Μελέτη παγκόσμιου κινδύνου ασφάλεια πληροφοριών for business (Kaspersky Lab Global Corporate IT Security Risks Survey) είναι μια ετήσια ανάλυση των τάσεων στην ασφάλεια εταιρικών πληροφοριών σε όλο τον κόσμο. Θεωρούμε σημαντικές πτυχές της κυβερνοασφάλειας όπως το κόστος της ασφάλειας των πληροφοριών, τους πραγματικούς τύπους απειλών για διαφορετικούς τύπους εταιρειών και τις οικονομικές συνέπειες της αντιμετώπισης αυτών των απειλών. Επιπλέον, μαθαίνοντας από στελέχη σχετικά με τις αρχές του προϋπολογισμού για την ασφάλεια των πληροφοριών, μπορούμε να δούμε πώς οι εταιρείες σε διάφορες περιοχές του κόσμου ανταποκρίνονται στις αλλαγές στο τοπίο των απειλών.

Το 2017, προσπαθήσαμε να καταλάβουμε εάν οι εταιρείες βλέπουν την ασφάλεια των πληροφοριών ως πηγή κόστους (ένα αναγκαίο κακό για το οποίο πρέπει να ξοδέψουν χρήματα) ή αρχίζουν να τη βλέπουν ως στρατηγική επένδυση (δηλαδή ένα μέσο για τη διασφάλιση της επιχειρηματικής συνέχειας που παρέχει σημαντική πλεονεκτήματα σε μια εποχή ταχέως αναδυόμενων απειλών στον κυβερνοχώρο).

Αυτό είναι ένα πολύ σημαντικό ζήτημα, ειδικά από τη στιγμή που ο προϋπολογισμός της πληροφορικής μειώνεται στις περισσότερες περιοχές του κόσμου.

Στη Ρωσία, ωστόσο, το 2017 σημειώθηκε μια ελαφρά αύξηση του μέσου προϋπολογισμού που διατίθεται για την ασφάλεια - 2%. Ο μέσος προϋπολογισμός κυβερνοασφάλειας στη Ρωσία ήταν περίπου 15,4 εκατομμύρια ρούβλια.

Αυτή η αναφορά περιγράφει λεπτομερώς τους τύπους απειλών που αντιμετωπίζουν εταιρείες όλων των μεγεθών, καθώς και τα χαρακτηριστικά μοτίβα κατανομής κόστους πληροφορικής.

Γενικές πληροφορίες και μεθοδολογία έρευνας

Η Global Corporate IT Security Risks Survey της Kaspersky Lab είναι μια έρευνα στελεχών που διαχειρίζονται υπηρεσίες πληροφορικής στους οργανισμούς τους, η οποία διεξάγεται ετησίως από το 2011.

Τα πιο πρόσφατα δεδομένα συλλέχθηκαν τον Μάρτιο και τον Απρίλιο του 2017. Ερωτήθηκαν συνολικά 5.274 ερωτηθέντες από περισσότερες από 30 χώρες και εταιρείες όλων των μεγεθών συμμετείχαν στη μελέτη.

Οι ακόλουθες ονομασίες χρησιμοποιούνται μερικές φορές στην αναφορά: μικρή επιχείρηση - λιγότεροι από 50 εργαζόμενοι, SMB (μεσαίες και μικρές επιχειρήσεις - από 50 έως 250 εργαζόμενοι) και μεγάλη επιχείρηση (εταιρείες με περισσότερους από 250 υπαλλήλους). Η τρέχουσα έκθεση παρουσιάζει μια ανάλυση των πιο αποκαλυπτικών παραμέτρων από την έρευνα.

Κύρια συμπεράσματα:

Οι κυβερνοαπειλές γίνονται όλο και πιο δύσκολο να αντιμετωπιστούν για εταιρείες όλων των μεγεθών, ενώ το κόστος άμυνας αυξάνεται επίσης. Στη Ρωσία, στο τμήμα των μεσαίων και μικρών επιχειρήσεων, το μέσο κόστος για την εξάλειψη των συνεπειών ενός μόνο περιστατικού στον κυβερνοχώρο είναι 1,6 εκατομμύρια ρούβλια και για το μεγάλο επιχειρηματικό τμήμα, το κόστος είναι 16,1 εκατομμύρια ρούβλια.

Το μερίδιο του προϋπολογισμού ΤΠ που διατίθεται για την ασφάλεια των πληροφοριών αυξάνεται. Αυτό ισχύει για εταιρείες οποιουδήποτε μεγέθους. Το συνολικό ποσό του προϋπολογισμού, ωστόσο, παραμένει χαμηλό και στη Ρωσία η ανάπτυξη ήταν μόνο 2%, επομένως οι ειδικοί αναγκάζονται να εκτελούν τα καθήκοντά τους με λίγους πόρους.

Η ζημιά από ένα μεμονωμένο περιστατικό αυξάνεται και οι εταιρείες που δεν δίνουν προτεραιότητα στις δαπάνες για την ασφάλεια στον κυβερνοχώρο θα μπορούσαν σύντομα να βρεθούν σε σοβαρό πρόβλημα. Η μελέτη έδειξε ότι στο τμήμα SMB, οι εταιρείες ξοδεύουν περίπου 300 χιλιάδες ρούβλια για κάθε περιστατικό ασφαλείας σε πρόσθετες πληρωμές στο προσωπικό και οι μεγάλες εταιρείες μπορούν να δαπανήσουν 2,7 εκατομμύρια ρούβλια για να μειώσουν τη ζημιά που προκαλείται στην επωνυμία.

Ζημιές από περιστατικά ασφαλείας

Η ζημιά από τα περιστατικά στον κυβερνοχώρο αυξάνεται συνεχώς: οι εταιρείες πρέπει να αντιμετωπίσουν πολλές από τις συνέπειές τους, από επιπλέον εργασίαμε το κοινό πριν από την πρόσληψη νέων υπαλλήλων. Το 2017, σημειώθηκε περαιτέρω αύξηση των οικονομικών ζημιών σε περίπτωση παραβιάσεων της ακεραιότητας των δεδομένων. Αυτό θα αλλάξει τον τρόπο με τον οποίο προσεγγίζουμε αυτό το ζήτημα: οι εταιρείες θα σταματήσουν να βλέπουν τις δαπάνες στον κυβερνοχώρο ως αναγκαίο κακό και θα αρχίσουν να τις βλέπουν ως επένδυση που θα αποφύγει σημαντικές οικονομικές απώλειες σε περίπτωση επίθεσης.

Οι σοβαρές παραβιάσεις δεδομένων κοστίζουν όλο και περισσότερο

Οι CTO ανησυχούν περισσότερο για μαζικές επιθέσεις που διαρρέουν εκατομμύρια αρχεία. Τέτοιες ήταν οι επιθέσεις στο Εθνικό Σύστημα Υγείας (NHS) της Μεγάλης Βρετανίας, η Sony ή το χακάρισμα του καναλιού HBO με την αποκάλυψη εμπιστευτικών δεδομένων που σχετίζονται με τη σειρά Game of Thrones. Στην πραγματικότητα, ωστόσο, τέτοια μεγάλα περιστατικά αποτελούν την εξαίρεση παρά τον κανόνα. Οι περισσότερες επιθέσεις στον κυβερνοχώρο δεν έγιναν πρωτοσέλιδα μέχρι πέρυσι και παρέμειναν οι πολλές ειδικές αναφορές για ειδικούς. Φυσικά, οι επιδημίες ransomware έχουν αλλάξει λίγο την κατάσταση, αλλά και πάλι το εταιρικό τμήμα της επιχείρησης δεν αντιλαμβάνεται την όλη εικόνα.

Ο σχετικά μικρός αριθμός γνωστών κυβερνοεπιθέσεων μεγάλης κλίμακας δεν σημαίνει ότι η ζημιά από τις περισσότερες επιθέσεις είναι αμελητέα. Λοιπόν, πόσα ξοδεύουν οι εταιρείες κατά μέσο όρο για να διορθώσουν μια «τυπική» παραβίαση δεδομένων; Ζητήσαμε από τους συμμετέχοντες στη μελέτη να υπολογίσουν πόσα ξόδεψε/έχασε η εταιρεία τους ως αποτέλεσμα οποιουδήποτε περιστατικού ασφαλείας που συνέβη τον τελευταίο χρόνο.

Όλες οι εταιρείες με 50 ή περισσότερους υπαλλήλους έπρεπε να υπολογίσουν το κόστος που προέκυψε σε καθεμία από τις ακόλουθες κατηγορίες:

Για καθεμία από τις κατηγορίες, υπολογίσαμε το μέσο κόστος των εταιρειών που αντιμετώπισαν ένα περιστατικό ασφάλειας πληροφοριών και το άθροισμα όλων των κατηγοριών μας επέτρεψε να υπολογίσουμε το ποσό της συνολικής ζημίας που προκλήθηκε από ένα περιστατικό ασφάλειας πληροφοριών.

Τα αποτελέσματα για τους τομείς των ΜΜΕ και των μεγάλων επιχειρήσεων δίνονται ξεχωριστά παρακάτω, καθώς τα στατιστικά στοιχεία για αυτούς διαφέρουν από πολλές απόψεις. Για παράδειγμα, η μέση ζημιά για τις ρωσικές εταιρείες μικρομεσαίων επιχειρήσεων είναι σχεδόν 1,6 εκατομμύρια ρούβλια και για τις μεγάλες επιχειρήσεις είναι σχεδόν δέκα φορές υψηλότερη - 16,1 εκατομμύρια ρούβλια. Αυτό δείχνει ότι οι κυβερνοεπιθέσεις είναι δαπανηρές για εταιρείες όλων των μεγεθών.

Δεν προκαλεί έκπληξη το γεγονός ότι οι μεγάλες επιχειρήσεις, κατά μέσο όρο, υφίστανται περισσότερες απώλειες από παραβιάσεις της ακεραιότητας των δεδομένων, αλλά είναι ενδιαφέρον να αναλυθεί η κατανομή των ζημιών ανά κατηγορία.

Πέρυσι, τα επιδόματα των εργαζομένων ήταν η μεγαλύτερη δαπάνη τόσο για τις μικρομεσαίες επιχειρήσεις όσο και για τις μεγάλες επιχειρήσεις. Ωστόσο, φέτος η εικόνα άλλαξε και εταιρείες διαφορετικών μεγεθών έγιναν τα κύρια στοιχεία δαπανών. Οι μικρές και μεσαίες επιχειρήσεις συνεχίζουν να χάνουν τα περισσότερα από τα επιδόματα των εργαζομένων. Αλλά οι μεγάλες επιχειρήσεις άρχισαν να επενδύουν σε πρόσθετες δημόσιες σχέσεις, προκειμένου να μειώσουν τη ζημιά στη φήμη της μάρκας. Επιπλέον, σημαντικό στοιχείο κόστους για τις μεγάλες επιχειρήσεις ήταν το κόστος βελτίωσης τεχνικού εξοπλισμού και αγοράς πρόσθετου λογισμικού.

Για όλες τις εταιρείες, το κόστος εκπαίδευσης των εργαζομένων έχει αυξηθεί. Τα περιστατικά ασφαλείας συχνά κάνουν τις εταιρείες να συνειδητοποιήσουν τη σημασία της αύξησης του αλφαβητισμού στον κυβερνοχώρο και της βελτίωσης των πληροφοριών σχετικά με τις απειλές.

Οι πιο εκτεταμένοι εσωτερικοί πόροι των μεγάλων εταιρειών και οι ιδιαιτερότητες της ρύθμισής τους καθορίζουν μια διαφορετική ισορροπία μεταξύ του κόστους εξάλειψης της ίδιας της απειλής και του κόστους αποζημίωσης για ζημιές. Η αύξηση των ασφαλίστρων, η επιδείνωση της πιστοληπτικής ικανότητας και η υπονόμευση της εμπιστοσύνης στην εταιρεία έγιναν ένα σοβαρό στοιχείο εξόδων: κατά μέσο όρο, μετά από κάθε περιστατικό, οι μεγάλες εταιρείες χάνουν περίπου 2,3 εκατομμύρια ρούβλια για αυτό.

Η έρευνά μας δείχνει ότι ένα μεγάλο μέρος της αύξησης των δαπανών οφειλόταν στην ανάγκη να αποτραπούν –ή τουλάχιστον να μετριαστούν– οι απώλειες φήμης με τη μορφή πιστωτικών αποτελεσμάτων, εικόνας της επωνυμίας και αποζημίωσης.

Με όλο και περισσότερους νέους κανονισμούς που εφαρμόζονται παντού, η μέση ζημιά είναι πιθανό να συνεχίσει να αυξάνεται: οι εταιρείες θα πρέπει να αναφέρουν δημόσια όλα τα περιστατικά και να αυξήσουν τη διαφάνεια της προστασίας δεδομένων.

Τέτοιες τάσεις είναι χαρακτηριστικές, για παράδειγμα, στην Ιαπωνία, όπου το μέσο κόστος αποκατάστασης μιας παραβίασης ασφάλειας υπερδιπλασιάστηκε από 580.000 $ το 2016 σε 1,3 εκατομμύρια $ το 2017. Η ιαπωνική κυβέρνηση έχει λάβει μέτρα για να ενισχύσει τις ρυθμιστικές απαιτήσεις λόγω της αύξησης των απειλών για την ασφάλεια στον κυβερνοχώρο. Το 2017 τέθηκαν σε ισχύ νέοι νόμοι, οι οποίοι προκάλεσαν ξαφνική αύξηση του κόστους.

