ЕФЕКТИВНІСТЬ ІНВЕСТИЦІЙ В ІНФОРМАЦІЙНУ БЕЗПЕКУ: ПРОБЛЕМИ І РІШЕННЯ

Анотація

У статті зроблено порівняльний аналіз основних переваг і недоліків трьох методик визначення ефективності витрат на інформаційну безпеку промислових підприємств. Дві методики базуються на використанні сукупних показників: ROI (Return on Investment - віддача від інвестицій) за певний період часу, TCO (Total Cost of Ownership - сукупної вартості володіння активів. Також використовується методика, розроблена компанією Gartner Group. Основними перевагами ROI є: можливість прогнозування результатів та комплексність використовуваних показників. Основним недоліком є відсутність можливості визначити вартість конфіденційної інформації. Основними перевагами показника TCO є: найкращі можливості для врахування всіх можливих витрат та можливість обґрунтовувати витрати на різних рівнях готовності систем захисту. Основні недоліки показника TCO: проблематичність вибору з двох проектів, якщо обидва ведуть до зниження витрат та відсутність обліку впливу ризиків. Основні переваги методики Gartner Group: врахування впливу ризиків та можливість визначити ефективність системи безпеки для всіх рівнів компанії. Основним недоліком вказаної методики є те, що вона побудована лише на аналізі можливих ризиків.
Доведено, що використання якоїсь однієї методики не дає повної картини щодо ефективності витрат на інформаційну безпеку. Зроблено висновок про необхідність удосконалення існуючих методик оцінки ефективності, основним напрямом якого є сумісне їх використання. Для цього в статті запропоновано удосконалений методичний підхід до оцінки ефективності інвестицій в інформаційну безпеку, який ґрунтується на процедурах оптимального вибору варіанту системи захисту, визначення ступеню ризику при впровадженні обраної альтернативи та оцінки можливостей підприємства щодо прийняття на себе визначених ризиків. Для полегшення практичного впровадження розробленого підходу в статті наведено алгоритм його реалізації.