Investujú do rôznych technológií počítačovej bezpečnosti – od platforiem na vyplácanie bonusov za odhaľovanie slabín v programoch až po diagnostiku a automatizované testovanie programov. Najviac ich však lákajú technológie autentifikácie a správy informácií o identite – do startupov zaoberajúcich sa týmito technológiami sa koncom roka 2019 investovalo približne 900 miliónov dolárov.

Investície do startupov zameraných na školenie v oblasti kybernetickej bezpečnosti dosiahli v roku 2019 418 miliónov dolárov, na čele s KnowBe4, ktorý získal 300 miliónov dolárov, ktorý ponúka platformu na simuláciu phishingových útokov a celý rad školiacich programov.

V roku 2019 dostali spoločnosti zapojené do bezpečnosti internetu vecí približne 412 miliónov dolárov. Lídrom v tejto kategórii z hľadiska objemu investícií je SentinelOne, ktorý v roku 2019 získal 120 miliónov dolárov na vývoj technológií ochrany koncových bodov.

Analytici Metacurity zároveň poskytujú ďalšie údaje charakterizujúce situáciu na trhu rizikového financovania v sektore informačnej bezpečnosti. V roku 2019 tu objem investícií dosiahol 6,57 miliardy USD, čím sa zvýšil z 3,88 miliardy USD v roku 2018. Zvýšil sa aj počet transakcií – zo 133 na 219. Priemerný objem investícií na transakciu zároveň zostal prakticky nezmenený a ku koncu roka 2019 dosiahol podľa výpočtu Metacurity 29,2 mil.

2018

Rast o 9 % na 37 miliárd dolárov – Canalys

V roku 2018 predaj zariadení, softvér a služby určené pre informačnú bezpečnosť (IS) dosiahli 37 miliárd USD, čo predstavuje nárast o 9 % v porovnaní s predchádzajúcim rokom (34 miliárd USD). Takéto údaje zverejnili 28. marca 2019 analytici Canalys.

Napriek tomu, že mnohé spoločnosti uprednostňujú ochranu svojich aktív, údajov, koncových bodov, sietí, zamestnancov a zákazníkov, kybernetická bezpečnosť predstavovala v roku 2018 iba 2 % celkových výdavkov na IT. Objavuje sa však stále viac nových hrozieb, sú čoraz komplexnejšie a častejšie, čo výrobcom riešení informačnej bezpečnosti poskytuje nové možnosti rastu. Očakáva sa, že celkové výdavky na kybernetickú bezpečnosť v roku 2020 presiahnu 42 miliárd USD.

Analytik spoločnosti Canalys Matthew Ball verí, že prechod na nové modely implementácie informačnej bezpečnosti sa urýchli. Zákazníci menia povahu svojich IT rozpočtov využívaním verejných cloudových služieb a flexibilných služieb založených na predplatnom.

Približne 82 % nasadení informačnej bezpečnosti v roku 2018 zahŕňalo použitie tradičného hardvéru a softvéru. Vo zvyšných 18 % prípadov bola využitá virtualizácia, verejné cloudy a služby informačnej bezpečnosti.

Do roku 2020 klesne podiel tradičných modelov nasadzovania systémov informačnej bezpečnosti na 70 %, keďže nové riešenia na trhu získavajú na popularite.

Dodávatelia budú musieť vytvoriť širokú škálu obchodných modelov na podporu tohto prechodu, pretože rôzne produkty sa hodia rôznym spôsobom odlišné typy nasadenia. Hlavnou výzvou pre mnohých je dnes vytvoriť nové modely viac zamerané na pridružené kanály a integrovať ich s existujúcimi pridružené programy, najmä pri zákazníckych transakciách prostredníctvom cloudových platforiem. Niektoré cloudové trhy už na to zareagovali tým, že umožnili partnerom ponúkať prispôsobené ponuky a ceny priamo zákazníkom sledovaním registrácií obchodov a zliav, uviedol Matthew Ball v príspevku z 29. marca 2019.

Podľa analytika Canalys Ketaki Borade zaviedli poprední dodávatelia technológií kybernetickej bezpečnosti nové modely distribúcie produktov, ktoré zahŕňajú spoločnosti, ktoré prechádzajú na model predplatného a zvyšujú operácie v cloudovej infraštruktúre.

Trh s kybernetickou bezpečnosťou zostal vysoko dynamický a zaznamenal rekordnú aktivitu a objem obchodov v reakcii na rastúce regulačné a technické požiadavky, ako aj pokračujúce rozsiahle riziko narušenia údajov, hovorí spoluzakladateľ a riadiaci partner Momentum Cyber ​​​​Eric McAlpine. „Veríme, že táto dynamika bude naďalej posúvať sektor na nové územie, pretože sa snaží riešiť vznikajúce hrozby a konsoliduje sa tvárou v tvár únave dodávateľov a rastúcemu nedostatku zručností.“

2017

Náklady na kybernetickú bezpečnosť presiahli 100 miliárd dolárov

V roku 2017 dosiahli globálne výdavky na informačnú bezpečnosť (IS) – produkty a služby – 101,5 miliardy USD, uviedla výskumná spoločnosť Gartner v polovici augusta 2018. Na konci roka 2017 odborníci odhadli tento trh na 89,13 miliardy dolárov. Neuvádza sa, čo spôsobilo výrazný nárast ocenenia.

CISO chcú pomôcť svojim organizáciám bezpečne používať technologické platformy, aby sa stali konkurencieschopnejšími a podporovali rast podnikania, hovorí Siddharth Deshpande, riaditeľ výskumu v Gartner. - Pokračujúci nedostatok zručností a regulačné zmeny, ako napríklad všeobecné nariadenie o ochrane údajov (GDPR) v Európe, poháňajú ďalší rast na trhu so službami kybernetickej bezpečnosti.

Odborníci sa domnievajú, že jedným z kľúčových faktorov, ktoré prispievajú k zvýšeniu nákladov na informačnú bezpečnosť, je zavedenie nových metód detekcie a reakcie na hrozby, ktoré sa v roku 2018 stali najvyššou bezpečnostnou prioritou organizácií.

Podľa odhadov spoločnosti Gartner v roku 2017 organizácie vynaložené na služby kybernetickej ochrany globálne presiahli 52,3 miliardy USD. V roku 2018 tieto náklady vzrastú na 58,9 miliardy USD.

V roku 2017 minuli spoločnosti 2,4 miliardy dolárov na ochranu aplikácií, 2,6 miliardy dolárov na ochranu údajov, cloudové služby- 185 miliónov dolárov

Ročný predaj riešení pre správu identity a prístupu (Identity And Access Management) dosiahol 8,8 miliardy Predaj nástrojov na ochranu IT infraštruktúry vzrástol na 12,6 miliardy USD.

Štúdia tiež poukazuje na výdavky vo výške 10,9 miliardy dolárov na zariadenia používané na zabezpečenie siete. Ich výrobcovia zarobili 3,9 miliardy dolárov na systémoch riadenia rizík informačnej bezpečnosti.

Spotrebiteľské výdavky na kybernetickú bezpečnosť za rok 2017 odhadujú analytici podľa štúdie Gartner na 5,9 miliardy dolárov.

Gartner odhadol veľkosť trhu na 89,13 miliardy dolárov

V decembri 2017 sa zistilo, že celosvetové výdavky spoločností na informačnú bezpečnosť (IS) v roku 2017 dosiahnu 89,13 miliardy USD Podľa spoločnosti Gartner prekročia výdavky spoločností na kybernetickú bezpečnosť sumu 82,2 miliardy USD v roku 2016 o takmer 7 miliárd USD.