Ωστόσο, η ανάπτυξη και η εφαρμογή των νόμων απαιτεί χρόνο. Με το ταχέως εξελισσόμενο εταιρικό τοπίο πληροφορικής και την εξέλιξη των απειλών στον κυβερνοχώρο, οι ρυθμιστικές καθυστερήσεις γίνονται μείζον ζήτημα. Για παράδειγμα, τα νέα ιαπωνικά πρότυπα συμφωνήθηκαν ήδη από το 2015, αλλά η έναρξη ισχύος τους έπρεπε να αναβληθεί έως και δύο χρόνια. Για πολλούς, αυτή η καθυστέρηση ήταν πολύ δαπανηρή: τα τελευταία δύο χρόνια, πολλές μεγάλες ιαπωνικές εταιρείες έχουν πέσει θύματα δαπανηρών επιθέσεων. Ένα παράδειγμα είναι η ταξιδιωτική εταιρεία JTB Corp., η οποία αντιμετώπισε μια τεράστια διαρροή το 2016. Κλάπηκαν δεδομένα 8 εκατομμυρίων πελατών, συμπεριλαμβανομένων ονομάτων, διευθύνσεων και αριθμών διαβατηρίων.

Αυτό είναι ένα από τα συμπτώματα ενός παγκόσμιου προβλήματος: οι απειλές αναπτύσσονται γρήγορα και η αδράνεια των κυβερνήσεων και των εταιρειών είναι πολύ υψηλή. Ένα άλλο παράδειγμα σύσφιξης των βιδών είναι ο Κοινός Ευρωπαϊκός Κανονισμός Προστασίας Δεδομένων (GDPR), ο οποίος τίθεται σε ισχύ τον Μάιο του 2018 και περιορίζει σημαντικά τους αποδεκτούς τρόπους επεξεργασίας και αποθήκευσης των δεδομένων των πολιτών της ΕΕ.

Οι νόμοι αλλάζουν σε όλο τον κόσμο, αλλά δεν μπορούν να συμβαδίσουν με τις απειλές στον κυβερνοχώρο - τρία κύματα ransomware στη Ρωσία το υπενθύμισαν το 2017. Ως εκ τούτου, οι επιχειρήσεις θα πρέπει να γνωρίζουν την ατέλεια του νόμου και να ενισχύσουν την προστασία σύμφωνα με τις πραγματικές συνθήκες - ή να παραιτηθούν εκ των προτέρων για να βλάψουν τη φήμη και τους πελάτες. Αξίζει να προετοιμαστείτε για νέες ρυθμιστικές απαιτήσεις χωρίς να περιμένετε προθεσμίες. Με την αλλαγή των πολιτικών μετά την έκδοση των σχετικών νόμων, οι εταιρείες κινδυνεύουν όχι μόνο με πρόστιμα, αλλά και την ασφάλεια των δεδομένων τους και των πελατών τους.

Δεν υπάρχουν ευάλωτα σημεία άλλων ανθρώπων: οι παραβιάσεις στην προστασία των συνεργατών είναι ακριβές

Για την προστασία από διαρροές δεδομένων, είναι πολύ σημαντικό να κατανοήσουμε ποιοι φορείς επίθεσης χρησιμοποιούνται από τους εισβολείς. Με τη σειρά τους, αυτές οι πληροφορίες θα σας βοηθήσουν να κατανοήσετε ποιοι τύποι επιθέσεων κοστίζουν περισσότερο.

Η έρευνα έδειξε ότι τα ακόλουθα περιστατικά είχαν τις πιο σοβαρές οικονομικές συνέπειες για τις μεσαίες και μικρές επιχειρήσεις:

• Συμβάντα που επηρεάζουν την υποδομή που φιλοξενείται σε εξοπλισμό τρίτων (17,2 εκατομμύρια RUB)
• Συμβάντα που επηρεάζουν τις υπηρεσίες cloud τρίτων που χρησιμοποιούνται από την εταιρεία (3,6 εκατομμύρια ρούβλια)
• Λανθασμένη επικοινωνία μέσω κινητές συσκευές(2,5 εκατομμύρια ρούβλια)
• Φυσική απώλεια κινητών συσκευών, εκθέτοντας τον οργανισμό σε κινδύνους (2,1 εκατομμύρια ρούβλια)
• Συμβάντα που σχετίζονται με μη υπολογιστικές συσκευές συνδεδεμένες στο Διαδίκτυο (για παράδειγμα, συστήματα βιομηχανικού ελέγχου, Διαδίκτυο πραγμάτων) (1,7 εκατομμύρια ρούβλια)

Η κατάσταση με τις μεγάλες επιχειρήσεις είναι κάπως διαφορετική:

• Στοχευμένες επιθέσεις (75 εκατομμύρια ρούβλια)
• Συμβάντα που επηρεάζουν τις υπηρεσίες cloud τρίτων προμηθευτών (19 εκατομμύρια ρούβλια)
• Ιούς και κακόβουλο λογισμικό(9 εκατομμύρια ρούβλια)
• Ακατάλληλη ανταλλαγή δεδομένων μέσω κινητών συσκευών (7,3 εκατομμύρια RUB)
• Περιστατικά που επηρεάζουν προμηθευτές με τους οποίους οι εταιρείες ανταλλάσσουν δεδομένα (4,4 εκατομμύρια ρούβλια)

Αυτά τα δεδομένα δείχνουν ότι πολύ συχνά, οι επιθέσεις που προκαλούνται από προβλήματα ασφάλειας με επιχειρηματικούς εταίρους κοστίζουν σχεδόν περισσότερο σε εταιρείες οποιουδήποτε μεγέθους. Αυτό ισχύει και για τους δύο οργανισμούς που ενοικιάζουν τρίτους παρόχους cloud ή άλλη υποδομή, καθώς και εταιρείες που μοιράζονται τα δεδομένα τους με συνεργάτες.

Μόλις δώσετε σε άλλη εταιρεία πρόσβαση στα δεδομένα ή την υποδομή σας, οι αδυναμίες της γίνονται το πρόβλημά σας. Ωστόσο, έχουμε δει στο παρελθόν ότι οι περισσότεροι οργανισμοί δεν αποδίδουν επαρκή σημασία σε αυτό. Επομένως, δεν προκαλεί έκπληξη το γεγονός ότι τα περιστατικά αυτού του είδους προκαλούν τα μεγαλύτερα έξοδα: οποιοσδήποτε πυγμάχος θα σας πει ότι συνήθως είναι μια απροσδόκητη γροθιά που στέλνει νοκ άουτ.

Άμεσα αξιοσημείωτο είναι επίσης ένας άλλος φορέας που μπήκε απροσδόκητα στις 5 κορυφαίες απειλές για τις μεσαίες επιχειρήσεις: οι επιθέσεις που σχετίζονται με συνδεδεμένες συσκευές εκτός υπολογιστή. Σήμερα, η κίνηση στο Διαδίκτυο των Πραγμάτων (IoT) αυξάνεται πολύ πιο γρήγορα από την κίνηση που παράγεται από οποιαδήποτε άλλη τεχνολογία. Αυτό είναι ένα άλλο παράδειγμα για το πώς οι νέες εξελίξεις αυξάνουν τον αριθμό των πιθανών τρωτών σημείων στην επιχειρηματική υποδομή. Ειδικότερα, η ευρεία χρήση των εργοστασιακών προεπιλεγμένων κωδικών πρόσβασης και η αδύναμη ασφάλεια στις συσκευές IoT τα έχει καταστήσει ιδανική επιλογή για botnet τύπου Mirai, κακόβουλο λογισμικό ικανό να συνδέσει τεράστιο αριθμό ευάλωτων συσκευών σε ενιαίο δίκτυογια τη διεξαγωγή επιθέσεων DDoS μεγάλης κλίμακας σε επιλεγμένους στόχους.

Το μέγεθος των απωλειών από στοχευμένες επιθέσεις στο μεγάλο επιχειρηματικό τμήμα είναι αξιοσημείωτο - αυτή η απειλή είναι εξαιρετικά δύσκολο να αντιμετωπιστεί. Τα τελευταία δύο χρόνια, έχουν γίνει γνωστές μια σειρά από στοχευμένες επιθέσεις υψηλού προφίλ σε τράπεζες, γεγονός που επίσης ενισχύει αυτά τα απογοητευτικά στατιστικά στοιχεία.

Επένδυση στη Μείωση Κινδύνων

Όπως έδειξε η έρευνά μας, οι απειλές για την ασφάλεια των πληροφοριών γίνονται όλο και πιο σοβαρές. Υπό αυτές τις συνθήκες, η κατάσταση των ίδιων των προϋπολογισμών για την ασφάλεια των πληροφοριών δεν μπορεί παρά να είναι ανησυχητική. Αναλύοντας τις αλλαγές τους, μπορούμε να αποφασίσουμε εάν οι οργανισμοί βλέπουν την ασφάλειά τους ως πηγή κόστους ή η ισορροπία αλλάζει σταδιακά και αρχίζουν να τη βλέπουν ως μια επενδυτική ευκαιρία που παρέχει πραγματικό ανταγωνιστικό πλεονέκτημα.

Το μέγεθος του προϋπολογισμού δείχνει τη στάση της εταιρείας απέναντι στην ασφάλεια πληροφορικής, τη σημασία του ρόλου του συστήματος ασφαλείας από τη σκοπιά της διαχείρισης και την προθυμία του οργανισμού να αναλάβει κινδύνους.

Προϋπολογισμός ασφάλειας πληροφοριών: το μερίδιο αυξάνεται, η «πίτα» συρρικνώνεται

Φέτος, βλέπουμε ότι η εξοικονόμηση πόρων και η εξωτερική ανάθεση έχουν οδηγήσει σε περικοπές στους προϋπολογισμούς πληροφορικής. Παρά το γεγονός αυτό (και ίσως εξαιτίας αυτού), το μερίδιο της ασφάλειας των πληροφοριών σε αυτούς τους προϋπολογισμούς πληροφορικής έχει αυξηθεί. Στη Ρωσία, μια θετική τάση μπορεί να παρατηρηθεί σε εταιρείες όλων των μεγεθών. Ακόμη και μεταξύ των μικροεπιχειρήσεων που δεν διαθέτουν πόρους, το μερίδιο των προϋπολογισμών ΤΠ που αφιερώνεται στην ασφάλεια των πληροφοριών έχει αυξηθεί, αν και κατά ένα κλάσμα τοις εκατό.

Αυτό σημαίνει ότι οι εταιρείες αρχίζουν επιτέλους να κατανοούν τη σημασία της ασφάλειας των πληροφοριών. Ίσως αυτό δείχνει ότι η ασφάλεια των πληροφοριών θεωρείται από πολλούς ως δυνητικά αξιόλογη επένδυση παρά ως δαπανηρή επένδυση.

Παρατηρούμε ότι στον κόσμο οι προϋπολογισμοί πληροφορικής μειώνονται σημαντικά. Ενώ η ασφάλεια των πληροφοριών παίρνει ένα μεγαλύτερο κομμάτι της πίτας, η ίδια η πίτα συρρικνώνεται. Η τάση είναι ανησυχητική, ειδικά λαμβάνοντας υπόψη πόσο υψηλά είναι τα στοιχήματα σε αυτόν τον τομέα και πόσο ακριβή είναι κάθε επίθεση.

Στη Ρωσία, ο μέσος προϋπολογισμός για την ασφάλεια πληροφοριών για μεγάλες επιχειρήσεις το 2017 έφτασε τα 400 εκατομμύρια ρούβλια και για τις μικρομεσαίες επιχειρήσεις - 4,6 εκατομμύρια ρούβλια.

Δείγμα: 694 ερωτηθέντες στη Ρωσία ικανοί να αξιολογήσουν τον προϋπολογισμό

Δεν αποτελεί έκπληξη το γεγονός ότι οι οργανισμοί δημόσιων υπηρεσιών (συμπεριλαμβανομένου του αμυντικού τομέα) και τα χρηματοπιστωτικά ιδρύματα σε όλο τον κόσμο αναφέρουν τις υψηλότερες δαπάνες για την ασφάλεια στον κυβερνοχώρο φέτος. Οι επιχειρήσεις και στους δύο αυτούς τομείς ξόδεψαν κατά μέσο όρο περισσότερα από 5 εκατομμύρια δολάρια για την ασφάλεια. Αξίζει να σημειωθεί ότι ο τομέας της πληροφορικής και των τηλεπικοινωνιών, καθώς και οι εταιρείες ενέργειας, ξόδεψαν επίσης περισσότερα από τον μέσο όρο για την ασφάλεια των πληροφοριών, αν και οι προϋπολογισμοί τους αποδείχθηκαν πιο κοντά στα 3 εκατομμύρια δολάρια και όχι στα 5 δολάρια.

Ωστόσο, αν διαιρέσουμε το συνολικό κόστος με τον αριθμό των εργαζομένων, τότε οι κυβερνητικοί οργανισμοί μετακινούνται στο τέλος της λίστας. Κατά μέσο όρο, ο τομέας της πληροφορικής και των τηλεπικοινωνιών δαπανά 1.258 δολάρια για την ασφάλεια πληροφοριών κατά κεφαλήν, ενώ ο τομέας της ενέργειας δαπανά 1.344 δολάρια και οι χρηματοοικονομικές εταιρείες ξοδεύουν 1.436 δολάρια. Συγκριτικά, οι κρατικές υπηρεσίες διαθέτουν μόνο 959 $ ανά άτομο για την ασφάλεια των πληροφοριών.

Τόσο στον τομέα της πληροφορικής και των τηλεπικοινωνιών όσο και στον κλάδο της ενέργειας, το υψηλό κόστος ανά εργαζόμενο πιθανότατα οφείλεται στην ανάγκη προστασίας πνευματική ιδιοκτησία. Στην περίπτωση των οργανισμών παροχής ηλεκτρικής ενέργειας, το υψηλό κόστος προστασίας μπορεί επίσης να οφείλεται στο γεγονός ότι αυτές οι εταιρείες είναι όλο και πιο ευάλωτες σε στοχευμένες επιθέσεις που οργανώνονται από κακόβουλες ομάδες.

