Таблица 10.2. Эффект нарастающим итогом
Таблица 10.2. Эффект нарастающим итогом (окончание)
Вывод: внедрение системы управления ИТ-активами экономически целесообразно. Период окупаемости инвестиций составляет 7 месяцев.
Инвестиции в информационную безопасность
В качестве примера использования методики ТСО для обоснования инвестиций на информационную безопасность (ИБ) рассмотрим проект создания корпоративной системы защиты информации от вирусов и вредоносных апплетов, интегрированной с системой контроля и управления доступом на объекте информатизации.
Для этого сначала условно определим три возможных степени готовности корпоративной системы защиты от вирусов и вредоносных апплетов, а именно: базовую, среднею и высокую.
Базовая. Стационарные и мобильные рабочие станции обладают локальной защитой от вирусов. Антивирусное программное обеспечение и базы сигнатур регулярно обновляются для успешного распознавания и парирования новых вирусов. Установлена программа автоматического уничтожения наиболее опасных вирусов. Основная цель уровня – организация минимальной защиты от вирусов и вредоносных апплетов при небольших затратах.
Средняя. Установлена сетевая программа обнаружения вирусов. Управление программными обновлениями на сервере автоматизировано. Системный контроль над событиями оповещает о случаях появления вирусов и предоставляет информацию по предотвращению дальнейшего распространения вирусов. Превентивная защита от вирусов предполагает выработку и следование определенной политике защиты информации, передаваемой по открытым каналам связи. Дополнительно к техническим мерам активно предлагаются и используются организационные меры защиты информации.
Высокая. Антивирусная защита воспринимается как один из основных компонентов корпоративной системы защиты. Система антивирусной защиты тесно интегрирована в комплексную систему централизованного управления ИБ компании и обладает максимальной степенью автоматизации. При этом организационные меры по защите информации преобладают над техническими мерами. Стратегия защиты информации определяется исключительно стратегией развития бизнеса компании.
Также условно выделим три степени готовности системы контроля и управления доступом: базовая, средняя, высокая.
Базовая. Ведется учет серийных номеров рабочих станций и серверов, инвентаризационные таблички крепятся на соответствующее аппаратное обеспечение. Введена процедура контроля перемещения аппаратных средств КИС. Проводятся постоянные и периодические инструктажи персонала компании. Особое внимание уделяется мобильным компонентам КИС.