Odborníci považujú služby informačnej bezpečnosti za najväčšiu nákladovú položku: v roku 2017 spoločnosti vyčlenia na tieto účely viac ako 53 miliárd USD v porovnaní so 48,8 miliardami USD v roku 2016. Druhým najväčším segmentom trhu informačnej bezpečnosti sú riešenia ochrany infraštruktúry, ktorých náklady budú v roku 2017 predstavovať 16,2 miliardy USD namiesto 15,2 miliardy USD spred roka. Zariadenia na zabezpečenie siete sú na treťom mieste (10,93 miliardy dolárov).

Štruktúra nákladov na informačnú bezpečnosť zahŕňa aj spotrebný softvér pre informačnú bezpečnosť a systémy na identifikáciu a riadenie prístupu (Identity and Access Management, IAM). Gartner odhaduje náklady v týchto oblastiach v roku 2017 na 4,64 miliardy USD a 4,3 miliardy USD, zatiaľ čo v roku 2016 boli tieto čísla na úrovni 4,57 miliardy USD a 3,9 miliardy USD.

Analytici očakávajú ďalší rast na trhu informačnej bezpečnosti: v roku 2018 organizácie zvýšia výdavky na kybernetickú ochranu o ďalších 8 % a vyčlenia na tieto účely celkovo 96,3 miliardy USD Medzi rastovými faktormi experti uviedli meniace sa predpisy v sektore informačnej bezpečnosti a uvedomenie si nových hrozieb a zameranie spoločností na stratégiu digitálneho podnikania.

Vo všeobecnosti sú výdavky na kybernetickú bezpečnosť do značnej miery ovplyvnené reakciou spoločností na incidenty v oblasti informačnej bezpečnosti, keďže počet významných kybernetických útokov a únikov informácií ovplyvňujúcich organizácie na celom svete rastie, hovorí Ruggero Contu, riaditeľ výskumu v Gartner, komentujúc prognózu. .

Slová analytika potvrdzujú údaje získané spoločnosťou Gartner v roku 2016 počas prieskumu zahŕňajúceho 512 organizácií z ôsmich krajín: Austrálie, Kanady, Francúzska, Nemecka, Indie, Singapuru a USA.

53 % respondentov označilo riziká kybernetickej bezpečnosti za hlavnú hnaciu silu zvýšených výdavkov na kybernetickú bezpečnosť. Z tohto počtu najvyššie percento respondentov uviedlo, že hrozba kybernetických útokov najviac ovplyvňuje rozhodnutia o výdavkoch na informačnú bezpečnosť.

Prognóza Gartneru na rok 2018 požaduje zvýšenie výdavkov vo všetkých hlavných oblastiach. Približne 57,7 miliardy USD (+ 4,65 miliardy USD) sa teda minie na služby kybernetickej ochrany, približne 17,5 miliardy USD (+ 1,25 miliardy USD) sa vynaloží na zaistenie bezpečnosti infraštruktúry a 11,67 miliardy USD (+ 735 miliónov USD) na spotrebný softvér – 4,74 miliardy USD ( +109 miliónov USD) a pre systémy IAM - 4,69 miliardy USD (+416 miliónov USD).

Analytici tiež veria, že do roku 2020 bude viac ako 60 % organizácií na svete súčasne investovať do niekoľkých nástrojov na ochranu údajov, vrátane nástrojov na prevenciu straty informácií, šifrovanie a audit. Ku koncu roka 2017 sa podiel spoločností nakupujúcich takéto riešenia odhadoval na 35 %.

Ďalšou významnou položkou podnikových výdavkov na informačnú bezpečnosť bude zapojenie špecialistov tretích strán. Očakáva sa, že na pozadí nedostatku personálu v oblasti kybernetickej bezpečnosti, rastúcej technickej zložitosti systémov informačnej bezpečnosti a zvyšujúcich sa kybernetických hrozieb sa náklady spoločnosti na outsourcing informačnej bezpečnosti v roku 2018 zvýšia o 11 % a dosiahnu hodnotu 18,5 mld. .

Gartner odhaduje, že do roku 2019 budú firemné výdavky na odborníkov na kybernetickú bezpečnosť tretích strán tvoriť 75 % celkových výdavkov na softvér a hardvér v oblasti kybernetickej bezpečnosti, čo je nárast zo 63 % v roku 2016.

IDC predpovedá veľkosť trhu na 82 miliárd dolárov

Dve tretiny nákladov budú pochádzať od veľkých a veľmi veľkých spoločností. veľký biznis. Do roku 2019 podľa analytikov IDC prekročia náklady korporácií s viac ako 1000 zamestnancami hranicu 50 miliárd dolárov.

2016: Objem trhu 73,7 miliardy USD, rast 2-krát vyšší ako trh IT

V októbri 2016 analytická spoločnosť IDC predstavila stručné výsledky štúdie globálneho trhu informačnej bezpečnosti. Očakáva sa, že jeho rast bude dvojnásobný v porovnaní s trhom IT.

IDC vypočítalo, že celosvetový predaj zariadení, softvéru a služieb pre kybernetickú ochranu dosiahne v roku 2016 približne 73,7 miliardy USD a v roku 2020 presiahne 100 miliárd USD, čo predstavuje 101,6 miliardy USD. technológia porastie priemerným tempom 8,3 % ročne, čo je dvojnásobok očakávanej miery rastu IT priemyslu.

Najväčšie výdavky na informačnú bezpečnosť (8,6 miliardy USD) na konci roka 2016 sa očakávajú v bankách. Na druhom, treťom a štvrtom mieste z hľadiska veľkosti takýchto investícií budú diskrétne výrobné podniky, vládne agentúry a podniky kontinuálnej výroby, ktoré budú predstavovať približne 37 % nákladov.

Analytici vedú v dynamike zvyšovania investícií do informačnej bezpečnosti do zdravotníctva (v rokoch 2016-2020 sa očakáva priemerný ročný rast 10,3 %). Náklady na kybernetickú ochranu v sektore telekomunikácií, bývania, vládnych agentúr a na trhu investícií a cenných papierov porastú približne o 9 % ročne.

Za najväčší trh informačnej bezpečnosti vedci označujú americký trh, ktorého objem dosiahne 31,5 miliardy dolárov v roku 2016. Do prvej trojky sa zaradí aj západná Európa a ázijsko-pacifický región (okrem Japonska). V krátkej verzii štúdie IDC nie sú žiadne informácie o ruskom trhu.

CEO ruskej spoločnosti Security Monitor Dmitrij Gvozdev predpovedá zvýšenie podielu služieb na celkových ruských výdavkoch na bezpečnosť z 30-35% na 40-45% a predpovedá aj vývoj klientskej štruktúry trhu - z celkovej prevahy vlády, finančného a energetického sektora smerom k stredným podnikom zo širšieho spektra odvetví.

Jedným z trendov by mal byť vývoj podielu domácich softvérových produktov v súvislosti s otázkami substitúcie dovozu a zahraničnopolitickou situáciou. Do akej miery sa to však premietne do finančných ukazovateľov, bude do značnej miery závisieť od kurzu rubľa a cenovej politiky zahraničných predajcov, ktorí stále zaberajú minimálne polovicu domáceho trhu. softvérové ​​riešenia a až dve tretiny v segmente výbavy. Konečný ročný finančný výsledok celého ruského trhu s riešeniami informačnej bezpečnosti môže byť tiež spojený s vonkajšími ekonomickými faktormi, povedal Gvozdev v rozhovore pre TAdviser.

2015

VEĽKOSŤ TRHU

FEDERÁLNE VÝDAVKY

KYBER ZLOČIN

CENA ZA PORUŠENIE

FINANČNÉ SLUŽBY

International

BEZPEČNOSTNÁ ANALYTIKA

2013: Trh EMEA vzrástol na 2,5 miliardy USD.