Σε αυτόν τον κλάδο, η επένδυση στην ασφάλεια των πληροφοριών γίνεται το κλειδί για την επιβίωση, καθώς διασφαλίζει τη συνέχεια της επιχείρησης - έναν εξαιρετικά σημαντικό παράγοντα για τον ενεργειακό εφοδιασμό. Οι συνέπειες μιας επιτυχημένης κυβερνοεπίθεσης σε αυτόν τον κλάδο είναι ιδιαίτερα σοβαρές, επομένως η επένδυση στην ασφάλεια των πληροφοριών έχει πολύ απτά οφέλη.

Στη Ρωσία, η πληροφορική και οι τηλεπικοινωνίες, καθώς και οι βιομηχανικές επιχειρήσεις, επενδύονται κυρίως στην ασφάλεια πληροφοριών - το μέσο κόστος για την πρώτη φτάνει τα 300 εκατομμύρια ρούβλια, για τη δεύτερη - 80 εκατομμύρια ρούβλια. Οι βιομηχανικές και μεταποιητικές εταιρείες τείνουν να βασίζονται σε αυτοματοποιημένα συστήματαδιαχείρισης (ICS) για τη διασφάλιση της συνέχειας των παραγωγικών διαδικασιών. Ταυτόχρονα, οι επιθέσεις στο ICS αυξάνονται σε αριθμό: τους τελευταίους 12 μήνες, ο αριθμός τους έχει αυξηθεί κατά 5%.

Λόγοι για επένδυση στην ασφάλεια των πληροφοριών

Η εξάπλωση των επενδύσεων στην ασφάλεια πληροφοριών μεταξύ των τομέων είναι πολύ μεγάλη. Ως εκ τούτου, είναι ιδιαίτερα σημαντικό να ανακαλύψουμε τους λόγους για τους οποίους οι εταιρείες ξοδεύουν περιορισμένους πόρους για την ασφάλεια των πληροφοριών. Χωρίς να γνωρίζουμε τα κίνητρα, είναι αδύνατο να κατανοήσουμε εάν η εταιρεία θεωρεί ότι τα χρήματα που δαπανώνται για την ασφάλεια της υποδομής πληροφορικής έχουν πεταχτεί ή τα θεωρεί ως κερδοφόρα επένδυση.

Το 2017, πολύ περισσότερες εταιρείες σε όλο τον κόσμο παραδέχτηκαν ότι επρόκειτο να επενδύσουν στην ασφάλεια στον κυβερνοχώρο ανεξάρτητα από την αναμενόμενη απόδοση της επένδυσης: 63% σε σύγκριση με 56% το 2016. Αυτό δείχνει ότι όλο και περισσότερες εταιρείες κατανοούν τη σημασία της ασφάλειας των πληροφοριών.

Οι κύριοι λόγοι για την αύξηση του προϋπολογισμού για την ασφάλεια πληροφοριών, Ρωσία

Δεν αναμένουν όλες οι εταιρείες γρήγορη απόδοση της επένδυσης, αλλά πολλές παγκόσμιες εταιρείες ανέφεραν την πίεση από βασικά ενδιαφερόμενα μέρη, συμπεριλαμβανομένης της ανώτατης διοίκησης (32%), ως αιτία για την αύξηση των προϋπολογισμών για την ασφάλεια των πληροφοριών. Αυτό δείχνει ότι οι εταιρείες αρχίζουν να βλέπουν ένα στρατηγικό πλεονέκτημα στην αύξηση του κόστους ασφάλειας πληροφοριών: τα μέτρα ασφαλείας επιτρέπουν όχι μόνο να προστατευθούν σε περίπτωση επίθεσης, αλλά και να αποδείξουν στους πελάτες ότι τα δεδομένα τους είναι σε καλά χέρια, και επίσης για τη διασφάλιση της επιχειρηματικής συνέχειας, για την οποία ενδιαφέρεται η διοίκηση της εταιρείας.

Ο πιο δημοφιλής λόγος για την αύξηση του κόστους της ασφάλειας πληροφοριών, οι περισσότερες εγχώριες εταιρείες ονόμασαν την ανάγκη προστασίας μιας ολοένα και πιο σύνθετης υποδομής πληροφορικής (46%) και την ανάγκη βελτίωσης των δεξιοτήτων των ειδικών σε θέματα ασφάλειας πληροφοριών σημειώθηκε κατά 30%. Αυτά τα στοιχεία υποδεικνύουν την ανάγκη να αυξηθεί το επίπεδο εμπειρογνωμοσύνης που διαθέτει η εταιρεία αναπτύσσοντας τις δεξιότητες των εργαζομένων της. Πράγματι, τόσο οι ΜΜΕ όσο και οι μεγάλες επιχειρήσεις επενδύουν ολοένα και περισσότερο στην υποστήριξη του εσωτερικού εργατικού δυναμικού τους στην καταπολέμηση των απειλών στον κυβερνοχώρο.

Ταυτόχρονα, η ανάγκη αύξησης του κόστους ασφάλειας πληροφοριών λόγω νέων επιχειρηματικών δραστηριοτήτων ή επέκτασης της εταιρείας μεταξύ των ρωσικών επιχειρήσεων έχει μειωθεί: από 36% πέρυσι σε 30% το 2017. Ίσως αντικατοπτρίζει τους μακροοικονομικούς παράγοντες που αντιμετώπισαν πρόσφατα οι εταιρείες μας.

συμπέρασμα

Τεράστιες επιθέσεις όπως το WannaCry, το exPetr και το BadRabbit προκάλεσαν τεράστια ζημιά το 2017. Μεγάλη είναι και η ζημιά από στοχευμένες επιθέσεις, ιδίως σε ρωσικές τράπεζες. Όλα αυτά καταδεικνύουν ότι το τοπίο των απειλών στον κυβερνοχώρο αλλάζει γρήγορα και αναπόφευκτα. Οι εταιρείες πρέπει να προσαρμόσουν τις άμυνές τους ή να παραμείνουν χωρίς δουλειά.

Ένας ολοένα και πιο σημαντικός παράγοντας στη λήψη επιχειρηματικών αποφάσεων είναι η διαφορά μεταξύ του κόστους προετοιμασίας για την απόκρουση των επιθέσεων στον κυβερνοχώρο και του κόστους που επιβαρύνει το θύμα.

Η έκθεση δείχνει ότι ακόμη και σχετικά μικρές παραβιάσεις δεδομένων που δεν ενδιαφέρουν το ευρύ κοινό μπορεί να είναι πολύ δαπανηρές για μια εταιρεία και να επηρεάσουν σοβαρά το έργο της. Ένας άλλος λόγος για την αύξηση του κόστους σε περίπτωση συμβάντων ασφαλείας είναι οι αλλαγές στη νομοθεσία σε όλο τον κόσμο. Οι εταιρείες πρέπει είτε να προσαρμοστούν είτε να διακινδυνεύσουν τόσο τη μη συμμόρφωση όσο και την πιθανή εισβολή.

Υπό αυτές τις συνθήκες, είναι ιδιαίτερα σημαντικό να ληφθούν υπόψη όλες οι συνέπειες και το κόστος. Ίσως αυτός είναι ο λόγος που όλο και περισσότερες εταιρείες από διαφορετικές χώρες αυξάνουν το μερίδιο της ασφάλειας των πληροφοριών στους προϋπολογισμούς πληροφορικής τους. Το 2017, πολύ περισσότερες εταιρείες σε όλο τον κόσμο παραδέχτηκαν ότι επρόκειτο να επενδύσουν στην ασφάλεια του κυβερνοχώρου, ανεξάρτητα από την αναμενόμενη απόδοση της επένδυσης: 63% σε σύγκριση με 56% το 2016.

Πιθανότατα, λόγω της αύξησης του κόστους των περιστατικών κυβερνοασφάλειας, είναι εκείνοι οι οργανισμοί που θεωρούν το κόστος πληροφορικής ως επένδυση στην ασφάλεια και είναι πρόθυμοι να δαπανήσουν σημαντικά κεφάλαια για αυτά, θα είναι καλύτερα προετοιμασμένοι για πιθανά προβλήματα. Ποια είναι η κατάσταση στην εταιρεία σας;

Σχόλιο: Η διάλεξη συζητά τα καθήκοντα και τις μεθόδους οικονομικής ανάλυσης της σκοπιμότητας εφαρμογής μέτρων για τη διασφάλιση της ασφάλειας των πληροφοριών υπό ορισμένες συνθήκες.

Μεθοδολογικές βάσεις των οικονομικών της ασφάλειας πληροφοριών

Διαχείριση ασφάλειας πληροφοριών, καθώς και η διαχείριση σε πολλούς άλλους τομείς δραστηριότητας, περιλαμβάνει την περιοδική υιοθέτηση διαφόρων διοικητικών αποφάσεων, οι οποίες, κατά κανόνα, συνίστανται στην επιλογή ορισμένων εναλλακτικών λύσεων (επιλογή ενός από τα πιθανά οργανωτικά σχήματα ή μιας από τις διαθέσιμες τεχνικές λύσεις) ή στον καθορισμό ορισμένες παραμέτρους μεμονωμένων οργανωτικών ή/και τεχνικά συστήματακαι υποσυστήματα. Μία από τις πιθανές προσεγγίσεις για την επιλογή εναλλακτικών στην κατάσταση αποδοχής απόφαση της διοίκησηςείναι το λεγόμενο. «βουλητική» προσέγγιση, όταν μια απόφαση λαμβάνεται διαισθητικά για τον ένα ή τον άλλο λόγο και δεν μπορεί να διαπιστωθεί μια τυπικά τεκμηριωμένη αιτιώδης σχέση μεταξύ ορισμένων αρχικών υποθέσεων και μιας συγκεκριμένης απόφασης. Είναι προφανές ότι εναλλακτική στην «βουλητική» προσέγγιση είναι η λήψη αποφάσεων με βάση ορισμένες τυπικές διαδικασίες και διαδοχική ανάλυση.

Η βάση αυτής της ανάλυσης και τα επόμενα λήψη αποφάσηςείναι οικονομική ανάλυση, η οποία περιλαμβάνει τη μελέτη όλων (ή τουλάχιστον των κύριων) παραγόντων υπό την επίδραση των οποίων συμβαίνει η ανάπτυξη των αναλυόμενων συστημάτων, τα πρότυπα συμπεριφοράς τους, η δυναμική της αλλαγής, καθώς και η χρήση μιας καθολικής νομισματική αξία. Βάσει επαρκώς κατασκευασμένων οικονομικών μοντέλων και της οικονομικής ανάλυσης που διενεργείται με τη βοήθειά τους, θα πρέπει να λαμβάνονται αποφάσεις τόσο σχετικά με τη γενική αναπτυξιακή στρατηγική όσο και με μεμονωμένα οργανωτικά και τεχνικά μέτρα, τόσο σε επίπεδο κρατών, περιφερειών και βιομηχανιών, όσο και σε το επίπεδο των επιμέρους επιχειρήσεων, τμημάτων και συστημάτων πληροφοριών.

Ταυτόχρονα, όπως τα οικονομικά οποιουδήποτε κλάδου έχουν τα δικά τους χαρακτηριστικά, έτσι και τα οικονομικά της ασφάλειας πληροφοριών, που θεωρούνται ως σχετικά ανεξάρτητος κλάδος, αφενός βασίζεται σε ορισμένους γενικούς οικονομικούς νόμους και μεθόδους ανάλυσης και από την άλλη πλευρά, χρειάζεται ατομική κατανόηση, ανάπτυξη ειδικών προσεγγίσεων ανάλυσης, συσσώρευση στατιστικών δεδομένων ειδικά για αυτόν τον τομέα, σχηματισμός σταθερών ιδεών για τους παράγοντες υπό την επίδραση των οποίων Πληροφοριακά συστήματαΚαι εργαλεία ασφάλειας πληροφοριών.

Η πολυπλοκότητα των εργασιών της οικονομικής ανάλυσης σε όλους σχεδόν τους τομείς δραστηριότητας, κατά κανόνα, οφείλεται στο γεγονός ότι πολλές βασικές παράμετροι των οικονομικών μοντέλων δεν μπορούν να εκτιμηθούν αξιόπιστα και είναι πιθανολογικού χαρακτήρα (όπως, για παράδειγμα, δείκτες καταναλωτικής ζήτησης). Η ανάλυση περιπλέκεται επίσης από το γεγονός ότι ακόμη και μικρές διακυμάνσεις (διόρθωση εκτιμήσεων) τέτοιων παραμέτρων μπορούν να επηρεάσουν σοβαρά τις τιμές της αντικειμενικής συνάρτησης και, κατά συνέπεια, τις αποφάσεις που λαμβάνονται με βάση τα αποτελέσματα της ανάλυσης. Έτσι, προκειμένου να εξασφαλιστεί η μεγαλύτερη δυνατή αξιοπιστία των υπολογισμών στη διαδικασία διενέργειας οικονομικής ανάλυσης και λήψη αποφάσηςείναι απαραίτητο να οργανωθεί ένα σύνολο εργασιών για τη συλλογή αρχικών πληροφοριών, τον υπολογισμό των προγνωστικών τιμών, τη συνέντευξη από ειδικούς σε διάφορους τομείς και την επεξεργασία όλων των δεδομένων. Ταυτόχρονα, κατά τη διαδικασία διεξαγωγής μιας τέτοιας ανάλυσης, είναι απαραίτητο να δοθεί προσοχή Ιδιαίτερη προσοχήενδιάμεσες αποφάσεις σχετικά με εκτιμήσεις ορισμένων παραμέτρων που περιλαμβάνονται στο γενικό μοντέλο. Είναι επίσης απαραίτητο να ληφθεί υπόψη το γεγονός ότι μια τέτοια ανάλυση από μόνη της μπορεί να αποδειχθεί μια διαδικασία που απαιτεί αρκετά πόρους και απαιτεί τη συμμετοχή επιπλέον ειδικών και συμβούλων τρίτων, καθώς και τις προσπάθειες διαφόρων ειδικών (ειδικών) εργασία στην ίδια την επιχείρηση - όλα αυτά τα κόστη θα πρέπει τελικά να δικαιολογηθούν.

