištenje takvog softvera.

Postoji nekoliko izuzetaka kada je kupovina uvezenog softvera dozvoljena kupcima.

• nabavku softvera i (ili) prava na njega od strane diplomatskih misija i konzularnih predstavništava Ruska Federacija, trgovinska predstavništva Ruske Federacije pri međunarodnim organizacijama za osiguranje njihovog djelovanja na teritoriji strane države;
• nabavka softvera i (ili) prava na njega, podaci o kojima i (ili) kupovina predstavljaju državnu tajnu.

U svim ostalim slučajevima, od kupca će se tražiti da radi sa jednim registrom prije kupovine softvera Ruski programi za elektronske računare i baze podataka i klasifikator programa za elektronske računare i baze podataka.
Formiranje i održavanje registra kao ovlašćenog federalnog organa izvršne vlasti vrši Ministarstvo telekomunikacija i masovnih komunikacija Rusije.
Do kraja avgusta 2017. godine, registar je uključivao 343 softverska proizvoda koji pripadaju klasi „informacionih bezbednosnih alata“ iz 98 ruskih razvojnih kompanija. Među njima su softverski proizvodi velikih ruskih programera kao što su:

• OJSC “Informacione tehnologije i komunikacioni sistemi” (“InfoTeKS”) – 37 softverskih proizvoda;
• JSC Kaspersky Lab - 25 softverskih proizvoda;
• Security Code LLC - 19 softverskih proizvoda;
• Crypto-Pro doo - 18 softverskih proizvoda;
• Doctor WEB doo - 12 softverskih proizvoda;
• S-Terra CSP doo - 12 softverskih proizvoda;
• CJSC "Aladdin R.D." — 8 softverskih proizvoda;
• AD "Infowatch" - 6 softverskih proizvoda.

Analiza aktivnosti najvećih igrača u oblasti informacione sigurnosti

• Kao osnovni podatak za analizu aktivnosti najvećih igrača na tržištu informacione sigurnosti za pripremu ovu studiju Korišćene su informacije o javnim nabavkama u oblasti informaciono-komunikacionih delatnosti, a posebno informacione bezbednosti.

Za analizu trendova odabrali smo 18 kompanija koje su među liderima na tržištu informacione sigurnosti i aktivno su uključene u državne nabavke. Na listi se nalaze kako direktni programeri softvera i hardvera i softverskih sigurnosnih sistema, tako i najveći sistemski integratori. Ukupni prihod ovih kompanija u 2016. iznosio je 162,3 milijarde rubalja, što je za 8,7% više u odnosu na 2015. godinu.
Ispod je lista kompanija odabranih za studiju.

Table 1. Kompanije odabrane za istraživanje

№	Ime	TIN	Vrsta aktivnosti (OKVED 2014)
1	"I-Teco" dd	7736227885	Djelatnosti vezane za korištenje računarske tehnologije i informacione tehnologije, ostalo (62.09)
2	Croc Incorporated, JSC	7701004101
3	"Informzashita", CJSC NIP	7702148410	Istraživanje i razvoj u oblasti društvenih i humanističkih nauka (72.20)
4	"Softline Trade" dd	7736227885
5	"Technoserv AS", doo	7722286471	Trgovina na veliko ostalim mašinama i opremom (46.69)
6	"Elvis-plus" dd	7735003794
7	"Asteros" dd	7721163646	trgovina na veliko kompjuterima, perifernih uređaja na računare i softver (46.51
8	"Aquarius Production Company", doo	7701256405
9	Lanit, CJSC	7727004113	Trgovina na veliko ostalim kancelarijskim mašinama i opremom (46.66)
10	Jet Infosystems, dd	7729058675	Trgovina na veliko računarima, perifernim uređajima za računare i softverom (46.51)
11	"Dialognauka" dd	7701102564	Razvoj kompjuterskog softvera (62.01)
12	"Faktor-TS" doo	7716032944	Proizvodnja računara i periferne opreme (26.20)
13	"InfoTeKS" dd	7710013769	Razvoj kompjuterskog softvera (62.01)
14	"Uralski centar za sigurnosne sisteme", LLC	6672235068	Djelatnosti u oblasti arhitekture, inženjeringa i tehničkog savjetovanja u ovim oblastima (71.1)
15	"ICL-KPO VS" dd	1660014361	Razvoj kompjuterskog softvera (62.01)
16	NVision Group, JSC	7703282175	Nespecijalizovana trgovina na veliko (46.90)
17	"Confidential-Integration", LLC	7811512250	Aktivnosti obrade podataka, pružanje usluga hostinga i povezane aktivnosti (63.11)
18	"Kaluga Astral", JSC	4029017981	Savjetodavne djelatnosti i rad u oblasti računarske tehnologije (62.02

Do kraja oktobra 2017. godine, kompanije iz predstavljenog uzorka sklopile su 1.034 ugovora sa državnim agencijama u iznosu od 24,6 milijardi rubalja. Vodeći u ovu listu po obimu zaključenih ugovora, kompanija I-Teco ima 74 ugovora u vrijednosti od 7,5 milijardi rubalja.
Proteklih godina, sa izuzetkom krizne 2014. godine, primjećuje se konstantan porast ukupnog obima ugovora za odabrane kompanije. Najznačajnija dinamika dogodila se u periodu 2015-2016. Tako je u 2015. godini došlo do povećanja obima ugovora za više od 3,5 puta, u 2016. godini - za 1,5 puta. Prema dostupnim podacima o ugovornim aktivnostima kompanija za period januar-oktobar 2017. godine, može se pretpostaviti da će u 2017. ukupan obim ugovora sa državnim agencijama biti oko 37-38 milijardi rubalja, odnosno smanjenje od oko 40 % očekuje se.