Objem trhu s bezpečnostnými zariadeniami v regióne EMEA (Európa, Stredný východ a Afrika) vzrástol o 2,4 % v porovnaní s rokom 2012 a dosiahol 2,5 miliardy USD Analytici označili multifunkčné softvérové ​​a hardvérové ​​systémy na ochranu za najväčší a najrýchlejšie rastúci segment trhu do úvahy. počítačové siete– UTM riešenia (Unified hrozba manažment). V rovnakej dobe, IDC predpovedal, že trh technické prostriedky informačná bezpečnosť dosiahne do roku 2018 hodnotu 4,2 miliardy USD s priemerným ročným rastom 5,4 %.

Vedúce postavenie medzi dodávateľmi z hľadiska tržieb z predaja zariadení informačnej bezpečnosti v regióne EMEA zaujal koncom roka 2013 Check Point. Podľa IDC tržby predajcu v tomto segmente za rok 2013 vzrástli o 3,8 % a dosiahli 374,64 milióna USD, čo zodpovedá trhovému podielu 19,3 %.

2012: Predpoveď PAC: Trh informačnej bezpečnosti porastie o 8 % ročne

Globálny trh informačnej bezpečnosti porastie o 8 % ročne až do roku 2016, kedy by mohol dosiahnuť 36 miliárd eur, uvádza štúdia.

Existujú dva hlavné prístupy k odôvodneniu nákladov na informačnú bezpečnosť.

Vedecký prístup. K tomu je potrebné zapojiť vedenie spoločnosti (alebo jej vlastníka) do posudzovania nákladov na informačné zdroje a určovania posúdenia potenciálnych škôd z porušení v oblasti informačnej bezpečnosti.

1. Ak sú náklady na informácie nízke, neexistujú žiadne významné hrozby pre informačné aktíva spoločnosti a potenciálne škody sú minimálne, zabezpečenie informačnej bezpečnosti si vyžaduje menej finančných prostriedkov.

2. Ak má informácia určitú hodnotu, hrozby a potenciálne škody sú významné a definované, potom vzniká otázka zahrnutia nákladov na subsystém informačnej bezpečnosti do rozpočtu. V tomto prípade je potrebné konštruovať podnikový systém ochranu informácií.

Praktický prístup spočíva v určení reálnych nákladov na podnikový informačný bezpečnostný systém založený na podobných systémoch v iných oblastiach. Odborníci v oblasti informačnej bezpečnosti sa domnievajú, že náklady na systém informačnej bezpečnosti by mali predstavovať približne 10 – 20 % nákladov podniku. informačný systém, v závislosti od konkrétnych požiadaviek na režim informačnej bezpečnosti.

Všeobecne akceptované požiadavky na zabezpečenie režimu informačnej bezpečnosti „best practice“ (založené na praktických skúsenostiach), formalizované v množstve noriem, napríklad ISO 17799, sa v praxi implementujú pri vývoji špecifických metód hodnotenia efektívnosti systému informačnej bezpečnosti.

Použitie moderných metód na odhad nákladov na informačnú bezpečnosť umožňuje vypočítať celú spotrebnú časť informačných aktív organizácie vrátane priamych a nepriamych nákladov na hardvér a softvér, organizačné akcie, školenia a odborný rozvoj zamestnancov, reorganizácia, reštrukturalizácia podnikania a pod.

Sú potrebné na dôkaz ekonomická efektívnosť existujúce systémy podnikovej ochrany a umožňujú vedúcim služieb informačnej bezpečnosti zdôvodniť rozpočet na informačnú bezpečnosť, ako aj preukázať efektívnosť práce zamestnancov príslušnej služby. Metódy odhadu nákladov používané zahraničnými spoločnosťami umožňujú:

Získajte adekvátne informácie o úrovni bezpečnosti distribuovaného výpočtového prostredia a celkových nákladoch na vlastníctvo podnikového informačného bezpečnostného systému.

Porovnajte oddelenia informačnej bezpečnosti organizácie medzi sebou aj s podobnými oddeleniami iných organizácií v odvetví.

Optimalizujte investície do informačnej bezpečnosti organizácie.

Jednou z najznámejších metód na odhad nákladov vo vzťahu k systému informačnej bezpečnosti je metóda celkové náklady na vlastníctvo (TCO) spoločnosť Gartner Group Ukazovateľom TCO sa rozumie súčet priamych a nepriamych nákladov na organizáciu (reorganizáciu), prevádzku a údržbu podnikového informačného bezpečnostného systému počas roka. Používa sa takmer vo všetkých hlavných fázach životný cyklus podnikový systém informačnej bezpečnosti a umožňuje objektívne a nezávisle zdôvodniť ekonomickú realizovateľnosť zavedenia a použitia konkrétnych organizačno-technických opatrení a prostriedkov informačnej bezpečnosti. Pre objektivitu rozhodnutia je potrebné dodatočne zohľadniť aj stav vonkajšieho a vnútorného prostredia podniku, napríklad ukazovatele technologického, personálneho a finančného rozvoja podniku.

Porovnanie určitého ukazovateľa TCO s podobnými ukazovateľmi TCO v odvetví (s podobnými spoločnosťami) vám umožňuje objektívne a nezávisle zdôvodniť náklady organizácie na informačnú bezpečnosť. Ostatne, často sa ukazuje, že je dosť ťažké alebo dokonca prakticky nemožné posúdiť priamy ekonomický efekt týchto nákladov.

Celkové náklady na vlastníctvo systému informačnej bezpečnosti vo všeobecnosti pozostávajú z nákladov:

dizajnérske práce,

Nákupy a konfigurácia nástrojov na ochranu softvéru a hardvéru vrátane týchto hlavných skupín: firewally, kryptografické nástroje, antivírusy a AAA (nástroje na autentifikáciu, autorizáciu a správu),

náklady na zabezpečenie fyzickej bezpečnosti,

školenie personálu,

Správa a podpora systému (správa bezpečnosti),

Audit informačnej bezpečnosti, - periodická modernizácia systému informačnej bezpečnosti.

Priame náklady zahŕňajú zložky kapitálových nákladov (spojené s fixným majetkom alebo „majetkom“) a mzdové náklady, ktoré sú zahrnuté v kategóriách prevádzky a administratívneho manažmentu. Patria sem aj náklady na služby vzdialených používateľov atď. spojené s podporou činností organizácie.

Nepriame náklady zase odrážajú vplyv podnikového informačného systému a podsystému informačnej bezpečnosti na zamestnancov organizácie prostredníctvom takých merateľných ukazovateľov, akými sú prestoje a zamrznutia podnikového informačného bezpečnostného systému a informačného systému ako celku, náklady na prevádzku a podporu (nie súvisiace s priamymi nákladmi). Veľmi často zohrávajú významnú úlohu nepriame náklady, pretože sa zvyčajne na začiatku neodrážajú v rozpočte informačnej bezpečnosti, ale sú odhalené neskôr v analýze nákladov.

Výpočet ukazovateľov TCO organizácie sa vykonáva v nasledujúcich oblastiach.

Komponenty podnikového informačného systému(vrátane systému informačnej bezpečnosti) a informačných činností organizácie (servery, klientske počítače, periférne zariadenia, sieťové zariadenia).

Výdavky na hardvér a softvér pre informačnú bezpečnosť: spotrebný materiál a odpisy nestojí ani servery, klientske počítače (desktopy a mobilné počítače), periférne zariadenia a sieťové komponenty.

