Эффективность системы защиты информации с учетом критерия обеспечения конкурентоспособности предприятия

УДК 681.3

Е. В. Попова

ЭФФЕКТИВНОСТЬ СИСТЕМЫ ЗАЩИТЫ ИНФОРМАЦИИ

С УЧЕТОМ КРИТЕРИЯ ОБЕСПЕЧЕНИЯ КОНКУРЕНТОСПОСОБНОСТИ ПРЕДПРИЯТИЯ

Рассматриваются вопросы эффективности системы защиты информации. Предложен метод расчета экономической эффективности при выборе системы защиты по критерию повышения конкурентоспособности предприятия. Определена эластичность коэффициента изменения конкурентоспособности в зависимости от затрат.

Ключевые слова: конкурентоспособность, система защиты информации, информационная безопасность.

Введение. Проблемы информационной безопасности (ИБ) предприятий приобретают в настоящее время особую актуальность в связи с нарастающими потоками информации, наличием безбарьерного Интернет-пространства и агрессивными высокотехнологичными действиями нарушителей ИБ. Эффективность системы защиты информации (СЗИ) является основной проблемой при повышении ИБ предприятия. Наличие нескольких разработанных для конкретного предприятия комплексных систем защиты ставит проблему выбора наиболее эффективного варианта на первое место. Тенденция последних лет по сокращению издержек предприятия обязывает обоснованно подходить к выделению денежных средств на различные проекты и оперировать затратами на информационную безопасность, подтвержденными количественными оценками.

Методы расчета эффективности СЗИ. Под эффективностью системы защиты информации понимается степень соответствия результатов защиты поставленной цели. Методики расчета этого показателя различны. Например, для ранжирования нескольких комплексных СЗИ, спроектированных для данного предприятия, и выбора самой эффективной системы можно использовать экспертные оценки. Трудности возникают при оценке системы по многим критериям. При оценивании экспертами объекта по определенному критерию расхождений в оценках намного меньше, чем при оценивании объекта по всем критериям. Разброс оценок многократно возрастает. При этом ранжирование объектов по каждому критерию не совпадает.

По другой методике эффективной считается система, успешно прошедшая сертификацию: т.е. для выбранных целей определяется набор требований по безопасности в соответствии с нормативными документами Гостехкомиссии РФ [1, 2], что позволяет обеспечить реализацию этих целей. Посредством сертификации выбранная система проверяется на соответствие требованиям государственных стандартов, однако проверка соответствия проводится с определенной степенью достоверности. Амплитуда варьирования степени достоверности не зафиксирована ни в одном документе, поэтому успешно пройденная сертификация не обязательно означает высокую эффективность работы СЗИ.

Еще один способ определения эффективности системы защиты базируется на использовании метода моделирования. Устанавливаются определенные соответствия, связывающие характеристики специфических СЗИ, построенных для конкретного предприятия, и математические объекты. Найденное допустимое оптимальное решение и будет соответствовать наиболее эффективному варианту СЗИ.

В риск-ориентированных моделях субъективная экспертная оценка рисков сопоставляется с объективными затратами на реализацию механизмов защиты. Оптимальным считается

решение, которое в определенных ситуациях наилучшим образом будет удовлетворять условиям задачи моделирования. Например, эффективной считается СЗИ, снижающая риск до остаточного, при котором потенциальный ущерб от угрозы становится приемлемым для владельца предприятия. Но возникающая неопределенность стохастического характера в реальных системах, наличие зависимых переменных, подверженных случайному разбросу, дефицит числовой информации, определение оптимизационных значений по нескольким критериям лучше отражаются стохастическими моделями неопределенности задания сводного показателя.

Эффективность СЗИ, выбранной по критерию обеспечения конкурентоспособности предприятия. В однокритериальных задачах аппарат исследования операций хорошо разработан. При многокритериальном варианте, который полнее отражает реальные свойства исследуемых объектов, часто прибегают к субъективному выбору доминирующего критерия и фиксации остальных критериев в качестве ограничений. Один из способов решения этой проблемы — свертывание всех критериев в один и переход от векторной задачи к скалярной. В работе [3] была предложена процедура выбора варианта системы защиты информации по критерию обеспечения конкурентоспособности предприятия.

Пусть x = (,..., xm ) — вектор исходных числовых характеристик исследуемой системы. Условный эффект при изменении уровня ИБ

ЭИБ =Удо " Упосле = Удо (l" р (x)) ,

где Удо и Упосле — величина ущерба в денежном выражении до и после внедрения СЗИ;

р( x) — коэффициент изменения конкурентоспособности предприятия.