Kao što je već napomenuto, sigurnost preduzeća osigurava se nizom mjera u svim fazama njegovog životnog ciklusa, njegovog informacionog sistema i općenito se sastoji od troškova:

• - projektantski radovi;
• - nabavka i konfiguracija softverskih i hardverskih alata za zaštitu;
• - troškovi obezbjeđenja fizičke sigurnosti;
• - obuka kadrova;
• - upravljanje sistemom i podrška;
• - revizija sigurnosti informacija;
• - periodična modernizacija sistema informacione bezbednosti i dr.

Indikator troškova ekonomske efikasnosti integrisanog sistema informacione bezbednosti biće zbir direktnih i indirektnih troškova za organizovanje, rad i održavanje sistema informacione bezbednosti tokom cele godine.

Može se smatrati ključnim kvantitativnim pokazateljem efikasnosti organizacije informacione bezbednosti u preduzeću, jer će omogućiti ne samo procenu ukupnih troškova zaštite, već i upravljanje ovim troškovima kako bi se postigao potreban nivo bezbednosti preduzeća. Međutim, direktni troškovi uključuju i komponente kapitalnih troškova i troškove rada, koji su uključeni u kategorije operacija i administrativnog upravljanja. Ovo takođe uključuje troškove za usluge udaljenih korisnika, itd., povezane sa podrškom aktivnostima organizacije.

Indirektni troškovi, zauzvrat, odražavaju uticaj integrisanog sistema bezbednosti i podsistema informacione bezbednosti na zaposlene kroz merljive indikatore kao što su zastoji i zamrzavanja korporativnog sistema informacione bezbednosti i integrisanog bezbednosnog sistema u celini, operativni troškovi i troškovi podrške.

Vrlo često indirektni troškovi igraju značajnu ulogu, jer se obično u početku ne odražavaju u budžetu za sveobuhvatni sigurnosni sistem, već se eksplicitno otkrivaju tokom analize troškova kasnije, što u konačnici dovodi do povećanja „skrivenih“ troškova kompanije. Hajde da razmotrimo kako možete odrediti direktne i indirektne troškove sveobuhvatnog sigurnosnog sistema. Pretpostavimo da menadžment preduzeća radi na implementaciji sveobuhvatnog sistema bezbednosti informacija u preduzeću. Već su identifikovani objekti i ciljevi zaštite, prijetnje informacionoj sigurnosti i mjere za njihovo suzbijanje, nabavljena su i instalirana neophodna sredstva za zaštitu informacija.

Tipično, troškovi informacione sigurnosti spadaju u sljedeće kategorije:

• - troškovi formiranja i održavanja veze upravljanja sistemom bezbednosti informacija;
• - troškovi kontrole, odnosno utvrđivanja i potvrđivanja dostignutog nivoa sigurnosti resursa preduzeća;
• - interni troškovi za otklanjanje posledica narušavanja informacione bezbednosti - troškovi organizacije usled nepostizanja zahtevanog nivoa bezbednosti;
• - eksterni troškovi za otklanjanje posljedica narušavanja informacione sigurnosti - naknada za gubitke zbog kršenja sigurnosne politike u slučajevima koji se odnose na curenje informacija, gubitak imidža kompanije, gubitak povjerenja partnera i potrošača itd.;
• - troškovi održavanja sistema informacione bezbednosti i mere za sprečavanje kršenja bezbednosne politike preduzeća.

U ovom slučaju obično se razlikuju jednokratni i sistematski troškovi.

Jednokratni troškovi za stvaranje sigurnosti preduzeća: organizacioni troškovi i troškovi nabavke i ugradnje zaštitne opreme.

Sistematski, operativni i troškovi održavanja. Klasifikacija troškova je uslovna, budući da su prikupljanje, klasifikacija i analiza troškova za informacionu bezbednost interna delatnost preduzeća, a detaljna izrada liste zavisi od karakteristika određene organizacije.

Glavna stvar pri određivanju troškova sigurnosnog sistema je međusobno razumijevanje i dogovor o stavkama troškova unutar preduzeća.

Pored toga, kategorije troškova treba da budu konzistentne i ne bi trebale da se dupliraju. Nemoguće je potpuno eliminirati sigurnosne troškove, ali ih je moguće svesti na prihvatljiv nivo.

Neki sigurnosni troškovi su apsolutno neophodni, a neki se mogu značajno smanjiti ili eliminisati. Potonji su oni koji mogu nestati u nedostatku sigurnosnih propusta ili će se smanjiti ako se broj i destruktivni uticaj kršenja smanji.