Náklady na organizáciu informačnej bezpečnosti:údržba systémov informačnej bezpečnosti, štandardné prostriedky ochrany periférnych zariadení, serverov, sieťové zariadenia, plánovanie a riadenie procesov informačnej bezpečnosti, vývoj bezpečnostných koncepcií a politík a iné.

Náklady na prevádzku informačných technológií témy: priame náklady na udržiavanie personálu, náklady na prácu a outsourcing realizovaný organizáciou ako celkom alebo službu na implementáciu technická podpora a operácie na údržbu infraštruktúry pre používateľov.

Administratívne výdavky: priame osobné náklady, prevádzková podpora a náklady interných/externých dodávateľov (vendorov) na podporu prevádzky vrátane riadenia, financovania, obstarania a školenia informačných systémov.

Transakčné náklady koncového používateľa: Náklady na samopodporu koncového používateľa, formálne školenie koncového používateľa, príležitostné (neformálne) školenie, vývoj aplikácií „urob si sám“, podpora lokálneho súborového systému.

Náklady na prestoje: Ročné straty produktivity koncových používateľov v dôsledku plánovaných a neplánovaných výpadkov sieťových zdrojov vrátane klientskych počítačov, zdieľaných serverov, tlačiarní, aplikačných programov, komunikačných zdrojov a komunikačného softvéru.

Ako zdôvodniť náklady na informačnú bezpečnosť?

Pretlačené s láskavým dovolením OJSC InfoTex Internet Trust
Nachádza sa zdrojový text Tu.

Úrovne zrelosti spoločnosti

Gartner Group identifikuje 4 úrovne vyspelosti spoločnosti z hľadiska informačnej bezpečnosti (IS):

• úroveň 0:
• Nikto sa v spoločnosti nezaoberá informačnou bezpečnosťou; vedenie spoločnosti si neuvedomuje dôležitosť problémov informačnej bezpečnosti;
• Neexistujú žiadne finančné prostriedky;
• IS sa implementuje pravidelné prostriedky operačné systémy, DBMS a aplikácie (ochrana heslom, kontrola prístupu k zdrojom a službám).
• Úroveň 1:
• Informačná bezpečnosť je manažmentom považovaná za čisto „technický“ problém, neexistuje jednotný program (koncepcia, politika) rozvoja podnikového informačného bezpečnostného systému (ISMS);
• Financovanie sa poskytuje v rámci celkového rozpočtu na IT;
• Informačná bezpečnosť je realizovaná pomocou prostriedkov nulovej úrovne + Rezervovať kópiu, antivírusové nástroje, firewally, nástroje organizácie VPN (tradičné bezpečnostné nástroje).
• Úroveň 2:
• Informačnú bezpečnosť manažment považuje za komplex organizačno-technických opatrení, dochádza k pochopeniu významu informačnej bezpečnosti pre výrobné procesy, existuje manažmentom schválený program rozvoja podnikového ISMS;
• Informačnú bezpečnosť implementujú nástroje prvej úrovne + vylepšené autentifikačné nástroje, nástroje na analýzu e-mailových správ a webového obsahu, IDS (systémy detekcie narušenia bezpečnosti), nástroje na analýzu bezpečnosti, SSO (jednotné autentifikačné nástroje), PKI (infraštruktúra) verejné kľúče) a organizačné opatrenia (interný a externý audit, analýza rizík, politika informačnej bezpečnosti, predpisy, postupy, predpisy a usmernenia).
• Úroveň 3:
• Informačná bezpečnosť je súčasťou firemnej kultúry, bol vymenovaný CISA (senior information security officer);
• Financovanie sa poskytuje v rámci samostatného rozpočtu;
• Informačná bezpečnosť je implementovaná prostredníctvom systému riadenia informačnej bezpečnosti druhej úrovne, CSIRT (tím pre reakciu na incidenty informačnej bezpečnosti), SLA (zmluva o úrovni služieb).

Podľa Gartner Group (údaje poskytnuté za rok 2001) je percento spoločností vo vzťahu k opísaným 4 úrovniam nasledovné:
Úroveň 0 – 30 %,
Úroveň 1 – 55 %,
Úroveň 2 – 10 %,
Úroveň 3 – 5 %.

Prognóza Gartner Group na rok 2005 je nasledovná:
Úroveň 0 – 20 %,
Úroveň 1 – 35 %,
Úroveň 2 – 30 %,
Úroveň 3 – 15 %.

Štatistiky ukazujú, že väčšina spoločností (55 %) má v súčasnosti implementované minimálne potrebná sada tradičné technické prostriedky ochrany (1. stupeň).

Pri zavádzaní rôznych technológií a bezpečnostných opatrení často vznikajú otázky. Čo implementovať ako prvé, systém detekcie narušenia alebo infraštruktúru PKI? Ktoré budú efektívnejšie? Stephen Ross, riaditeľ spoločnosti Deloitte&Touche, navrhuje nasledujúci prístup na hodnotenie účinnosti jednotlivých opatrení a nástrojov informačnej bezpečnosti.

Na základe vyššie uvedeného grafu je vidieť, že najdrahšie a najmenej efektívne sú špecializované nástroje (vo vlastnej réžii alebo na mieru).

Najdrahšie, no zároveň najefektívnejšie sú ochranné prípravky kategórie 4 (stupeň 2 a 3 podľa Gartner Group). Na implementáciu nástrojov v tejto kategórii je potrebné použiť postup analýzy rizík. Analýza rizík v tomto prípade zabezpečí, že náklady na implementáciu budú primerané existujúcim hrozbám narušenia informačnej bezpečnosti.

Najlacnejšie, ale s vysokou úrovňou účinnosti, zahŕňajú organizačné opatrenia (interný a externý audit, analýza rizík, politika informačnej bezpečnosti, plán kontinuity podnikania, predpisy, postupy, predpisy a manuály).

Zavedenie dodatočných prostriedkov ochrany (prechod na úroveň 2 a 3) si vyžaduje značné finančné investície, a teda aj opodstatnenie. Absencia jednotného programu rozvoja ISMS schváleného a podpísaného manažmentom zhoršuje problém opodstatnenosti investícií do bezpečnosti.

Analýza rizík

Takýmto odôvodnením môžu byť výsledky analýzy rizík a zhromaždené štatistiky o incidentoch. Mechanizmy implementácie analýzy rizík a zhromažďovania štatistík by mali byť špecifikované v politike informačnej bezpečnosti spoločnosti.

Proces analýzy rizík pozostáva zo 6 po sebe nasledujúcich etáp:

1. Identifikácia a klasifikácia chránených objektov (firemné zdroje, ktoré sa majú chrániť);

3. Zostavenie modelu útočníka;

4. Identifikácia, klasifikácia a analýza hrozieb a slabých miest;

5. Hodnotenie rizika;

6. Výber organizačných opatrení a technických prostriedkov ochrany.

Na javisku identifikácia a klasifikácia predmetov ochrany Je potrebné vykonať inventúru zdrojov spoločnosti v týchto oblastiach:

• informačné zdroje (dôverné a dôležité informácie o spoločnosti);
• Softvérové ​​zdroje (OS, DBMS, kritické aplikácie, ako ERP);
• Fyzické zdroje (servery, pracovné stanice, sieťové a telekomunikačné zariadenia);
• Zdroje služieb (e-mail, www atď.).

Kategorizácia je určiť úroveň dôvernosti a kritickosti zdroja. Dôvernosť sa vzťahuje na úroveň utajenia informácií, ktoré sú uchovávané, spracovávané a prenášané zdrojom. Kritickosť sa vzťahuje na mieru vplyvu zdroja na efektívnosť výrobných procesov spoločnosti (napríklad v prípade výpadku telekomunikačných zdrojov môže spoločnosť poskytovateľa skrachovať). Priradením určitých kvalitatívnych hodnôt parametrom dôvernosti a kritickosti môžete určiť úroveň významnosti každého zdroja z hľadiska jeho účasti na výrobných procesoch spoločnosti.