Η ιδιαίτερη πολυπλοκότητα της οικονομικής ανάλυσης σε έναν τομέα όπως Ασφάλεια Πληροφοριών, καθορίζεται από συγκεκριμένους παράγοντες όπως:

• η ταχεία ανάπτυξη των τεχνολογιών της πληροφορίας και των μεθόδων που χρησιμοποιούνται στον τομέα αυτό (τόσο μέσα και μέθοδοι προστασίας, όσο και μέσα και μέθοδοι επίθεσης)·
• την αδυναμία αξιόπιστης πρόβλεψης όλων των πιθανών σεναρίων επίθεσης σε συστήματα πληροφοριών και μοτίβα συμπεριφοράς επιτιθέμενων·
• την αδυναμία να δοθεί μια αξιόπιστη, επαρκώς ακριβής εκτίμηση του κόστους των πόρων πληροφοριών, καθώς και να αξιολογηθούν οι συνέπειες διαφόρων παραβιάσεων σε χρηματικούς όρους.

Αυτό απαιτεί πρόσθετες προσπάθειες για την οργάνωση της διαδικασίας οικονομικής ανάλυσης και επίσης συχνά οδηγεί στο γεγονός ότι πολλές από τις αποφάσεις που λαμβάνονται σχετικά με τη διασφάλιση της ασφάλειας των πληροφοριών μπορεί να αποδειχθούν ανεπαρκείς. Παραδείγματα καταστάσεων στις οποίες η υπανάπτυξη της μεθοδολογίας της οικονομικής ανάλυσης επηρεάζει αρνητικά την κατάσταση της ασφάλειας των πληροφοριών μπορεί να είναι περιπτώσεις όπου:

• η διοίκηση της επιχείρησης μπορεί να λάβει ανεπαρκείς αποφάσεις σχετικά με επενδύσεις σε εργαλεία ασφάλειας πληροφοριών, οι οποίες, με τη σειρά τους, μπορεί να οδηγήσουν σε απώλειες που θα μπορούσαν να είχαν αποφευχθεί·
• η διοίκηση της επιχείρησης μπορεί να λάβει ορισμένες αποφάσεις σχετικά με την οργάνωση των επιχειρηματικών διαδικασιών και των διαδικασιών επεξεργασίας πληροφοριών στην επιχείρηση, με βάση την επιθυμία να μειώσει το τρέχον κόστος και να μειώσει την επιβάρυνση του προσωπικού, χωρίς να λαμβάνει υπόψη τις οικονομικές συνέπειες της ανεπαρκούς ασφάλειας Πηγές πληροφοριών·
• ο ασφαλισμένος και ο ασφαλιστής δεν μπορούν να συνάψουν σύμβαση ασφάλισης κινδύνου πληροφοριών ή να ορίσουν ανεπαρκείς παραμέτρους για μια τέτοια συμφωνία λόγω του γεγονότος ότι δεν υπάρχουν μοντέλα και μέθοδοι για την αξιολόγηση των οικονομικών παραμέτρων της συναλλαγής.

Ανάλυση επενδύσεων σε εργαλεία ασφάλειας πληροφοριών

Κατά τη διάρκεια των τρεχουσών δραστηριοτήτων τους, οι επιχειρήσεις πρέπει συνεχώς να αντιμετωπίζουν ορισμένες αλλαγές: οι επιχειρηματικές διαδικασίες βελτιώνονται, οι συνθήκες της αγοράς και οι αγορές για καταναλωθέντες υλικούς πόρους και υπηρεσίες αλλάζουν, νέες τεχνολογίες αναδύονται, ανταγωνιστές και αντισυμβαλλόμενοι αλλάζουν τη συμπεριφορά τους. η νομοθεσία και η κρατική πολιτική αλλάζουν κλπ. δ. Υπό αυτές τις συνθήκες, οι διευθυντές (συμπεριλαμβανομένων εκείνων που είναι υπεύθυνοι για τη διασφάλιση της ασφάλειας των πληροφοριών) πρέπει να αναλύουν συνεχώς τις συνεχιζόμενες αλλαγές και να προσαρμόζουν την εργασία τους στη διαρκώς μεταβαλλόμενη κατάσταση. Οι συγκεκριμένες μορφές με τις οποίες εκδηλώνεται η αντίδραση των ηγετών μπορεί να είναι διαφορετικές. Αυτό μπορεί να είναι μια αλλαγή στην πολιτική μάρκετινγκ, μια αναδιοργάνωση των επιχειρηματικών διαδικασιών, μια αλλαγή στην τεχνολογία, μια αλλαγή σε ένα προϊόν, μια συγχώνευση με ανταγωνιστές ή η απορρόφησή τους κ.λπ. Ωστόσο, με όλη την ποικιλία των πιθανών μοντέλων συμπεριφοράς σε ένα μεταβαλλόμενο περιβάλλον, σχεδόν όλα ενώνονται με ένα σημαντικό μεθοδολογικό στοιχείο κοινό τους: στις περισσότερες περιπτώσεις, η αντίδραση της επιχείρησης σε νέες απειλές και νέες ευκαιρίες περιλαμβάνει την εφαρμογή νέων , περισσότερο ή λιγότερο μακροπρόθεσμες επενδύσεις έντασης πόρων (επενδύσεις) σε ορισμένα οργανωτικά ή/και τεχνικά μέτρα που, αφενός, συνεπάγονται δαπάνη πόρων (χρήματα) και, αφετέρου, παρέχουν την ευκαιρία απόκτησης νέες παροχές, που εκφράζονται σε αύξηση εσόδων ή μείωση ορισμένων τρεχουσών εξόδων.

Έτσι, σε μια κατάσταση όπου είναι απαραίτητο να πραγματοποιηθούν ορισμένα νέα οργανωτικά ή τεχνικά μέτρα (υλοποίηση έργου), το κύριο καθήκον των υπευθύνων για την αποτελεσματική οργάνωση της ασφάλειας των πληροφοριών είναι να συσχετίσουν σαφώς το κόστος που θα πρέπει να προκύψει σύνδεση με την υλοποίηση αυτού του γεγονότος (τόσο εφάπαξ όσο και σταθερό ρεύμα), και πρόσθετες (νέες) ταμειακές ροές που θα εισπραχθούν. Στην περίπτωση αυτή, η ταμειακή ροή μπορεί να γίνει κατανοητή ως εξοικονόμηση κόστους, πρόληψη ζημιών, καθώς και πρόσθετο εισόδημα για την επιχείρηση.

Ως κύριος δείκτης που αντικατοπτρίζει αυτόν τον δείκτη, στην οικονομική πρακτική συνηθίζεται να χρησιμοποιείται η συνάρτηση απόδοσης επένδυσης - Απόδοση επένδυσης, .

(14.1)

Η συνάρτηση προεξόφλησης χρησιμοποιείται στην ανάλυση των επενδυτικών επενδύσεων για να ληφθεί υπόψη η επίδραση του παράγοντα χρόνου και να φέρει το πολυχρονικό κόστος σε μία στιγμή (συνήθως τη στιγμή που ξεκινά το έργο). Το προεξοφλητικό επιτόκιο σε αυτή την περίπτωση σας επιτρέπει να λάβετε υπόψη τη μεταβολή της αξίας του χρήματος με την πάροδο του χρόνου.

Το μοντέλο απόδοσης επένδυσης (14.1) καταδεικνύει σαφώς τα δύο κύρια καθήκοντα που πρέπει να επιλυθούν κατά την ανάλυση οποιουδήποτε επενδυτικού σχεδίου και, ειδικότερα, ενός έργου ασφάλειας πληροφοριών: υπολογισμός του κόστους που σχετίζεται με το έργο και υπολογισμός της πρόσθετης ταμειακής ροής. Εάν η μεθοδολογία για τον υπολογισμό του συνολικού κόστους () τα τελευταία 10-15 χρόνια συνολικά έχει διαμορφωθεί πλήρως (με τη μορφή της έννοιας "Συνολικό κόστος ιδιοκτησίας", TCO - Συνολικό κόστος ιδιοκτησίας, TCO) και χρησιμοποιείται ενεργά στην πράξη σε σχέση με διάφορους τύπους πληροφοριακών συστημάτων και στοιχείων πληροφοριακής υποδομής, στη συνέχεια για τον υπολογισμό της πρόσθετης ταμειακής ροής () που προκύπτει από επενδύσεις σε εργαλεία ασφάλειας πληροφοριώνσυνήθως προκαλεί σοβαρά προβλήματα. Μία από τις πιο ελπιδοφόρες προσεγγίσεις για τον υπολογισμό αυτού του δείκτη είναι μια τεχνική που βασίζεται σε μια ποσοτική (νομισματική) εκτίμηση των κινδύνων ζημίας στους πόρους πληροφοριών και στην αξιολόγηση της μείωσης αυτών των κινδύνων που σχετίζονται με την εφαρμογή πρόσθετων μέτρων για την προστασία των πληροφοριών.

Έτσι, γενικά, η σύνθεση της μεθοδολογίας για την ανάλυση της σκοπιμότητας της επένδυσης σε έργα που στοχεύουν στη διασφάλιση της ασφάλειας των πληροφοριών παρουσιάζεται σχηματικά στο σχ. 14.1.

Η ανάλυση του κόστους που σχετίζεται με την υλοποίηση του έργου, αν και είναι σχετικά απλούστερο έργο, μπορεί να προκαλέσει ορισμένες δυσκολίες. Όπως και για πολλά άλλα έργα στον τομέα της πληροφορικής, συνιστάται η διεξαγωγή ανάλυσης κόστους για την υλοποίηση έργων στον τομέα της ασφάλειας πληροφοριών, με βάση τη γνωστή βασική μεθοδολογία «Total Cost of Ownership» - TCO (Total Cost of Ownership - TCO), που εισήχθη από μια εταιρεία συμβούλων "Gartner Group" το 1987 όπως ισχύει για προσωπικούς υπολογιστές. Γενικά, αυτή η μεθοδολογία επικεντρώνεται στη διασφάλιση της πληρότητας της ανάλυσης του κόστους (τόσο άμεσου όσο και έμμεσου) που σχετίζεται με ΤΕΧΝΟΛΟΓΙΑ της ΠΛΗΡΟΦΟΡΙΑΣκαι πληροφοριακά συστήματα, σε καταστάσεις όπου είναι απαραίτητο να αξιολογηθούν οι οικονομικές συνέπειες της εισαγωγής και χρήσης τέτοιων συστημάτων: κατά την αξιολόγηση της αποτελεσματικότητας των επενδύσεων, τη σύγκριση εναλλακτικών τεχνολογιών, την κατάρτιση κεφαλαίων και τρεχόντων προϋπολογισμών κ.λπ.

Γενικά, η συνολική αξία του CER περιλαμβάνει:

• κόστος σχεδιασμού σύστημα πληροφορίων;
• το κόστος αγοράς υλικού και εργαλεία λογισμικού: Μηχανικός ηλεκτρονικών υπολογιστών, υλικό δικτύου, λογισμικό (λαμβάνοντας υπόψη τις μεθόδους αδειοδότησης που χρησιμοποιούνται), καθώς και πληρωμές μισθωμάτων.
• κόστος ανάπτυξης λογισμικόκαι την τεκμηρίωσή του, καθώς και για τη διόρθωση σφαλμάτων σε αυτό και τη βελτίωση κατά τη διάρκεια της περιόδου λειτουργίας·
• δαπάνες για την τρέχουσα διαχείριση συστημάτων πληροφοριών (συμπεριλαμβανομένης της πληρωμής για τις υπηρεσίες τρίτων οργανισμών στους οποίους ανατίθενται σε εξωτερικούς συνεργάτες αυτές οι λειτουργίες)·
• κόστος τεχνικής υποστήριξης και εξυπηρέτησης·
• το κόστος των αναλώσιμων?
• δαπάνες για τηλεπικοινωνιακές υπηρεσίες (πρόσβαση στο Διαδίκτυο, αποκλειστικά και μέσω τηλεφώνου κανάλια επικοινωνίας, κ.λπ.).
• το κόστος της εκπαίδευσης των χρηστών, καθώς και των υπαλλήλων των τμημάτων πληροφορικής και του τμήματος ασφάλειας πληροφοριών·
• έμμεσο κόστος - το κόστος της επιχείρησης που σχετίζεται με την απώλεια χρόνου από τους χρήστες σε περίπτωση αστοχιών στη λειτουργία των συστημάτων πληροφοριών.

Επίσης, στον υπολογισμό του κόστους αύξησης του επιπέδου ασφάλειας των πληροφοριών, είναι απαραίτητο να συμπεριληφθούν οι δαπάνες αναδιοργάνωσης επιχειρηματικών διαδικασιών και πληροφοριακή εργασίαμε προσωπικό: πληρωμή για τις υπηρεσίες συμβούλων ασφάλειας επιχειρήσεων και πληροφοριών, δαπάνες για την ανάπτυξη οργανωτικής τεκμηρίωσης, δαπάνες για τη διενέργεια ελέγχων ασφάλειας πληροφοριών κ.λπ. Επιπλέον, κατά την ανάλυση του κόστους, είναι επίσης απαραίτητο να ληφθεί υπόψη το γεγονός ότι στις περισσότερες περιπτώσεις η εισαγωγή εργαλείων ασφάλειας πληροφοριών συνεπάγεται την εμφάνιση πρόσθετων ευθυνών για το προσωπικό της επιχείρησης και την ανάγκη διεξαγωγής πρόσθετων λειτουργιών κατά την εργασία με πληροφοριακά συστήματα. Αυτό προκαλεί κάποια μείωση της παραγωγικότητας των εργαζομένων της επιχείρησης και, κατά συνέπεια, μπορεί να προκαλέσει πρόσθετο κόστος.