Održavanjem sigurnosti i sprečavanjem kršenja mogu se eliminirati ili značajno smanjiti sljedeći troškovi:

• - obnoviti sigurnosni sistem kako bi se ispunili sigurnosni zahtjevi;
• - obnoviti resurse informacionog okruženja preduzeća;
• - za izmjene u sistemu sigurnosti;
• - za pravne sporove i isplate naknada;
• - da se identifikuju uzroci narušavanja bezbednosti.

Neophodni troškovi su oni koji su neophodni čak i ako je nivo bezbednosnih pretnji prilično nizak. To su troškovi održavanja dostignutog nivoa sigurnosti informacionog okruženja preduzeća.

Neizbježni troškovi mogu uključivati:

• a) održavanje tehničke zaštitne opreme;
• b) upravljanje povjerljivim zapisima;
• c) rad i reviziju sistema sigurnosti;
• d) minimalni nivo inspekcije i kontrole uz uključivanje specijalizovanih organizacija;
• e) obuka osoblja za metode informacione sigurnosti.

Međutim, postoje i drugi troškovi koje je prilično teško odrediti. Među njima:

• a) troškovi sprovođenja dodatnih istraživanja i razvoja nove tržišne strategije;
• b) gubitke zbog smanjenja prioriteta u naučnom istraživanju i nemogućnosti patentiranja i prodaje licenci za naučna i tehnička dostignuća;
• c) troškovi povezani sa otklanjanjem uskih grla u nabavci, proizvodnji i marketingu proizvoda;
• d) gubitke od kompromitacije proizvoda koje proizvodi preduzeće i smanjenje cijena za njih;
• e) pojava poteškoća u nabavci opreme ili tehnologija, uključujući povećanje cijena za njih, ograničavanje obima zaliha.

Navedeni troškovi mogu biti uzrokovani djelovanjem osoblja različitih odjela, na primjer, projektantske, tehnološke, ekonomsko-planske, pravne, ekonomske, marketinške, tarifne politike i cijene.

Budući da zaposleni u svim ovim odjelima vjerovatno neće biti puno radno vrijeme zauzeti pitanjima vanjskih gubitaka, utvrđivanje visine troškova mora se izvršiti uzimajući u obzir stvarno utrošeno vrijeme. Jedan od elemenata eksternih gubitaka ne može se tačno izračunati - to su gubici povezani sa podrivanjima imidža preduzeća, smanjenjem poverenja potrošača u proizvode i usluge preduzeća. Upravo iz tog razloga mnoge korporacije skrivaju činjenicu da je njihova usluga nesigurna. Korporacije se plaše objavljivanja takvih informacija čak više nego što se plaše napada u ovom ili onom obliku.

Međutim, mnoga preduzeća zanemaruju ove troškove na osnovu toga što se ne mogu utvrditi sa bilo kojim stepenom tačnosti – oni su samo nagađani. Troškovi preventivnih mjera. Ove troškove je vjerovatno najteže procijeniti jer se preventivne aktivnosti provode u različitim odjelima i utiču na mnoge službe. Ovi troškovi se mogu pojaviti u svim fazama životnog ciklusa resursa informacionog okruženja preduzeća:

• - planiranje i organizacija;
• - nabavka i puštanje u rad;
• - isporuka i podrška;
• - praćenje procesa koji čine informatičku tehnologiju.

Osim toga, većina troškova u ovoj kategoriji odnosi se na osoblje obezbjeđenja. Troškovi prevencije prvenstveno uključuju plate i režijske troškove. Međutim, tačnost njihovog određivanja umnogome zavisi od tačnosti određivanja vremena provedenog od strane svakog zaposlenog pojedinačno. Neke troškove predostrožnosti je lako direktno identifikovati. Oni mogu posebno uključivati ​​plaćanje za različite radove trećih strana, na primjer:

• - održavanje i konfiguraciju korištenih softverskih i hardverskih alata za zaštitu, operativnih sistema i mrežne opreme;
• - izvođenje inženjersko-tehničkih radova na ugradnji alarmnih sistema, opremanju skladišta povjerljivih dokumenata, zaštiti telefonske linije komunikacije, kompjuterska oprema itd.;
• - dostavljanje povjerljivih informacija;
• - konsultacije;
• - obuke.

Izvori informacija o razmatranim troškovima. Prilikom utvrđivanja troškova pružanja informacione sigurnosti potrebno je imati na umu da:

• - troškovi nabavke i puštanja u rad softvera i hardvera mogu se dobiti analizom faktura, evidencije u skladišnoj dokumentaciji i sl.;
• - isplate osoblju se mogu uzeti iz izjava;
• - obima plaćanja plate treba uzeti u obzir stvarno vrijeme utrošeno na obavljanje poslova radi osiguranja informacione sigurnosti; ako se samo dio vremena zaposlenog troši na aktivnosti za osiguranje informacione sigurnosti, onda je izvodljivost procjene svake od komponenti utroška njegovog vremena ne treba dovoditi u pitanje;
• - klasifikacija troškova obezbeđenja i njihova raspodela po elementima treba da postanu deo svakodnevnog rada u preduzeću.