Na určenie dôležitosti zdrojov spoločnosti z hľadiska informačnej bezpečnosti môžete získať nasledujúcu tabuľku:

Napríklad súbory s informáciami o úrovni miezd zamestnancov spoločnosti majú hodnotu „prísne dôverné“ (parameter dôvernosti) a hodnotu „nepodstatné“ (parameter kritickosti). Nahradením týchto hodnôt do tabuľky môžete získať integrálny ukazovateľ významu tohto zdroja. Rôzne možnosti metód kategorizácie sú uvedené v medzinárodnej norme ISO TR 13335.

Vytvorenie modelu útočníka je proces klasifikácie potenciálnych porušovateľov podľa nasledujúcich parametrov:

• Typ útočníka (konkurent, klient, vývojár, zamestnanec spoločnosti atď.);
• Postavenie útočníka vo vzťahu k predmetom ochrany (vnútorné, vonkajšie);
• Úroveň vedomostí o chránených objektoch a životnom prostredí (vysoká, stredná, nízka);
• Úroveň schopnosti prístupu k chráneným objektom (maximálna, priemerná, minimálna);
• Trvanie pôsobenia (neustále, v určitých časových intervaloch);
• Miesto pôsobenia (predpokladané miesto útočníka počas útoku).

Priradením kvalitatívnych hodnôt k uvedeným parametrom modelu útočníka je možné určiť potenciál útočníka (integrálna charakteristika schopností útočníka implementovať hrozby).

Identifikácia, klasifikácia a analýza hrozieb a zraniteľností umožňujú určiť spôsoby implementácie útokov na chránené objekty. Zraniteľnosť sú vlastnosti zdroja alebo jeho prostredia, ktoré útočník používa na implementáciu hrozieb. Zoznam zraniteľných miest softvérových prostriedkov možno nájsť na internete.

Hrozby sa klasifikujú podľa nasledujúcich kritérií:

• názov hrozby;
• typ útočníka;
• prostriedky implementácie;
• zneužité zraniteľnosti;
• prijaté opatrenia;
• frekvencia implementácie.

Hlavným parametrom je frekvencia implementácie hrozby. Závisí to od hodnôt parametrov „potenciál útočníka“ a „bezpečnosť zdrojov“. Hodnota parametra „bezpečnosť zdrojov“ je určená odbornými posudkami. Pri určovaní hodnoty parametra sa berú do úvahy subjektívne parametre útočníka: motivácia implementácie hrozby a štatistiky z pokusov o implementáciu hrozieb tohto typu(Ak je k dispozícii). Výsledkom fázy analýzy hrozby a zraniteľnosti je vyhodnotenie parametra „frekvencia implementácie“ pre každú hrozbu.

Na javisku hodnotenia rizík potenciálne škody z hrozieb narušenia informačnej bezpečnosti sa určujú pre každý zdroj alebo skupinu zdrojov.

Kvalitatívny ukazovateľ poškodenia závisí od dvoch parametrov:

• Význam zdroja;
• Frekvencia implementácie hrozby na tento zdroj.

Na základe získaných posudkov škôd sa primerane vyberú primerané organizačné opatrenia a technické prostriedky ochrany.

Hromadenie štatistík o incidentoch

Jediným slabým miestom v navrhovanej metodike hodnotenia rizika a teda aj odôvodnenia potreby zavedenia nových alebo zmeny existujúcich technológií ochrany je určenie parametra „frekvencia výskytu hrozby“. Jediným spôsobom, ako získať objektívne hodnoty tohto parametra, je zhromažďovanie štatistík o incidentoch. Akumulované štatistiky napríklad za rok vám umožnia určiť počet implementácií hrozieb (určitého typu) na zdroj (určitého typu). Odporúča sa vykonať prácu na zbere štatistických údajov ako súčasť postupu spracovania incidentov.

Účel štúdie: analyzovať a určiť hlavné trendy na ruskom trhu informačnej bezpečnosti
Boli použité údaje Rosstat (formuláre štatistického výkazníctva č. 3-Inform, P-3, P-4), účtovné výkazy podnikov atď.

Využitie informačných a komunikačných technológií a nástrojov informačnej bezpečnosti organizáciami

• Na prípravu tejto časti boli použité agregované, geograficky oddelené divízie a zastúpenia (Formulár 3-Inform „Informácie o využívaní informačných a komunikačných technológií a výroby počítačová technológia, softvér a poskytovanie služieb v týchto oblastiach“.

Analyzovalo sa obdobie rokov 2012-2016. Údaje si nenárokujú na úplnosť (keďže sú zbierané podľa obmedzený okruh podniky), ale podľa nášho názoru sa dá použiť na hodnotenie trendov. Počet respondentov sa za sledované obdobie pohyboval od 200 do 210 tisíc. To znamená, že vzorka je pomerne stabilná a zahŕňa najpravdepodobnejších spotrebiteľov (veľké a stredné podniky), ktorí tvoria väčšinu tržieb.

Dostupnosť osobných počítačov v organizáciách

Podľa formulára štatistického výkazníctva 3-Inform bolo v roku 2016 v ruských organizáciách približne 12,4 milióna jednotiek, ktoré poskytli informácie o tomto formulári. osobné počítače(PC). V tomto prípade PC znamená stolné a prenosné počítače, tento pojem nezahŕňa mobilné zariadenia Mobilné telefóny a vreckové osobné počítače.

Za posledných 5 rokov sa počet PC jednotiek v organizáciách v Rusku ako celku zvýšil o 14,9%. Najlepšie vybaveným federálnym obvodom je Centrálny federálny obvod, ktorý predstavuje 30,2 % počítačov vo firmách. Nesporným vedúcim regiónom pre tento ukazovateľ je mesto Moskva, podľa údajov za rok 2016 majú moskovské spoločnosti približne 1,8 milióna počítačov. Najnižšia hodnota ukazovateľa bola zaznamenaná v Severokaukazskom federálnom okrese, organizácie v okrese majú len asi 300 tisíc jednotiek PC, najmenší počet je v Ingušskej republike - 5,45 tisíc jednotiek.

Ryža. 1. Počet osobných počítačov v organizáciách, Rusko, milión jednotiek.

Organizačné náklady na informačné a komunikačné technológie

V období rokov 2014-2015. V dôsledku nepriaznivej ekonomickej situácie boli ruské firmy nútené minimalizovať svoje náklady, vrátane nákladov na informácie a komunikačných technológií. V roku 2014 bol pokles nákladov v sektore IKT o 5,7 %, no ku koncu roka 2015 bol zaznamenaný mierne pozitívny trend. V roku 2016 dosiahli výdavky ruských spoločností na informačné a komunikačné technológie 1,25 bilióna. rub., čím o 0,3 % prekonali predkrízový údaj z roku 2013.

Väčšina nákladov pripadá na spoločnosti so sídlom v Moskve – viac ako 590 miliárd rubľov alebo 47,2 % z celkových nákladov. Najväčšie objemy výdavkov organizácií na informačné a komunikačné technológie v roku 2016 boli zaznamenané v: Moskovská oblasť - 76,6 miliardy rubľov, Petrohrad - 74,4 miliardy rubľov, Ťumenská oblasť - 56,0 miliárd rubľov, Tatarská republika - 24,7 miliardy rubľov, Nižný Novgorod región – 21,4 miliardy rubľov. Najnižšie náklady boli zaznamenané v Ingušskej republike – 220,3 milióna rubľov.