Πώς να δικαιολογήσετε το κόστος της ασφάλειας των πληροφοριών;

Ανατύπωση με ευγενική άδεια OJSC InfoTeKS Internet Trust
Το αρχικό κείμενο είναι Εδώ.

Επίπεδα ωριμότητας της εταιρείας

Ο Όμιλος Gartner προσδιορίζει 4 επίπεδα εταιρικής ωριμότητας όσον αφορά την ασφάλεια πληροφοριών (IS):

• 0 επίπεδο:
• Κανείς δεν ασχολείται με την ασφάλεια των πληροφοριών στην εταιρεία, η διοίκηση της εταιρείας δεν αντιλαμβάνεται τη σημασία των προβλημάτων ασφάλειας πληροφοριών.
• Δεν υπάρχει χρηματοδότηση.
• Το IS εφαρμόζεται με τακτικά μέσα λειτουργικά συστήματα, DBMS και εφαρμογές (προστασία με κωδικό πρόσβασης, έλεγχος πρόσβασης σε πόρους και υπηρεσίες).
• 1 επίπεδο:
• Η ασφάλεια των πληροφοριών θεωρείται από τη διοίκηση ως ένα καθαρά «τεχνικό» πρόβλημα· δεν υπάρχει ενιαίο πρόγραμμα (έννοια, πολιτική) για την ανάπτυξη του συστήματος ασφάλειας πληροφοριών (ISIS) της εταιρείας.
• Η χρηματοδότηση πραγματοποιείται στο πλαίσιο του γενικού προϋπολογισμού ΤΠ.
• Το IS υλοποιείται με μέσα μηδενικού επιπέδου + Κρατήστε αντίγραφο, εργαλεία προστασίας από ιούς, τείχη προστασίας, εργαλεία οργάνωσης VPN (παραδοσιακά εργαλεία ασφαλείας).
• 2 επίπεδο:
• Το IS θεωρείται από τη διοίκηση ως ένα σύνολο οργανωτικών και τεχνικών μέτρων, υπάρχει κατανόηση της σημασίας του IS για τις παραγωγικές διαδικασίες, υπάρχει ένα πρόγραμμα για την ανάπτυξη του Συστήματος Συντήρησης IS της εταιρείας εγκεκριμένο από τη διοίκηση.
• Το IS υλοποιείται από εργαλεία πρώτου επιπέδου + ισχυρά εργαλεία ελέγχου ταυτότητας, εργαλεία ανάλυσης περιεχομένου ηλεκτρονικού ταχυδρομείου και ιστού, IDS (συστήματα ανίχνευσης εισβολής), εργαλεία ανάλυσης ασφάλειας, SSO (εργαλεία μεμονωμένου ελέγχου ταυτότητας), PKI (υποδομή δημόσιου κλειδιού) και οργανωτικά μέτρα (εσωτερικά και εξωτερικός έλεγχος, ανάλυση κινδύνου, πολιτική ασφάλειας πληροφοριών, κανονισμούς, διαδικασίες, κανονισμούς και κατευθυντήριες γραμμές).
• 3 επίπεδο:
• Το IS είναι μέρος της εταιρικής κουλτούρας, έχει διοριστεί η CISA (ανώτερος αξιωματικός IS).
• Η χρηματοδότηση πραγματοποιείται στο πλαίσιο χωριστού προϋπολογισμού.
• Το IS υλοποιείται μέσω των συστημάτων διαχείρισης δεύτερου επιπέδου + IS, CSIRT (ομάδα αντιμετώπισης περιστατικών παραβίασης IS), SLA (συμφωνία επιπέδου υπηρεσίας).

Σύμφωνα με τον Όμιλο Gartner (στοιχεία για το 2001), το ποσοστό των εταιρειών σε σχέση με τα 4 επίπεδα που περιγράφονται έχει ως εξής:
0 επίπεδο - 30%,
Επίπεδο 1 - 55%,
Επίπεδο 2 - 10%,
Επίπεδο 3 - 5%.

Η πρόβλεψη του Ομίλου Gartner για το 2005 έχει ως εξής:
Επίπεδο 0 - 20%,
Επίπεδο 1 - 35%,
Επίπεδο 2 - 30%,
Επίπεδο 3 - 15%.

Οι στατιστικές δείχνουν ότι η πλειονότητα των εταιρειών (55%) έχει πλέον εφαρμόσει το ελάχιστο απαιτούμενο σύνολο παραδοσιακών εργαλείων τεχνικής προστασίας (επίπεδο 1).

Κατά την εισαγωγή διαφόρων τεχνολογιών και μέσων προστασίας, συχνά προκύπτουν ερωτήματα. Τι να εφαρμόσετε πρώτα, σύστημα ανίχνευσης εισβολής ή υποδομή PKI; Τι θα είναι πιο αποτελεσματικό; Ο Steven Ross, διευθυντής της Deloitte&Touche, προσφέρει την ακόλουθη προσέγγιση για την αξιολόγηση της αποτελεσματικότητας μεμονωμένων μέτρων και μέσων για τη διασφάλιση της ασφάλειας των πληροφοριών.

Με βάση το παραπάνω γράφημα, μπορεί να φανεί ότι τα πιο ακριβά και λιγότερο αποτελεσματικά είναι τα εξειδικευμένα εργαλεία (ιδία ή προσαρμοσμένη ανάπτυξη).

Τα πιο ακριβά, αλλά ταυτόχρονα και τα πιο αποτελεσματικά, είναι τα εργαλεία προστασίας της κατηγορίας 4 (επίπεδο 2 και 3 σύμφωνα με την Gartner Group). Για την υλοποίηση των κονδυλίων αυτής της κατηγορίας, είναι απαραίτητη η χρήση της διαδικασίας ανάλυσης κινδύνου. Η ανάλυση κινδύνου σε αυτή την περίπτωση θα καταστήσει δυνατή τη διασφάλιση της επάρκειας του κόστους υλοποίησης στις υπάρχουσες απειλές παραβίασης των ΚΠ.

Τα φθηνότερα, αλλά με υψηλό επίπεδο αποτελεσματικότητας, είναι τα οργανωτικά μέτρα (εσωτερικός και εξωτερικός έλεγχος, ανάλυση κινδύνου, πολιτική ασφάλειας πληροφοριών, σχέδιο επιχειρηματικής συνέχειας, κανονισμοί, διαδικασίες, κανονισμοί και οδηγίες).

Η εισαγωγή πρόσθετων μέσων προστασίας (μετάβαση στα επίπεδα 2 και 3) απαιτεί σημαντικές οικονομικές επενδύσεις και, κατά συνέπεια, αιτιολόγηση. Η απουσία ενός ενιαίου προγράμματος ανάπτυξης Συστήματος Συντήρησης ΠΣ, εγκεκριμένου και υπογεγραμμένου από τη διοίκηση, επιτείνει το πρόβλημα της αιτιολόγησης των επενδύσεων στον τομέα της ασφάλειας.

Ανάλυση κινδύνου

Τα αποτελέσματα της ανάλυσης κινδύνου και οι στατιστικές που συγκεντρώνονται για συμβάντα μπορούν να χρησιμεύσουν ως αιτιολόγηση Οι μηχανισμοί για την εφαρμογή ανάλυσης κινδύνου και τη συγκέντρωση στατιστικών στοιχείων θα πρέπει να καθορίζονται στην πολιτική ασφάλειας πληροφοριών της εταιρείας.

Η διαδικασία ανάλυσης κινδύνου αποτελείται από 6 διαδοχικά βήματα:

1. Προσδιορισμός και ταξινόμηση αντικειμένων προστασίας (εταιρικοί πόροι προς προστασία).

3. Κατασκευή μοντέλου εισβολέα.

4. Προσδιορισμός, ταξινόμηση και ανάλυση απειλών και τρωτών σημείων.

5. Εκτίμηση κινδύνου.

6. Επιλογή οργανωτικών μέτρων και τεχνικών μέσων προστασίας.

Στη σκηνή αναγνώριση και ταξινόμηση αντικειμένων προστασίαςΕίναι απαραίτητο να γίνει απογραφή των πόρων της εταιρείας στους εξής τομείς:

• Πηγές πληροφοριών (εμπιστευτικές και κρίσιμες πληροφορίες εταιρείας).
• Πόροι λογισμικού (OS, DBMS, κρίσιμες εφαρμογές, όπως ERP).
• Φυσικοί πόροι (διακομιστές, σταθμοί εργασίας, εξοπλισμός δικτύου και τηλεπικοινωνιών).
• Πόροι υπηρεσιών ( ΗΛΕΚΤΡΟΝΙΚΗ ΔΙΕΥΘΥΝΣΗ, www, κ.λπ.).

κατηγοριοποίησηείναι ο προσδιορισμός του επιπέδου εμπιστευτικότητας και κρισιμότητας του πόρου. Η εμπιστευτικότητα αναφέρεται στο επίπεδο του απορρήτου των πληροφοριών που αποθηκεύονται, επεξεργάζονται και μεταδίδονται από έναν πόρο. Ως κρισιμότητα νοείται ο βαθμός επιρροής του πόρου στην αποτελεσματικότητα των παραγωγικών διαδικασιών της εταιρείας (για παράδειγμα, σε περίπτωση διακοπής λειτουργίας των τηλεπικοινωνιακών πόρων, η εταιρεία παροχής μπορεί να χρεοκοπήσει). Με την ανάθεση ορισμένων ποιοτικών τιμών στις παραμέτρους εμπιστευτικότητας και κρισιμότητας, είναι δυνατό να προσδιοριστεί το επίπεδο σημασίας κάθε πόρου όσον αφορά τη συμμετοχή του στις παραγωγικές διαδικασίες της εταιρείας.

Για να προσδιορίσετε τη σημασία των πόρων της εταιρείας όσον αφορά την ασφάλεια των πληροφοριών, μπορείτε να λάβετε τον ακόλουθο πίνακα:

Για παράδειγμα, τα αρχεία με πληροφορίες σχετικά με το ύψος των μισθών των υπαλλήλων της εταιρείας έχουν την τιμή "αυστηρά εμπιστευτικό" (η παράμετρος εμπιστευτικότητας) και την τιμή "ασήμαντο" (η παράμετρος κρισιμότητας). Αντικαθιστώντας αυτές τις τιμές στον πίνακα, μπορείτε να λάβετε έναν αναπόσπαστο δείκτη της σημασίας αυτού του πόρου. Στο διεθνές πρότυπο ISO TR 13335 παρέχονται διάφορες επιλογές για μεθόδους κατηγοριοποίησης.

Δημιουργία μοντέλου επιτιθέμενουείναι η διαδικασία ταξινόμησης πιθανών παραβατών σύμφωνα με τις ακόλουθες παραμέτρους:

• Τύπος εισβολέα (ανταγωνιστής, πελάτης, προγραμματιστής, υπάλληλος εταιρείας κ.λπ.)
• Η θέση του επιτιθέμενου σε σχέση με τα αντικείμενα προστασίας (εσωτερικά, εξωτερικά).
• Το επίπεδο γνώσης για τα αντικείμενα προστασίας και το περιβάλλον (υψηλό, μεσαίο, χαμηλό).
• Επίπεδο ευκαιριών για πρόσβαση σε προστατευμένα αντικείμενα (μέγιστο, μέσος όρος, ελάχιστος).
• Χρόνος δράσης (συνεχώς, σε συγκεκριμένα χρονικά διαστήματα).
• Τόπος δράσης (προβλεπόμενη τοποθεσία του εισβολέα τη στιγμή της επίθεσης).

Με την ανάθεση ποιοτικών τιμών στις παραμέτρους του μοντέλου του εισβολέα, είναι δυνατός ο προσδιορισμός των δυνατοτήτων του εισβολέα (ένα αναπόσπαστο χαρακτηριστικό της ικανότητας του εισβολέα να εφαρμόζει απειλές).

Εντοπισμός, ταξινόμηση και ανάλυση απειλών και τρωτών σημείωνσας επιτρέπουν να προσδιορίσετε τρόπους υλοποίησης επιθέσεων σε προστατευμένα αντικείμενα. Τα τρωτά σημεία είναι ιδιότητες ενός πόρου ή του περιβάλλοντος του που χρησιμοποιούνται από έναν εισβολέα για την υλοποίηση απειλών. Η λίστα με τα τρωτά σημεία των πόρων λογισμικού βρίσκεται στο Διαδίκτυο.

Οι απειλές ταξινομούνται σύμφωνα με τα ακόλουθα κριτήρια:

• όνομα της απειλής·
• τύπος εισβολέα?
• μέσα υλοποίησης·
• χρησιμοποιημένα τρωτά σημεία?
• δράσεις που έχουν αναληφθεί;
• συχνότητα υλοποίησης.

Η κύρια παράμετρος είναι η συχνότητα υλοποίησης της απειλής. Εξαρτάται από τις τιμές των παραμέτρων "δυνατικός εισβολέας" και "ασφάλεια πόρων". Η τιμή της παραμέτρου "ασφάλεια πόρων" προσδιορίζεται από αξιολογήσεις ειδικών. Κατά τον προσδιορισμό της τιμής της παραμέτρου, λαμβάνονται υπόψη οι υποκειμενικές παράμετροι του εισβολέα: το κίνητρο για την εφαρμογή της απειλής και στατιστικά στοιχεία από τις προσπάθειες υλοποίησης των απειλών αυτού του τύπου(εάν είναι διαθέσιμο). Το αποτέλεσμα του σταδίου ανάλυσης απειλών και τρωτών σημείων είναι η αξιολόγηση της παραμέτρου «συχνότητα υλοποίησης» για καθεμία από τις απειλές.

