Сергей Петренко - Политики безопасности компании при работе в Интернет

Любые нарушения этого кодекса этики недопустимы, и компания будет действовать быстро для исправления ситуации.

К любому сотруднику, нарушившему эту политику, могут быть применены дисциплинарные меры, вплоть до увольнения.

Цель

Область действия Эта политика обязательна для всех компьютеров лаборатории компании.

Суть политики Все компьютеры лаборатории должны иметь стандартное, рекомендованное к использованию в компании антивирусное программное обеспечение. Антивирусное программное обеспечение должно иметь самую свежую базу обновлений. Компьютеры, зараженные вирусом, необходимо немедленно удалять из сети до тех пор, пока они не будут вылечены. Менеджеры и администраторы лаборатории ответственны за создание процедур, гарантирующих, что антивирусное программное обеспечение выполняет периодическую проверку компьютеров и имеет самые свежие базы обновлений. Запрещена, в соответствии с политикой допустимого использования, любая деятельность по созданию/распространению вирусов, «червей», почтовых «бомб», программ типа «Троянский конь».

Ответственность

К любому сотруднику, нарушившему эту политику, могут быть применены дисциплинарные меры, вплоть до увольнения.

1. Оценка затрат на защиту информации

Сегодня в отечественных компаниях и на предприятиях с повышенными требованиями в области информационной безопасности (банковские системы, биллинговые системы, ответственные производства и т. д.) затраты на обеспечение режима информационной безопасности составляют до 30 % всех затрат на информационную систему, и владельцы информационных ресурсов со всей серьезностью рассматривают экономические аспекты обеспечения их безопасности. Однако даже там, где уровень информационной безопасности явно недостаточен, у технических специалистов зачастую возникают проблемы обоснования для руководства необходимости затрат на повышение этого уровня. Как определить экономически оправданные затраты на защиту информации? Какие методы существуют и жизнеспособны на практике? Давайте рассмотрим эти вопросы.

Обзор существующих методов

Первоначально определимся с целями, которые мы преследуем при выборе метода оценки целесообразности затрат на систему информационной безопасности. Во-первых, метод должен обеспечивать количественную оценку затрат на безопасность, используя качественные показатели оценки вероятностей событий и их последствий. Во-вторых, метод должен быть прозрачен с точки зрения пользователя и давать возможность вводить собственные эмпирические данные. В-третьих, метод должен быть универсален, то есть одинаково применим к оценке затрат на приобретение аппаратных средств, специализированного и универсального программного обеспечения, затрат на услуги, затрат на перемещение персонала и обучение конечных пользователей и т. д. В-четвертых, выбранный метод должен позволять моделировать ситуацию, при которой существует несколько контрмер, направленных на предотвращение определенной угрозы, в разной степени влияющих на сокращение вероятности происшествия. Какие же методы оценки затрат и ценности инвестиций существуют и что можно использовать на практике?

Прикладной информационный анализ (Applied Information Economics, AIE). Методика AIE была разработана Дугласом Хаббардом, руководителем компании Hubbard Ross. Компания Hubbard Ross, основанная в марте 1999 года, стала первой организацией, которая использовала методику AIE для анализа ценности инвестиций в технологии безопасности с финансовой и экономической точки зрения.

Методика AIE позволяет повысить точность показателя действительной экономической стоимости вложений в технологии безопасности за счет определения доходности инвестиций (Return on Investment, ROI) до и после инвестирования. Применение AIE позволяет сократить неопределенность затрат, рисков и выгод, в том числе и неочевидных. Опираясь на знания экономики, статистики, теории информации и системного анализа, консультанты Hubbard Ross определяют важные финансовые показатели, используя дополнительные сведения для уменьшения их неопределенности, а также оценивают влияние рисков и помогают выбрать стратегию, которая уменьшала бы риск и оптимизировала инвестиционные вложения.

Отчет о проделанной работе включает в себя полученные сведения, рекомендации и комментарии консультантов, также в состав отчета входит сводная таблица (Microsoft Excel), отражающая взаимное влияние затрат, прибыли и рисков.

Потребительский индекс (Customer Index, CI). Метод предлагает оценивать степень влияния инвестиций в технологии безопасности на численность и состав потребителей. В процессе оценки предприятие или организация определяет экономические показатели своих потребителей за счет отслеживания доходов, затрат и прибылей по каждому заказчику в отдельности. Недостаток метода состоит в трудности формализации процесса установления прямой связи между инвестициями в технологии безопасности и сохранением или увеличением числа потребителей. Этот метод применяется в основном для оценки эффективности корпоративных систем защиты информации в компаниях, у которых число заказчиков непосредственно влияет на все аспекты бизнеса.

Добавленная экономическая стоимость (Economic Value Added, EVA). Консалтинговая компания Stern Stewart и Co., основанная в 1982 году, специализируется на оценке акционерного капитала новым инструментарием финансового анализа. Эта компания одна из первых разработала собственную методику вычисления добавленной стоимости, которая предлагает непротиворечивый подход к определению целей и измерению показателей, к оценке стратегий, размещению капитала и пр.

Методика EVA предлагает рассматривать службу информационной безопасности как «государство в государстве», то есть специалисты службы безопасности продают свои услуги внутри компании по расценкам, примерно эквивалентным расценкам на внешнем рынке, что позволяет компании отследить доходы и расходы, связанные с технологиями безопасности. Таким образом, служба безопасности превращается в центр прибыли и появляется возможность четко определить, как расходуются активы, связанные с технологиями безопасности, и увеличиваются доходы акционеров.