Ryža. 2. Výška výdavkov spoločností na informačné a komunikačné technológie, Rusko, miliardy rubľov.

Využitie nástrojov informačnej bezpečnosti organizáciami

IN V poslednej dobe Je možné zaznamenať výrazný nárast počtu spoločností využívajúcich nástroje na ochranu informačnej bezpečnosti. Ročná miera rastu ich počtu je pomerne stabilná (s výnimkou roku 2014) a predstavuje približne 11 – 19 % ročne.

Podľa oficiálnych údajov Rosstatu Najpopulárnejšími prostriedkami ochrany sú v súčasnosti technické prostriedky autentifikácie užívateľa (tokeny, USB kľúče, čipové karty). Z viac ako 157 tisíc spoločností označilo používanie týchto konkrétnych nástrojov ako ochranu informácií 127 tisíc spoločností (81 %).

Ryža. 3. Rozdelenie organizácií pomocou prostriedkov zabezpečujúcich informačnú bezpečnosť v roku 2016, Rusko, %.

Podľa oficiálnych štatistík v roku 2016 využívalo globálny internet na komerčné účely 161 421 spoločností. Medzi organizáciami, ktoré používajú internet na komerčné účely a naznačili používanie opatrení informačnej bezpečnosti, je najpopulárnejší elektronický digitálny podpis. Tento nástroj Ako prostriedok ochrany označilo viac ako 146 tisíc spoločností, teda 91 % z celkového počtu. Podľa použitia nástrojov informačnej bezpečnosti boli spoločnosti rozdelené nasledovne:

• • Elektronické prostriedky digitálny podpis– 146 887 spoločností;
  • Pravidelne aktualizované antivírusové programy– 143 095 spoločností;
  • Softvér alebo hardvér, ktorý zabraňuje neoprávnenému prístupu malvér z globálnych informácií alebo miestnych počítačové siete(Firewall) – 101 373 spoločností;
  • Spamový filter – 86 292 spoločností;
  • Šifrovacie nástroje – 86 074 spoločností;
  • Počítačové alebo sieťové systémy detekcie narušenia – 66 745 spoločností;
  • Softvérové ​​nástroje na automatizáciu bezpečnostných analýz a kontrolných procesov počítačové systémy– 54 409 spoločností.

Ryža. 4. Distribúcia spoločností využívajúcich internet na komerčné účely, prostredníctvom ochrany informácií prenášaných cez globálne siete, v roku 2016, Rusko, %.

V období 2012 – 2016 sa počet spoločností využívajúcich internet na komerčné účely zvýšil o 34,9 %. V roku 2016 využívalo internet na komunikáciu s dodávateľmi 155 028 spoločností a na komunikáciu so spotrebiteľmi 110 421 spoločností. Zo spoločností, ktoré používajú internet na komunikáciu s dodávateľmi, bol účel použitia uvedený:

• získavanie informácií o potrebnom tovare (práce, služby) a ich dodávateľoch - 138 224 firiem;
• poskytovanie informácií o potrebách organizácie na tovary (práce, služby) – 103 977 spoločností;
• zadávanie objednávok na tovar (prácu, služby) potrebné pre organizáciu (okrem objednávok odoslaných cez e-mail) – 95 207 spoločností;
• platba za dodaný tovar (práce, služby) – 89 279;
• príjem elektronických produktov – 62 940 firiem.

Z celkového počtu spoločností, ktoré používajú internet na komunikáciu so spotrebiteľmi, bol účel použitia uvedený:

• poskytovanie informácií o organizácii, jej tovaroch (prácach, službách) - 101 059 firiem;
• (práce, služby) (okrem objednávok zaslaných emailom) – 44 193 firiem;
• implementácia elektronických platieb so spotrebiteľmi – 51 210 spoločností;
• distribúcia elektronických produktov – 12 566 spoločností;
• popredajný servis (servis) – 13 580 spoločností.

Objem a dynamika rozpočtov federálnych výkonných orgánov pre informačné technológie v rokoch 2016-2017.

Celkový objem limitov na rozpočtové záväzky na rok 2017, oznámený federálnym výkonným orgánom (ďalej len federálny výkonný orgán) podľa Federálnej štátnej pokladnice, podľa kódu druhu výdavkov 242 „Nákup tovarov, prác, služieb v odbore informačných a komunikačných technológií“, pokiaľ ide o informácie, ktoré nepredstavujú štátne tajomstvo, k 1. augustu 2017 predstavovali 115,2 miliardy rubľov, čo je približne o 5,1 % viac ako celkový rozpočet na informačné technológie federálnych výkonných orgánov v roku 2016 (109,6 miliárd rubľov, podľa ministerstva telekomunikácií a masových komunikácií). Kým teda celkový objem IT rozpočtov federálnych rezortov z roka na rok naďalej rastie, tempo rastu sa znížilo (v roku 2016 sa celkový objem IT rozpočtov zvýšil o 8,3 % v porovnaní s rokom 2015). V čom Rastie stratifikácia medzi „bohatými“ a „chudobnými“, pokiaľ ide o výdavky oddelení na informačné a komunikačné technológie. Nesporným lídrom nielen z hľadiska veľkosti rozpočtu, ale aj z hľadiska úspechov v oblasti IT je Federálna daňová služba. Jeho rozpočet na IKT v tomto roku je viac ako 17,6 miliardy rubľov, čo je viac ako 15 % rozpočtu všetkých federálnych výkonných orgánov. Celkový podiel prvej päťky (Federálna daňová služba, Dôchodkový fond Ruskej federácie, Ministerstvo financií, Ministerstvo vnútra, Ministerstvo telekomunikácií a hromadných komunikácií) je viac ako 53 %.

Ryža. 5. Štruktúra rozpočtových výdavkov na nákup tovarov, prác a služieb v oblasti informačných a komunikačných technológií federálnymi výkonnými orgánmi v roku 2017, %

Legislatívna úprava v oblasti obstarávania softvéru pre potreby štátu a samosprávy

Od 1. januára 2016 budú všetky štátne a obecné orgány, štátne korporácie Rosatom a Roskosmos, riadiace orgány štátnych mimorozpočtových fondov, ako aj štátne a rozpočtové inštitúcie vykonávajúce obstarávanie v súlade s požiadavkami federálneho zákona z 5. apríla 2013 44 -FZ „O zmluvnom systéme v oblasti obstarávania tovarov, prác, služieb na uspokojovanie potrieb štátu a obcí“, sú povinní dodržiavať zákaz prijímania softvéru pochádzajúceho zo zahraničia na účely obstarávania. uspokojiť potreby štátu a samosprávy. Zákaz bol zavedený nariadením vlády Ruskej federácie zo 16. novembra 2015 č. 1236 „O ustanovení zákazu prijímania softvéru pochádzajúceho zo zahraničia na účely obstarávania na uspokojenie štátnych a komunálnych potrieb“. Pri nákupe softvéru musia vyššie uvedení zákazníci priamo v oznámení o kúpe uviesť zákaz nákupu dovážaného softvéru. Zákaz sa vzťahuje na nákup softvéru pre elektroniku počítačov a databázy realizované bez ohľadu na typ zmluvy na hmotnom nosiči a (alebo) v v elektronickom formáte prostredníctvom komunikačných kanálov, ako aj výhradné práva na takýto softvér a práva na používanie takéhoto softvéru.

Existuje niekoľko výnimiek, kedy je nákup importovaného softvéru zákazníkom povolený.

• obstarávanie softvéru a (alebo) práv k nemu diplomatickými misiami a konzulárnymi úradmi Ruská federácia, obchodné misie Ruskej federácie pri medzinárodných organizáciách na zabezpečenie ich činnosti na území cudzieho štátu;
• obstarávanie softvéru a (alebo) práv k nemu, informácie o ktorých a (alebo) ktorých nákup predstavuje štátne tajomstvo.