Στη σκηνή εκτίμηση κινδύνουπροσδιορίζεται η πιθανή ζημιά από απειλές για την ασφάλεια των πληροφοριών για κάθε πόρο ή ομάδα πόρων.

Ο ποιοτικός δείκτης της ζημιάς εξαρτάται από δύο παραμέτρους:

• Η σημασία του πόρου.
• Η συχνότητα της απειλής για αυτόν τον πόρο.

Με βάση τις εκτιμήσεις ζημιών που ελήφθησαν, επιλέγονται εύλογα τα κατάλληλα οργανωτικά μέτρα και τα τεχνικά μέσα προστασίας.

Συσσώρευση στατιστικών περιστατικών

Το μόνο αδύναμο σημείο της προτεινόμενης μεθοδολογίας αξιολόγησης κινδύνου και, κατά συνέπεια, το σκεπτικό για την ανάγκη εισαγωγής νέων ή αλλαγής υφιστάμενων τεχνολογιών προστασίας είναι ο ορισμός της παραμέτρου «συχνότητα υλοποίησης απειλής». Ο μόνος τρόπος για να ληφθούν αντικειμενικές τιμές αυτής της παραμέτρου είναι η συσσώρευση στατιστικών στοιχείων για περιστατικά. Τα συσσωρευμένα στατιστικά στοιχεία, για παράδειγμα, για ένα έτος θα επιτρέψουν τον προσδιορισμό του αριθμού των υλοποιήσεων απειλών (ορισμένου τύπου) ανά πόρο (ορισμένου τύπου). Είναι σκόπιμο να πραγματοποιηθούν εργασίες για τη συσσώρευση στατιστικών στο πλαίσιο της διαδικασίας χειρισμού συμβάντων.

Επενδύουν σε μια ποικιλία τεχνολογιών ασφάλειας υπολογιστών, από πλατφόρμες μέχρι αμοιβές για την ανακάλυψη τρωτών σημείων λογισμικού έως διαγνωστικά και αυτοματοποιημένες δοκιμές λογισμικού. Αλλά πάνω απ 'όλα προσελκύονται από τεχνολογίες ελέγχου ταυτότητας και διαχείρισης πληροφοριών ταυτότητας - περίπου 900 εκατομμύρια δολάρια επενδύθηκαν σε νεοφυείς επιχειρήσεις που ασχολούνται με αυτές τις τεχνολογίες στα τέλη του 2019.

Οι επενδύσεις σε νεοφυείς επιχειρήσεις στον τομέα της εκπαίδευσης στον κυβερνοχώρο έφθασαν τα 418 εκατομμύρια δολάρια το 2019, με τη βοήθεια του KnowBe4, το οποίο συγκέντρωσε 300 εκατομμύρια δολάρια. Η εκκίνηση προσφέρει μια πλατφόρμα προσομοίωσης επίθεσης phishing και μια σειρά εκπαιδευτικών προγραμμάτων.

Περίπου 412 εκατομμύρια δολάρια εισέπραξαν το 2019 εταιρείες που ασχολούνται με την ασφάλεια του Διαδικτύου των πραγμάτων. Σε αυτή την κατηγορία, η SentinelOne είναι ο ηγέτης όσον αφορά τις επενδύσεις, η οποία το 2019 έλαβε 120 εκατομμύρια δολάρια για την ανάπτυξη τεχνολογιών προστασίας τελικών σημείων.

Ταυτόχρονα, οι αναλυτές της Metacurity παρέχουν και άλλα στοιχεία που χαρακτηρίζουν την κατάσταση στην αγορά χρηματοδότησης επιχειρηματικών κεφαλαίων στον τομέα της ασφάλειας πληροφοριών. Το 2019, ο όγκος των επενδύσεων εδώ έφτασε τα 6,57 δισεκατομμύρια δολάρια, από 3,88 δισεκατομμύρια δολάρια το 2018. Αυξήθηκε και ο αριθμός των συναλλαγών - από 133 σε 219. Παράλληλα, ο μέσος όγκος επενδύσεων ανά μία συναλλαγή παρέμεινε πρακτικά αμετάβλητος και ανήλθε στα 29,2 εκατ. στο τέλος του 2019, υπολογιζόμενος στο Metacurity.

2018

Ανάπτυξη κατά 9% στα 37 δισ. δολάρια - Canalys

Το 2018 οι πωλήσεις του εξοπλισμού, του λογισμικού και των υπηρεσιών που προορίζονται για την ασφάλεια πληροφοριών (IS) έφτασαν τα 37 δισεκατομμύρια δολάρια, σημειώνοντας αύξηση κατά 9% όσον αφορά τον δείκτη του έτους συνταγής (34 δισεκατομμύρια δολάρια). Τέτοια στοιχεία δημοσιεύθηκαν στις 28 Μαρτίου 2019 από τους αναλυτές της Canalys.

Ενώ πολλές εταιρείες δίνουν προτεραιότητα στην προστασία των περιουσιακών στοιχείων, των δεδομένων, των τελικών σημείων, των δικτύων, των εργαζομένων και των πελατών τους, η κυβερνοασφάλεια αντιπροσώπευε μόνο το 2% των συνολικών δαπανών πληροφορικής το 2018, είπαν. Ωστόσο, όλο και περισσότερες νέες απειλές εμφανίζονται, γίνονται πιο περίπλοκες και συχνότερες, γεγονός που παρέχει στους κατασκευαστές λύσεων ασφάλειας πληροφοριών νέες ευκαιρίες ανάπτυξης. Οι συνολικές δαπάνες για την ασφάλεια στον κυβερνοχώρο αναμένεται να ξεπεράσουν τα 42 δισεκατομμύρια δολάρια το 2020.

Ο αναλυτής της Canalys Matthew Ball πιστεύει ότι η μετάβαση σε νέα μοντέλα εφαρμογής ασφάλειας πληροφοριών θα επιταχυνθεί. Οι πελάτες αλλάζουν τη φύση των προϋπολογισμών πληροφορικής τους με δημόσιες υπηρεσίες cloud και ευέλικτες υπηρεσίες που βασίζονται σε συνδρομές.

Περίπου το 82% των έργων ανάπτυξης ασφάλειας πληροφοριών το 2018 αφορούσαν τη χρήση παραδοσιακού υλικού και λογισμικού. Στο υπόλοιπο 18% των περιπτώσεων χρησιμοποιήθηκαν υπηρεσίες εικονικοποίησης, δημόσιας cloud και ασφάλειας πληροφοριών.

Μέχρι το 2020, το μερίδιο των παραδοσιακών μοντέλων ανάπτυξης συστημάτων ασφάλειας πληροφοριών θα μειωθεί στο 70%, καθώς νέες λύσεις κερδίζουν δημοτικότητα στην αγορά.

Οι προμηθευτές θα πρέπει να δημιουργήσουν ένα ευρύ φάσμα επιχειρηματικών μοντέλων για να υποστηρίξουν αυτήν τη μετάβαση, καθώς διαφορετικά προϊόντα είναι κατάλληλα για διαφορετικούς τύπους ανάπτυξης. Η κύρια πρόκληση για πολλούς σήμερα είναι να καταστήσουν τα νέα μοντέλα πιο εστιασμένα στα συνδεδεμένα κανάλια και να τα ενσωματώσουν με τα υπάρχοντα. προγράμματα συνεργατών, ειδικά με τις συναλλαγές πελατών μέσω πλατφορμών cloud. Ορισμένες αγορές cloud έχουν ήδη ανταποκριθεί σε αυτό, επιτρέποντας στους συνεργάτες να προσφέρουν μεμονωμένες προσφορέςκαι την τιμολόγηση απευθείας στους πελάτες παρακολουθώντας τις εγγραφές και τις εκπτώσεις σε συμφωνίες», δήλωσε ο Matthew Ball σε ανάρτηση στις 29 Μαρτίου 2019.

Σύμφωνα με τον αναλυτή της Canalys, Ketaki Borade, κορυφαίοι προμηθευτές τεχνολογίας κυβερνοασφάλειας έχουν εισαγάγει νέα μοντέλα διανομής προϊόντων που περιλαμβάνουν εταιρείες που μετακινούνται σε ένα πρόγραμμα συνδρομής και αυξάνουν τις λειτουργίες στην υποδομή cloud.

Η αγορά κυβερνοασφάλειας παρέμεινε εξαιρετικά δυναμική, με δραστηριότητα και όγκο συναλλαγών ρεκόρ ως απόκριση στις αυξανόμενες ρυθμιστικές και τεχνικές απαιτήσεις, καθώς και στον συνεχιζόμενο διάχυτο κίνδυνο παραβίασης δεδομένων, δήλωσε ο συνιδρυτής και διαχειριστής της Momentum Cyber ​​Eric McAlpine. «Πιστεύουμε ότι αυτή η δυναμική θα συνεχίσει να ωθεί τον κλάδο σε νέα επικράτεια καθώς επιδιώκει να αντιμετωπίσει τις αναδυόμενες απειλές και να εδραιωθεί ενόψει της κόπωσης των προμηθευτών και των αυξανόμενων ελλείψεων δεξιοτήτων.

2017

Οι δαπάνες για την κυβερνοασφάλεια ξεπέρασαν τα 100 δισεκατομμύρια δολάρια

Το 2017 οι παγκόσμιες δαπάνες για την ασφάλεια πληροφοριών (IS) - προϊόντα και υπηρεσίες - έφτασαν τα 101,5 δισεκατομμύρια δολάρια, σύμφωνα με την εταιρεία ερευνών Gartner στα μέσα Αυγούστου 2018. Στο τέλος του 2017, οι ειδικοί υπολόγισαν αυτή την αγορά στα 89,13 δισ. δολάρια Ο λόγος για τη σημαντική αύξηση της εκτίμησης δεν αναφέρεται.

Οι CIO δεσμεύονται να βοηθήσουν τους οργανισμούς τους να χρησιμοποιούν με ασφάλεια τεχνολογικές πλατφόρμες για να γίνουν πιο ανταγωνιστικοί και να οδηγήσουν την επιχειρηματική ανάπτυξη, δήλωσε ο Siddharth Deshpande, διευθυντής έρευνας στη Gartner. - Οι συνεχιζόμενες ελλείψεις δεξιοτήτων και οι ρυθμιστικές αλλαγές, όπως ο Γενικός Κανονισμός για την Προστασία Δεδομένων (GDPR) στην Ευρώπη, τροφοδοτούν περαιτέρω ανάπτυξη στην αγορά υπηρεσιών κυβερνοασφάλειας.

Οι ειδικοί πιστεύουν ότι ένας από τους βασικούς παράγοντες που συμβάλλουν στην αύξηση του κόστους προστασίας των πληροφοριών είναι η εισαγωγή νέων μεθόδων για τον εντοπισμό απειλών και την απόκριση σε αυτές - έχουν γίνει πρώτη προτεραιότηταασφάλεια των οργανισμών το 2018.

Σύμφωνα με εκτιμήσεις της Gartner, το 2017, οι δαπάνες των οργανισμών για υπηρεσίες κυβερνοάμυνας παγκοσμίως ξεπέρασαν τα 52,3 δισεκατομμύρια δολάρια. Το 2018, το κόστος αυτό θα ανέλθει στα 58,9 δισεκατομμύρια δολάρια.

Το 2017, οι εταιρείες δαπάνησαν 2,4 δισεκατομμύρια δολάρια για την προστασία εφαρμογών, 2,6 δισεκατομμύρια δολάρια για την προστασία δεδομένων και 185 εκατομμύρια δολάρια για την προστασία υπηρεσιών cloud.

Οι ετήσιες πωλήσεις λύσεων διαχείρισης αναγνώρισης και πρόσβασης (Identity And Access Management) ήταν 8,8 δισ. Η εφαρμογή μέσων προστασίας της υποδομής πληροφορικής αυξήθηκε στα 12,6 δισ. δολάρια.

Επίσης σε έρευνα γίνεται λόγος για δαπάνες ύψους 10,9 δισ. δολαρίων για τον εξοπλισμό που χρησιμοποιείται για τη διασφάλιση της ασφάλειας του δικτύου. Οι κατασκευαστές τους κέρδισαν 3,9 δισεκατομμύρια δολάρια από συστήματα διαχείρισης κινδύνου ασφάλειας πληροφοριών.

Οι δαπάνες για την ασφάλεια των πληροφοριών των καταναλωτών για το 2017 υπολογίζονται από αναλυτές σε 5,9 δισεκατομμύρια δολάρια, σύμφωνα με μελέτη της Gartner.

Η Gartner υπολόγισε τον όγκο της αγοράς στα 89,13 δισεκατομμύρια δολάρια

Τον Δεκέμβριο του 2017 έγινε γνωστό ότι οι παγκόσμιες δαπάνες των εταιρειών για τη διασφάλιση της ασφάλειας πληροφοριών (IS) το 2017 θα ανέλθουν στα 89,13 δισεκατομμύρια δολάρια. Σύμφωνα με την εκτίμηση της Gartner, τα εταιρικά έξοδα για την κυβερνοασφάλεια σχεδόν για 7 δισεκατομμύρια δολάρια θα υπερβούν το ποσό του 2016 σε 82,2 δισεκατομμύρια δολάρια .

Οι ειδικοί θεωρούν ότι οι υπηρεσίες ασφάλειας πληροφοριών είναι το μεγαλύτερο στοιχείο δαπανών: το 2017, οι εταιρείες θα διαθέσουν πάνω από 53 δισεκατομμύρια δολάρια για αυτούς τους σκοπούς έναντι 48,8 δισεκατομμυρίων δολαρίων το 2016. Το δεύτερο μεγαλύτερο τμήμα της αγοράς ασφάλειας πληροφοριών είναι οι λύσεις προστασίας υποδομών, το κόστος των οποίων το 2017 θα ανέλθει σε 16,2 δισεκατομμύρια δολάρια αντί για 15,2 δισεκατομμύρια δολάρια πριν από ένα χρόνο. Ο εξοπλισμός για την ασφάλεια δικτύου - στην τρίτη θέση (10,93 δισεκατομμύρια δολάρια).