Vo všetkých ostatných prípadoch sa od zákazníka bude vyžadovať, aby pred zakúpením softvéru pracoval s jedným registrom Ruské programy pre elektronické počítače a databázy a klasifikátor programov pre elektronické počítače a databázy.
Vytvorenie a vedenie registra ako oprávneného federálneho výkonného orgánu vykonáva Ministerstvo telekomunikácií a masových komunikácií Ruska.
Ku koncu augusta 2017 registr obsahoval 343 softvérových produktov patriacich do triedy „nástrojov informačnej bezpečnosti“ od 98 ruských vývojárskych spoločností. Medzi nimi sú softvérové ​​produkty od takých veľkých ruských vývojárov, ako sú:

• OJSC „Informačné technológie a komunikačné systémy“ („InfoTeKS“) – 37 softvérových produktov;
• JSC Kaspersky Lab - 25 softvérových produktov;
• Security Code LLC - 19 softvérových produktov;
• Crypto-Pro LLC - 18 softvérových produktov;
• Doctor WEB LLC - 12 softvérových produktov;
• S-Terra CSP LLC - 12 softvérových produktov;
• CJSC "Aladdin R.D." — 8 softvérových produktov;
• JSC "Infowatch" - 6 softvérových produktov.

Analýza aktivít najväčších hráčov v oblasti informačnej bezpečnosti

• Ako základné informácie pre analýzu aktivít najväčších hráčov na trhu informačnej bezpečnosti na prípravu táto štúdia boli použité informácie o verejnom obstarávaní v oblasti informačných a komunikačných činností a najmä informačnej bezpečnosti.

Na analýzu trendov sme vybrali 18 spoločností, ktoré patria medzi lídrov na trhu informačnej bezpečnosti a aktívne sa podieľajú na vládnom obstarávaní. V zozname sú tak priami vývojári softvéru a hardvérových a softvérových bezpečnostných systémov, ako aj najväčší systémových integrátorov. Celkové príjmy týchto spoločností v roku 2016 dosiahli 162,3 miliardy rubľov, čím prekročili hodnotu z roku 2015 o 8,7 %.
Nižšie je uvedený zoznam spoločností vybraných do štúdie.

Tabuľka 1. Spoločnosti vybrané do štúdie

№	názov	TIN	Typ činnosti (OKVED 2014)
1	"I-Teco" JSC	7736227885	Činnosti súvisiace s využívaním výpočtovej techniky a informačných technológií, iné (62,09)
2	Croc Incorporated, JSC	7701004101
3	"Informzashita", CJSC NIP	7702148410	Výskum a vývoj v oblasti spoločenských a humanitných vied (72,20)
4	"Softline Trade", JSC	7736227885
5	"Technoserv AS", LLC	7722286471	Veľkoobchod s ostatnými strojmi a zariadeniami (46.69)
6	"Elvis-plus", JSC	7735003794
7	"Asteros" JSC	7721163646	Veľkoobchod s počítačmi, periférne zariadenia k počítačom a softvéru (46.51
8	"Výrobná spoločnosť Aquarius", LLC	7701256405
9	Lanit, CJSC	7727004113	Veľkoobchod s ostatnými kancelárskymi strojmi a zariadením (46.66)
10	Jet Infosystems, JSC	7729058675	Veľkoobchod s počítačmi, periférnymi zariadeniami pre počítače a softvérom (46.51)
11	"Dialognauka", as	7701102564	Vývoj počítačového softvéru (62.01)
12	"Factor-TS", LLC	7716032944	Výroba počítačov a periférnych zariadení (26.20)
13	"InfoTeKS", as	7710013769	Vývoj počítačového softvéru (62.01)
14	"Uralské centrum pre bezpečnostné systémy", LLC	6672235068	Činnosti v oblasti architektúry, inžinierstva a technického poradenstva v týchto oblastiach (71.1)
15	"ICL-KPO VS", as	1660014361	Vývoj počítačového softvéru (62.01)
16	NVision Group, JSC	7703282175	Nešpecializovaný veľkoobchod (46,90)
17	"Dôverná integrácia", LLC	7811512250	Činnosti spracovania údajov, poskytovanie hostingových služieb a súvisiace činnosti (63.11)
18	"Kaluga Astral", JSC	4029017981	Poradenská činnosť a práca v oblasti výpočtovej techniky (62.02

Ku koncu októbra 2017 uzavreli spoločnosti z prezentovanej vzorky 1 034 zmlúv s vládnymi agentúrami v hodnote 24,6 miliardy rubľov. Vedenie v tento zoznam z hľadiska objemu uzatvorených zmlúv má spoločnosť I-Teco 74 zmlúv v hodnote 7,5 miliardy rubľov.
V posledných rokoch, s výnimkou krízového roku 2014, možno konštatovať neustály nárast celkového objemu zákaziek pre vybrané spoločnosti. Najvýraznejšia dynamika nastala v období 2015-2016. V roku 2015 tak došlo k nárastu objemu zákaziek o viac ako 3,5-násobok, v roku 2016 - o 1,5-násobok. Podľa dostupných údajov o zmluvných aktivitách spoločností za obdobie január – október 2017 možno predpokladať, že v roku 2017 bude celkový objem zmlúv s vládnymi agentúrami približne 37 – 38 miliárd rubľov, čo znamená pokles o približne 40 % je očakávaný.

Ako už bolo uvedené, bezpečnosť podniku je zabezpečená súborom opatrení vo všetkých fázach jeho životného cyklu, jeho informačným systémom a vo všeobecnosti pozostáva z nákladov:

• - dizajnérske práce;
• - obstarávanie a konfigurácia nástrojov na ochranu softvéru a hardvéru;
• - náklady na zabezpečenie fyzickej bezpečnosti;
• - školenie personálu;
• - riadenie a podpora systému;
• - audit informačnej bezpečnosti;
• - periodická modernizácia systému informačnej bezpečnosti a pod.

Nákladovým ukazovateľom ekonomickej efektívnosti integrovaného systému informačnej bezpečnosti bude súčet priamych a nepriamych nákladov na organizáciu, prevádzku a údržbu systému informačnej bezpečnosti počas celého roka.

Možno ho považovať za kľúčový kvantitatívny ukazovateľ efektívnosti organizácie informačnej bezpečnosti v podniku, keďže umožní nielen odhadnúť celkové náklady na ochranu, ale tieto náklady riadiť tak, aby sa dosiahla požadovaná úroveň bezpečnosti podniku. Priame náklady však zahŕňajú zložky kapitálových nákladov aj mzdové náklady, ktoré sú zahrnuté v kategóriách operácií a administratívneho riadenia. Patria sem aj náklady na služby vzdialených používateľov atď. spojené s podporou činností organizácie.

Nepriame náklady zase odrážajú vplyv integrovaného bezpečnostného systému a subsystému informačnej bezpečnosti na zamestnancov prostredníctvom takých merateľných ukazovateľov, akými sú výpadky a zamrznutia podnikového informačného bezpečnostného systému a integrovaného bezpečnostného systému ako celku, náklady na prevádzku a podporu.

Veľmi často zohrávajú významnú úlohu nepriame náklady, pretože zvyčajne nie sú spočiatku zohľadnené v rozpočte na komplexný bezpečnostný systém, ale sú explicitne odhalené pri analýze nákladov neskôr, čo v konečnom dôsledku vedie k zvýšeniu „skrytých“ nákladov spoločnosti. Pozrime sa, ako môžete určiť priame a nepriame náklady na komplexný bezpečnostný systém. Predpokladajme, že manažment podniku pracuje na implementácii komplexného systému informačnej bezpečnosti v podniku. Predmety a ciele ochrany, ohrozenia informačnej bezpečnosti a opatrenia na ich odstránenie už boli identifikované, potrebné prostriedky na ochranu informácií boli zakúpené a nainštalované.

Náklady na informačnú bezpečnosť zvyčajne spadajú do nasledujúcich kategórií:

• - náklady na vytvorenie a údržbu prepojenia systému riadenia informačnej bezpečnosti;
• - náklady na kontrolu, to znamená na stanovenie a potvrdenie dosiahnutej úrovne bezpečnosti podnikových zdrojov;
• - interné náklady na odstránenie následkov narušenia informačnej bezpečnosti - náklady, ktoré organizácii vzniknú v dôsledku nedosiahnutia požadovanej úrovne bezpečnosti;
• - externé náklady na odstránenie následkov narušenia informačnej bezpečnosti - kompenzácia strát v dôsledku porušenia bezpečnostnej politiky v prípadoch súvisiacich s únikom informácií, stratou imidžu spoločnosti, stratou dôvery partnerov a spotrebiteľov atď.;
• - náklady na údržbu systému informačnej bezpečnosti a opatrenia na predchádzanie porušovaniu podnikovej bezpečnostnej politiky.

V tomto prípade sa zvyčajne rozlišujú jednorazové a systematické náklady.

Jednorazové náklady na vytvorenie podnikovej bezpečnosti: organizačné náklady a náklady na obstaranie a inštaláciu ochranných prostriedkov.

Systematické náklady na prevádzku a údržbu. Klasifikácia nákladov je podmienená, pretože zber, klasifikácia a analýza nákladov na informačnú bezpečnosť sú internou činnosťou podnikov a podrobný vývoj zoznamu závisí od charakteristík konkrétnej organizácie.

Hlavnou vecou pri určovaní nákladov na bezpečnostný systém je vzájomné porozumenie a dohoda o nákladových položkách v rámci podniku.

Okrem toho by kategórie nákladov mali byť konzistentné a nemali by sa navzájom duplikovať. Náklady na bezpečnosť nie je možné úplne eliminovať, ale možno ich znížiť na prijateľnú úroveň.

Niektoré náklady na bezpečnosť sú absolútne nevyhnutné a niektoré možno výrazne znížiť alebo eliminovať. Posledne menované sú tie, ktoré môžu zmiznúť, ak nedôjde k narušeniu bezpečnosti, alebo sa znížia, ak sa zníži počet a deštruktívny vplyv narušení.

Udržiavaním bezpečnosti a predchádzaním porušeniam možno eliminovať alebo výrazne znížiť nasledujúce náklady:

• - obnoviť bezpečnostný systém tak, aby spĺňal bezpečnostné požiadavky;
• - obnoviť zdroje informačného prostredia podniku;
• - na zmeny v rámci bezpečnostného systému;
• - pre právne spory a platby odškodnenia;
• - identifikovať príčiny narušenia bezpečnosti.

Nevyhnutné náklady sú tie, ktoré sú nevyhnutné, aj keď je úroveň bezpečnostných hrozieb dosť nízka. Ide o náklady na udržanie dosiahnutej úrovne bezpečnosti podnikového informačného prostredia.

Nevyhnutné náklady môžu zahŕňať:

• a) údržba technických ochranných prostriedkov;
• b) správa dôverných záznamov;
• c) prevádzka a audit bezpečnostného systému;
• d) minimálna úroveň inšpekcií a kontroly so zapojením špecializovaných organizácií;
• e) školenie personálu v metódach informačnej bezpečnosti.

Existujú však aj ďalšie náklady, ktoré je dosť ťažké určiť. Medzi nimi:

• a) náklady na vykonanie dodatočného výskumu a vývoj novej trhovej stratégie;
• b) straty zo zníženia priority vo vedeckom výskume a nemožnosti patentovať a predávať licencie na vedecké a technické úspechy;
• c) náklady spojené s odstraňovaním prekážok v zásobovaní, výrobe a marketingu produktov;
• d) straty z kompromitácie produktov vyrábaných podnikom a zníženia ich cien;
• e) výskyt ťažkostí pri získavaní zariadení alebo technológií, vrátane ich zvyšovania cien, obmedzovania objemu dodávok.

Uvedené náklady môžu byť spôsobené činnosťou pracovníkov rôznych oddelení, napríklad konštrukčného, ​​technologického, ekonomického plánovacieho, právneho, ekonomického, marketingového, tarifného a cenového.

Keďže je nepravdepodobné, že zamestnanci všetkých týchto oddelení budú na plný úväzok zaneprázdnení otázkami externých strát, stanovenie výšky nákladov sa musí vykonať s prihliadnutím na skutočne vynaložený čas. Jeden z prvkov externých strát sa nedá presne vypočítať - ide o straty spojené s podkopávaním imidžu podniku, čím sa znižuje dôvera spotrebiteľov v produkty a služby podniku. Z tohto dôvodu mnohé korporácie zakrývajú skutočnosť, že ich služba nie je bezpečná. Korporácie sa obávajú zverejnenia takýchto informácií ešte viac ako útokov v tej či onej forme.

Mnohé podniky však tieto náklady ignorujú na základe toho, že ich nemožno určiť so žiadnym stupňom presnosti – sú len odhadované. Náklady na preventívne opatrenia. Odhadnúť tieto náklady je asi najťažšie, pretože preventívne aktivity sa vykonávajú naprieč rôznymi oddeleniami a ovplyvňujú mnohé služby. Tieto náklady sa môžu objaviť vo všetkých fázach životného cyklu zdrojov podnikového informačného prostredia:

• - plánovanie a organizácia;
• - získanie a uvedenie do prevádzky;
• - dodávka a podpora;
• - sledovanie procesov, ktoré tvoria informačné technológie.

Okrem toho väčšina nákladov v tejto kategórii súvisí s bezpečnostným personálom. Náklady na prevenciu zahŕňajú predovšetkým mzdy a réžiu. Presnosť ich určenia však do značnej miery závisí od presnosti určenia času stráveného každým zamestnancom individuálne. Niektoré preventívne náklady sa dajú ľahko priamo identifikovať. Môžu zahŕňať najmä platby za rôzne diela tretích strán, napríklad:

• - údržba a konfigurácia nástrojov na ochranu softvéru a hardvéru, operačných systémov a používaných sieťových zariadení;
• - vykonávanie inžinierskych a technických prác na inštaláciu poplachových systémov, vybavenie skladovacích priestorov pre dôverné dokumenty, ochrana telefónne linky komunikácie, počítačové vybavenie atď.;
• - poskytovanie dôverných informácií;
• - konzultácie;
• - školenia.

Zdroje informácií o uvažovaných nákladoch. Pri určovaní nákladov na zabezpečenie informačnej bezpečnosti je potrebné mať na pamäti, že:

• - náklady na obstaranie a uvedenie softvéru a hardvéru do prevádzky je možné získať z rozborov faktúr, záznamov v skladovej dokumentácii a pod.;
• - platby zamestnancom možno získať z výpisov;
• - objemy platieb mzdy by sa mal brať do úvahy skutočný čas strávený vykonávaním práce na zaistenie informačnej bezpečnosti, ak len časť času zamestnanca venuje činnostiam na zaistenie informačnej bezpečnosti, potom uskutočniteľnosť hodnotenia každej zo zložiek vynaloženého času; nemali by byť spochybňované;
• - klasifikácia nákladov na bezpečnosť a ich rozdelenie medzi prvky by sa malo stať súčasťou každodennej práce v podniku.