Η δομή του κόστους ασφάλειας πληροφοριών περιλαμβάνει επίσης καταναλωτικό λογισμικό για ασφάλεια πληροφοριών και συστήματα αναγνώρισης και διαχείρισης πρόσβασης (Identity and Access Management, IAM). Το 2017, η Gartner υπολογίζει το κόστος σε αυτούς τους τομείς σε 4,64 δισεκατομμύρια δολάρια και 4,3 δισεκατομμύρια δολάρια, ενώ το 2016 τα στοιχεία ήταν στα επίπεδα των 4,57 δισεκατομμυρίων και 3,9 δισεκατομμυρίων δολαρίων, αντίστοιχα.

Οι αναλυτές αναμένουν περαιτέρω άνοδο στην αγορά ασφάλειας πληροφοριών: το 2018, οι οργανισμοί θα αυξήσουν τις δαπάνες στον κυβερνοχώρο άμυνας κατά άλλο 8% και θα διαθέσουν συνολικά 96,3 δισεκατομμύρια δολάρια για αυτούς τους σκοπούς και θα στρέψει τις εταιρείες προς μια ψηφιακή επιχειρηματική στρατηγική.

Γενικά, οι δαπάνες για την ασφάλεια στον κυβερνοχώρο οφείλονται σε μεγάλο βαθμό στην αντίδραση των εταιρειών σε περιστατικά κυβερνοασφάλειας, επειδή ο αριθμός των ηχητικών επιθέσεων στον κυβερνοχώρο και οι διαρροές πληροφοριών από τις οποίες υποφέρουν οι οργανισμοί αυξάνεται παγκοσμίως, - σχολιάζει την πρόβλεψη ο Ruggero Contu, διευθυντής έρευνας στη Gartner. .

Τα λόγια του αναλυτή επιβεβαιώνονται και από τα στοιχεία που συγκέντρωσε η Gartner το 2016 κατά τη διάρκεια έρευνας στην οποία συμμετείχαν 512 οργανισμοί από οκτώ χώρες: Αυστραλία, Καναδάς, Γαλλία, Γερμανία, Ινδία, Σιγκαπούρη και Ηνωμένες Πολιτείες.

Το 53% των ερωτηθέντων ανέφερε τον κίνδυνο κυβερνοασφάλειας ως τον κύριο μοχλό πίσω από την αύξηση των δαπανών για την ασφάλεια στον κυβερνοχώρο. Από αυτόν τον αριθμό, το υψηλότερο ποσοστό των ερωτηθέντων είπε ότι η απειλή των κυβερνοεπιθέσεων είναι η μεγαλύτερη επιρροή στις αποφάσεις σχετικά με τις δαπάνες για την ασφάλεια των πληροφοριών.

Η πρόβλεψη της Gartner για το 2018 προβλέπει αυξημένες δαπάνες σε όλους τους κύριους τομείς. Έτσι, περίπου 57,7 δισεκατομμύρια δολάρια (+4,65 δισεκατομμύρια δολάρια) θα δαπανηθούν για υπηρεσίες κυβερνοάμυνας, περίπου 17,5 δισεκατομμύρια δολάρια (+1,25 δισεκατομμύρια δολάρια) για την ασφάλεια των υποδομών και 11,67 δισεκατομμύρια δολάρια (+1,25 δισεκατομμύρια δολάρια) για εξοπλισμό για την προστασία δικτύων 735 εκατομμύρια δολάρια, για λογισμικό καταναλωτών - 4,74 δισεκατομμύρια δολάρια (+109 εκατομμύρια δολάρια) και σε συστήματα IAM - 4,69 δισεκατομμύρια δολάρια (+416 εκατομμύρια δολάρια).

Οι αναλυτές πιστεύουν επίσης ότι έως το 2020 περισσότερο από το 60% των οργανισμών στον κόσμο θα επενδύουν ταυτόχρονα σε πολλά εργαλεία προστασίας δεδομένων, όπως η πρόληψη απώλειας πληροφοριών, η κρυπτογράφηση και ο έλεγχος. Στο τέλος του 2017, το μερίδιο των εταιρειών που αγοράζουν τέτοιες λύσεις υπολογιζόταν σε 35%.

Ένα άλλο σημαντικό στοιχείο του εταιρικού κόστους για την ασφάλεια των πληροφοριών θα είναι η συμμετοχή τρίτων ειδικών. Αναμένεται ότι στο πλαίσιο της έλλειψης προσωπικού στον τομέα της κυβερνοασφάλειας, η αυξανόμενη τεχνική πολυπλοκότητα των συστημάτων κυβερνοασφάλειας και η αύξηση των κυβερνοαπειλών του κόστους των εταιρειών για την εξωτερική ανάθεση κυβερνοασφάλειας το 2018 θα αυξηθεί κατά 11% και θα είναι 18,5 δισεκατομμύρια δολάρια.

Η Gartner εκτιμά ότι έως το 2019, οι εταιρικές δαπάνες για τρίτους εμπειρογνώμονες στον τομέα της κυβερνοασφάλειας θα αντιπροσωπεύουν το 75% των συνολικών δαπανών λογισμικού και υλικού στον κυβερνοχώρο, από 63% το 2016.

Η IDC προβλέπει το μέγεθος της αγοράς 82 δισεκατομμυρίων δολαρίων

Τα δύο τρίτα του κόστους θα βαρύνουν εταιρείες που σχετίζονται με μεγάλες και πολύ μεγάλες επιχειρήσεις. Μέχρι το 2019, σύμφωνα με αναλυτές της IDC, οι δαπάνες από εταιρείες με περισσότερους από 1.000 υπαλλήλους θα ξεπεράσουν τα 50 δισεκατομμύρια δολάρια.

2016: Όγκος αγοράς 73,7 δισεκατομμύρια δολάρια, η ανάπτυξη είναι 2 φορές μεγαλύτερη από την αγορά πληροφορικής

Τον Οκτώβριο του 2016, η αναλυτική εταιρεία IDC παρουσίασε σύντομα αποτελέσματα μελέτης της παγκόσμιας αγοράς ασφάλειας πληροφοριών. Αναμένεται ότι η ανάπτυξή της θα είναι κατά ένα χήρα υψηλότερη από αυτή της αγοράς πληροφορικής.

Η IDC υπολόγισε ότι οι παγκόσμιες πωλήσεις του εξοπλισμού, του λογισμικού και των υπηρεσιών για την προστασία στον κυβερνοχώρο θα φτάσουν περίπου τα 73,7 δισεκατομμύρια δολάρια το 2016 και το 2020 ο δείκτης θα ξεπεράσει τα 100 δισεκατομμύρια δολάρια, έχοντας φτάσει τα 101,6 δισεκατομμύρια δολάρια. Την περίοδο από το 2016 έως το 2020 η αγορά κυβερνοασφάλειας - Οι τεχνολογίες θα αναπτύσσονται κατά μέσο όρο 8,3% ετησίως, που είναι διπλάσιος από τον αναμενόμενο ρυθμό ανάπτυξης του κλάδου της πληροφορικής.

Τα μεγαλύτερα έξοδα κυβερνοασφάλειας (8,6 δισεκατομμύρια δολάρια) στο τέλος του 2016 αναμένονται στις τράπεζες. Τη δεύτερη, τρίτη και τέταρτη θέση ως προς το μέγεθος τέτοιων επενδύσεων θα καταλάβουν οι διακριτές μεταποιητικές επιχειρήσεις, οι κρατικοί φορείς και οι συνεχείς μεταποιητικές επιχειρήσεις, αντίστοιχα, που θα αντιπροσωπεύουν περίπου το 37% του κόστους.

Οι αναλυτές δίνουν την ηγεσία στη δυναμική της αύξησης των επενδύσεων στον κυβερνοχώρο στην υγειονομική περίθαλψη (αναμένεται μέση ετήσια αύξηση 10,3% το 2016-2020). Το κόστος της άμυνας στον κυβερνοχώρο στις τηλεπικοινωνίες, τη στέγαση, τις κρατικές υπηρεσίες και στην αγορά επενδύσεων και κινητών αξιών θα αυξάνεται κατά περίπου 9% ετησίως.

Τη μεγαλύτερη αγορά κυβερνοασφάλειας, αποκαλούν οι ερευνητές την αμερικανική, ο όγκος της οποίας το 2016 θα φτάσει τα 31,5 δισ. δολάρια. Στις τρεις πρώτες θα περιλαμβάνονται επίσης η Δυτική Ευρώπη και η περιοχή Ασίας-Ειρηνικού (πλην Ιαπωνίας). Δεν υπάρχουν πληροφορίες για τη ρωσική αγορά στη σύντομη έκδοση της μελέτης IDC.

Ο Dmitry Gvozdev, Γενικός Διευθυντής της ρωσικής εταιρείας Security Monitor, προβλέπει αύξηση του μεριδίου των υπηρεσιών στις συνολικές δαπάνες ασφαλείας της Ρωσίας από 30-35% σε 40-45%, και προβλέπει επίσης την ανάπτυξη της δομής της αγοράς πελατών - από το σύνολο επικράτηση του κρατικού, χρηματοπιστωτικού και ενεργειακού τομέα προς τις μεσαίες επιχειρήσεις από ένα ευρύτερο φάσμα βιομηχανιών.

Μία από τις τάσεις θα πρέπει να είναι η ανάπτυξη του μεριδίου των εγχώριων προϊόντων λογισμικού σε σχέση με τα ζητήματα της υποκατάστασης των εισαγωγών και την κατάσταση της εξωτερικής πολιτικής. Ωστόσο, ο τρόπος με τον οποίο αυτό θα αντικατοπτρίζεται στις χρηματοοικονομικές επιδόσεις θα εξαρτηθεί σε μεγάλο βαθμό από τη συναλλαγματική ισοτιμία του ρουβλίου και την τιμολογιακή πολιτική των ξένων προμηθευτών, οι οποίοι εξακολουθούν να καταλαμβάνουν τουλάχιστον το ήμισυ της εγχώριας αγοράς λύσεων λογισμικού και έως τα δύο τρίτα στο τμήμα εξοπλισμού. Επίσης το τελικό ετήσιο οικονομικό αποτέλεσμα όλης της ρωσικής αγοράς λύσεων κυβερνοασφάλειας μπορεί να συνδεθεί με εξωτερικούς οικονομικούς παράγοντες, - ανέφερε ο Gvozdev σε συνομιλία με το TAdviser.

2015

ΤΟ ΜΕΓΕΘΟΣ ΤΗΣ ΑΓΟΡΑΣ

ΟΜΟΣΠΟΝΔΙΑΚΕΣ ΔΑΠΑΝΕΣ

ΚΥΒΕΡΝΟΕΓΚΛΗΜΑ

ΚΟΣΤΟΣ ΑΝΑ ΠΑΡΑΒΑΣΗ

ΧΡΗΜΑΤΟΠΙΣΤΩΤΙΚΕΣ ΥΠΗΡΕΣΙΕΣ

Διεθνές

ΑΝΑΛΥΤΙΚΑ ΑΣΦΑΛΕΙΑΣ

2013: Η αγορά της EMEA αυξήθηκε στα 2,5 δισεκατομμύρια δολάρια.

Ο όγκος της αγοράς μέσων ασφάλειας της περιοχής EMEA (Ευρώπη, Μέση Ανατολή και Αφρική) αυξήθηκε κατά 2,4% σε σύγκριση με το 2012 και ήταν 2,5 δισεκατομμύρια δολάρια. δίκτυα υπολογιστών– Λύσεις UTM (Ενοποιημένη διαχείριση απειλών). Ταυτόχρονα, η IDC προέβλεψε ότι η αγορά τεχνικών μέσων ασφάλειας πληροφοριών έως το 2018 θα φτάσει σε αξία τα 4,2 δισεκατομμύρια δολάρια με μέση ετήσια αύξηση 5,4%.

Στα τέλη του 2013, η Check Point κατέλαβε την ηγετική θέση μεταξύ των προμηθευτών όσον αφορά τα έσοδα από τις πωλήσεις τεχνικών μέσων ασφάλειας πληροφοριών στην περιοχή EMEA. Σύμφωνα με την IDC, τα έσοδα του πωλητή σε αυτό το τμήμα για το 2013 αυξήθηκαν κατά 3,8% και ανήλθαν σε 374,64 εκατομμύρια δολάρια, που αντιστοιχεί σε μερίδιο αγοράς 19,3%.

2012: Πρόβλεψη PAC: Η αγορά κυβερνοασφάλειας θα αυξάνεται κατά 8% ετησίως

Η παγκόσμια αγορά ασφάλειας πληροφοριών θα αυξάνεται ετησίως κατά 8% μέχρι το 2016, όταν θα μπορούσε να φτάσει τα 36 δισεκατομμύρια ευρώ, αναφέρει η μελέτη.

Όπως έχει ήδη σημειωθεί, η ασφάλεια μιας επιχείρησης διασφαλίζεται από ένα σύνολο μέτρων σε όλα τα στάδια του κύκλου ζωής της, το σύστημα πληροφοριών της και, στη γενική περίπτωση, αποτελείται από το κόστος:

• - εργασίες σχεδιασμού.
• - αγορές και ρυθμίσεις λογισμικού και μέσων προστασίας υλικού.
• - κόστος φυσικής ασφάλειας·
• - εκπαίδευση προσωπικού;
• - διαχείριση και υποστήριξη του συστήματος.
• - έλεγχος ασφάλειας πληροφοριών·
• - περιοδικός εκσυγχρονισμός του συστήματος ασφάλειας πληροφοριών κ.λπ.

Ο δείκτης κόστους της οικονομικής απόδοσης ενός ολοκληρωμένου συστήματος ασφάλειας πληροφοριών θα είναι το άθροισμα των άμεσων και έμμεσων δαπανών για την οργάνωση, λειτουργία και συντήρηση του συστήματος ασφάλειας πληροφοριών κατά τη διάρκεια του έτους.

Μπορεί να θεωρηθεί ως βασικός ποσοτικός δείκτης της αποτελεσματικότητας της οργάνωσης της ασφάλειας πληροφοριών σε μια εταιρεία, καθώς θα επιτρέψει όχι μόνο την εκτίμηση του συνολικού κόστους προστασίας, αλλά και τη διαχείριση αυτών των δαπανών για την επίτευξη του απαιτούμενου επιπέδου ασφάλειας της επιχείρησης. Ωστόσο, το άμεσο κόστος περιλαμβάνει τόσο τις συνιστώσες του κόστους κεφαλαίου όσο και το κόστος εργασίας, τα οποία λογιστικοποιούνται στις λειτουργίες και τη διοίκηση. Αυτό περιλαμβάνει επίσης το κόστος υπηρεσιών. απομακρυσμένους χρήστεςκαι άλλα που σχετίζονται με την υποστήριξη των δραστηριοτήτων του οργανισμού.

Με τη σειρά του, το έμμεσο κόστος αντικατοπτρίζει τον αντίκτυπο του ολοκληρωμένου συστήματος ασφαλείας και του υποσυστήματος προστασίας πληροφοριών στους εργαζόμενους μέσω μετρήσιμων δεικτών όπως ο χρόνος διακοπής λειτουργίας και το «πάγωμα» του εταιρικού συστήματος ασφάλειας πληροφοριών και του ολοκληρωμένου συστήματος ασφαλείας στο σύνολό του, το κόστος λειτουργίας και υποστήριξη.

Πολύ συχνά, το έμμεσο κόστος διαδραματίζει σημαντικό ρόλο, καθώς συνήθως δεν αντανακλάται αρχικά στον προϋπολογισμό για ένα ολοκληρωμένο σύστημα ασφαλείας, αλλά προσδιορίζεται ρητά στην ανάλυση του κόστους αργότερα, γεγονός που οδηγεί τελικά σε αύξηση του «κρυφού» κόστους του η εταιρία. Σκεφτείτε πώς μπορείτε να προσδιορίσετε το άμεσο και έμμεσο κόστος ενός ολοκληρωμένου συστήματος ασφαλείας. Ας υποθέσουμε ότι η διοίκηση της επιχείρησης εργάζεται για την εφαρμογή ενός ολοκληρωμένου συστήματος ασφάλειας πληροφοριών στην επιχείρηση. Τα αντικείμενα και οι στόχοι προστασίας, οι απειλές για την ασφάλεια των πληροφοριών και τα μέτρα αντιμετώπισής τους έχουν ήδη προσδιοριστεί, έχουν αποκτηθεί και εγκατασταθεί τα απαραίτητα μέσα προστασίας των πληροφοριών.

Συνήθως, το κόστος ασφάλειας πληροφοριών εμπίπτει στις ακόλουθες κατηγορίες:

• - δαπάνες για τη διαμόρφωση και τη συντήρηση του συνδέσμου διαχείρισης του συστήματος ασφάλειας πληροφοριών·
• - το κόστος ελέγχου, δηλαδή ο προσδιορισμός και η επιβεβαίωση του επιτυγχανόμενου επιπέδου προστασίας των πόρων της επιχείρησης.
• - Εσωτερικό κόστος για την εξάλειψη των συνεπειών των παραβιάσεων της ασφάλειας των πληροφοριών - δαπάνες που επιβαρύνουν τον οργανισμό ως αποτέλεσμα του γεγονότος ότι δεν έχει επιτευχθεί το απαιτούμενο επίπεδο ασφάλειας.
• -εξωτερικό κόστος για την εξάλειψη των συνεπειών των παραβιάσεων της ασφάλειας πληροφοριών - αποζημίωση για απώλειες σε περίπτωση παραβίασης της πολιτικής ασφάλειας σε περιπτώσεις που σχετίζονται με διαρροή πληροφοριών, απώλεια της εικόνας της εταιρείας, απώλεια εμπιστοσύνης συνεργατών και καταναλωτών κ.λπ.
• - κόστος για Συντήρησησυστήματα ασφάλειας πληροφοριών και μέτρα για την πρόληψη παραβιάσεων της πολιτικής ασφάλειας της επιχείρησης.

Στην περίπτωση αυτή, συνήθως διακρίνονται τα εφάπαξ και τα συστηματικά κόστη.

Εφάπαξ κόστος για τη διαμόρφωση της ασφάλειας της επιχείρησης: οργανωτικές δαπάνες και δαπάνες για την αγορά και εγκατάσταση προστατευτικού εξοπλισμού.

Συστηματικό, λειτουργικό και κόστος συντήρησης. Η ταξινόμηση των δαπανών είναι υπό όρους, καθώς η συλλογή, ταξινόμηση και ανάλυση του κόστους ασφάλειας πληροφοριών είναι εσωτερική δραστηριότητα των επιχειρήσεων και η λεπτομερής ανάπτυξη του καταλόγου εξαρτάται από τα χαρακτηριστικά ενός συγκεκριμένου οργανισμού.

Το κύριο πράγμα για τον προσδιορισμό του κόστους ενός συστήματος ασφαλείας είναι η αμοιβαία κατανόηση και συμφωνία για τα στοιχεία δαπανών εντός της επιχείρησης.

Επιπλέον, οι κατηγορίες κόστους πρέπει να είναι συνεπείς και να μην επικαλύπτονται. Το κόστος ασφάλειας δεν μπορεί να εξαλειφθεί πλήρως, αλλά μπορεί να φτάσει σε αποδεκτό επίπεδο.

Ορισμένοι τύποι δαπανών ασφαλείας είναι απολύτως απαραίτητοι και κάποιοι μπορούν να μειωθούν σημαντικά ή να εξαλειφθούν. Οι τελευταίες είναι αυτές που μπορεί να εξαφανιστούν ελλείψει παραβιάσεων ασφάλειας ή να μειωθούν εάν μειωθεί ο αριθμός και ο καταστροφικός αντίκτυπος των παραβιάσεων.

Εάν τηρηθεί η ασφάλεια και αποτραπούν οι παραβιάσεις, τα ακόλουθα κόστη μπορούν να εξαλειφθούν ή να μειωθούν σημαντικά:

• - να επαναφέρει το σύστημα ασφαλείας σε συμμόρφωση με τις απαιτήσεις ασφαλείας.
• - για την αποκατάσταση πόρων πληροφοριακό περιβάλλονεπιχειρήσεις·
• - για αλλαγές στο εσωτερικό του συστήματος ασφαλείας.
• - για νομικές διαφορές και καταβολή αποζημιώσεων.
• - για τον εντοπισμό των αιτιών των παραβιάσεων της ασφάλειας.

Απαραίτητα κόστη είναι αυτά που είναι απαραίτητα ακόμη και αν το επίπεδο των απειλών για την ασφάλεια είναι αρκετά χαμηλό. Αυτά είναι τα κόστη διατήρησης του επιτυγχανόμενου επιπέδου ασφάλειας του πληροφοριακού περιβάλλοντος της επιχείρησης.

Το αναπόφευκτο κόστος μπορεί να περιλαμβάνει:

• α) συντήρηση τεχνικών μέσων προστασίας·
• β) εμπιστευτικές εργασίες γραφείου.
• γ) λειτουργία και έλεγχος του συστήματος ασφαλείας.
• δ) το ελάχιστο επίπεδο επιθεωρήσεων και ελέγχων με τη συμμετοχή εξειδικευμένων οργανισμών.
• ε) εκπαίδευση του προσωπικού σε μεθόδους ασφάλειας πληροφοριών.

Ωστόσο, υπάρχουν και άλλα κόστη που είναι δύσκολο να προσδιοριστούν. Ανάμεσα τους:

• α) το κόστος πρόσθετης έρευνας και ανάπτυξης μιας νέας στρατηγικής αγοράς·
• β) απώλειες από τη μείωση της προτεραιότητας στην επιστημονική έρευνα και την αδυναμία κατοχύρωσης και πώλησης αδειών για επιστημονικά και τεχνολογικά επιτεύγματα.
• γ) δαπάνες που συνδέονται με την εξάλειψη των «σημείων συμφόρησης» στην προμήθεια, παραγωγή και εμπορία προϊόντων·
• δ) ζημίες από τη διακύβευση των προϊόντων που κατασκευάζει η επιχείρηση και τη μείωση των τιμών για αυτήν·
• ε) την εμφάνιση δυσκολιών στην απόκτηση εξοπλισμού ή τεχνολογιών, συμπεριλαμβανομένης της αύξησης των τιμών για αυτά, περιορίζοντας τον όγκο των προμηθειών.

Το αναγραφόμενο κόστος μπορεί να προκληθεί από τις ενέργειες του προσωπικού διαφόρων τμημάτων, για παράδειγμα, σχεδιασμού, τεχνολογίας, σχεδιασμού και οικονομικού, νομικού, οικονομικού, τμήματος μάρκετινγκ, τιμολογιακής πολιτικής και τιμολόγησης.

Δεδομένου ότι όλα αυτά τα τμήματα είναι απίθανο να είναι απασχολημένα με πλήρη απασχόληση με εξωτερικές απώλειες, η κοστολόγηση πρέπει να βασίζεται στον πραγματικό χρόνο που δαπανάται. Ένα από τα στοιχεία των εξωτερικών ζημιών δεν μπορεί να υπολογιστεί με ακρίβεια - πρόκειται για ζημίες που σχετίζονται με την υπονόμευση της εικόνας της επιχείρησης, τη μείωση της εμπιστοσύνης των καταναλωτών στα προϊόντα και τις υπηρεσίες της επιχείρησης. Αυτός είναι ο λόγος που πολλές εταιρείες κρύβουν ότι η υπηρεσία τους είναι ανασφαλής. Οι εταιρείες φοβούνται τη δημοσιοποίηση τέτοιων πληροφοριών ακόμη περισσότερο από τις επιθέσεις με τη μία ή την άλλη μορφή.

Ωστόσο, πολλές επιχειρήσεις αγνοούν αυτές τις δαπάνες με το σκεπτικό ότι δεν μπορούν να εξακριβωθούν με κανένα βαθμό ακρίβειας - είναι μόνο εικασιακές. Κόστος πρόληψης. Αυτά τα κόστη είναι ίσως τα πιο δύσκολα να εκτιμηθούν, αφού προληπτικές ενέργειες πραγματοποιούνται σε διαφορετικά τμήματα και επηρεάζουν πολλές υπηρεσίες. Αυτά τα κόστη μπορούν να εμφανιστούν σε όλα τα στάδια του κύκλου ζωής των πόρων του εταιρικού περιβάλλοντος πληροφοριών:

• - Σχεδιασμός και οργάνωση·
• - απόκτηση και θέση σε λειτουργία·
• - παράδοση και υποστήριξη·
• - παρακολούθηση των διαδικασιών που συνθέτουν την τεχνολογία της πληροφορίας.

Επιπλέον, το μεγαλύτερο μέρος του κόστους αυτής της κατηγορίας σχετίζεται με την εργασία του προσωπικού ασφαλείας. Το κόστος πρόληψης περιλαμβάνει κυρίως μισθούς και γενικά έξοδα. Ωστόσο, η ακρίβεια του προσδιορισμού τους εξαρτάται σε μεγαλύτερο βαθμό από την ακρίβεια προσδιορισμού του χρόνου που αφιερώνει κάθε εργαζόμενος ξεχωριστά. Ορισμένα προληπτικά κόστη είναι εύκολο να προσδιοριστούν άμεσα. Ειδικότερα, μπορεί να περιλαμβάνουν πληρωμή για διάφορα έργα τρίτων, για παράδειγμα:

• - συντήρηση και διαμόρφωση εργαλείων προστασίας λογισμικού και υλικού, λειτουργικών συστημάτων και χρησιμοποιημένου εξοπλισμού δικτύου.
• - εκτέλεση μηχανικών και τεχνικών εργασιών για τη δημιουργία συστήματος συναγερμού, τον εξοπλισμό αποθήκευσης εμπιστευτικών εγγράφων, την προστασία τηλεφωνικών γραμμών, εξοπλισμού ηλεκτρονικών υπολογιστών κ.λπ.
• - παράδοση εμπιστευτικών πληροφοριών·
• - διαβουλεύσεις·
• - μαθήματα κατάρτισης.

Πηγές πληροφοριών σχετικά με το εξεταζόμενο κόστος. Κατά τον προσδιορισμό του κόστους παροχής ασφάλειας πληροφοριών, είναι απαραίτητο να θυμάστε ότι:

• - το κόστος απόκτησης και θέσης σε λειτουργία λογισμικού και υλικού μπορεί να ληφθεί από την ανάλυση τιμολογίων, εγγραφών στην τεκμηρίωση της αποθήκης κ.λπ.
• - οι πληρωμές προσωπικού μπορούν να ληφθούν από τις καταστάσεις.
• - ο όγκος των πληρωμών μισθού θα πρέπει να λαμβάνεται υπόψη λαμβάνοντας υπόψη τον πραγματικό χρόνο που δαπανάται για εργασία ασφάλειας πληροφοριών, εάν μόνο μέρος του χρόνου του υπαλλήλου δαπανάται σε δραστηριότητες ασφάλειας πληροφοριών, τότε η σκοπιμότητα αξιολόγησης καθενός από τα στοιχεία του κόστους του χρόνου του δεν πρέπει να αμφισβητείται.
• - η ταξινόμηση των δαπανών ασφαλείας και η κατανομή τους ανά στοιχεία πρέπει να αποτελούν μέρος της καθημερινής εργασίας εντός της επιχείρησης.