Для увеличения условного эффекта нужно выбрать минимальное значение коэффициента изменения конкурентоспособности, для чего необходимо решить следующую оптимизационную задачу:

р

где x^ — оптимальное значение вектора; Хд — множество допустимых значений вектора

числовых характеристик; ZR — затраты, допустимые для предприятия.

Иными словами, необходимо выбрать наилучшее решение по построению СЗИ, характеристики которой обеспечат минимальное значение р(x) при усилении информационной безопасности с учетом допустимых затрат.

При решении этой задачи использовался модифицированный метод рандомизированных сводных показателей [4], при котором сравнение первоначальных объектов сводится к сравнению рандомизированного сводного показателя и его стохастических оценок. Полученное теоретическое значение коэффициента р( x) при подстановке его в количественную формулу конкурентоспособности предприятия [5] позволяет обеспечить уровень конкурентоспособности и выбрать вариант построения СЗИ, при котором достигается максимальная степень соответствия результатов защиты информации поставленной цели.

Метод расчета экономической эффективности. Не менее значимым как для разработчиков СЗИ, так и для руководства предприятия является расчет экономической эффективности исследуемого проекта. Если рассматривать вложения в информационную безопасность как затраты, то необходимо их минимизировать. Но тогда, достигая краткосрочного эффекта освобождения средств, можно стратегически ослабить положение предприятия, не достигнув поставленных целей при построении СЗИ, снизив ИБ и конкурентоспособность предприятия. Рассматривая вложения в ИБ как инвестиции, руководители предприятия рассчитывают на получение результатов от внедрения СЗИ; т.е. экономическая эффективность системы Эсзи зависит от результатов и затрат, сбалансированных в приемлемой пропорции:

Э

СЗИ

результаты - затраты

затраты

при этом затраты не должны превышать допустимые 2д.

Основным результатом при создании СЗИ является уменьшение ущерба в денежном выражении при реализации угроз ИБ. Поэтому в качестве результатов реализации конкретной СЗИ при использовании критерия обеспечения конкурентоспособности предприятия следует принять максимальное значение условного эффекта ЭИБ, получаемого при решении оптимизационной задачи (1). Тогда

Э

СЗИ

ЭИБ - Z

Z '

где Z — затраты на создание СЗИ; если Эсзи ^ 0, то данная реализация системы считается эффективной по отношению к отдаче от вложенных средств.

Мера чувствительности коэффициента р к изменению затрат. Так как р — есть функция характеристик СЗИ, зависящих от затрат на ее создание, то коэффициент изменения конкурентоспособности является зависимой переменной от затрат. Рассмотрим эластичность коэффициента р, т.е. степень влияния аргумента на функцию. Для этого произведем расчет коэффициента эластичности Кэл (coefficient of elasticity) — безразмерной величины, которая показывает, на сколько процентов изменится коэффициент р при изменении затрат на 1 %:

Лр Z

Кэл -

ЛZ р

При Кэл < 1 темп изменения затрат превышает темп изменения коэффициента конкурентоспособности, т.е. реакция на изменения слабая; при Кэл > 1 процентное изменение р опережает процентное изменение затрат. Наиболее благоприятное воздействие аргумента при Кэл = 1 — коэффициент изменения конкурентоспособности изменяется пропорционально

затратам. Так как экономическая эффективность обеспечивается при Эиб _ % > 0, то при прямой пропорциональной зависимости р = 1 —— (см. рисунок).

У

до

0,6 0,4 0,2 0

Z

\km\

Эластичность коэффициента р в точке Х равна отношению -.—¡- (где т — ордината точ

\т

ки Х, к — точка пересечения графика с осью ординат, совпадающая с единицей), т.е.

Кэл = ^^^ = 1 при т=0,5. Таким образом, при единичной эластичности коэффициент измене-|т0|

ния конкурентоспособности р = 0,5. Полученное значение коэффициента р сопоставимо

с результатами, описанными в работе [3]. В случае криволинейной зависимости определяют отношение отрезков, образованных пересечением касательной к графику с осями координат, и координат данной точки.

Заключение. Приведен сравнительный анализ методики выбора эффективного варианта системы защиты информации по критерию обеспечения конкурентоспособности предприятия и других методик выбора эффективного варианта СЗИ. Предложена методика расчета экономической эффективности системы.

Для апробации модели влияния информационной безопасности на изменение конкурентоспособности предприятия в компании ООО „Балтрос-Сервис" (Санкт-Петербург) был проведен эксперимент по реализации оптимального варианта СЗИ. Полученные теоретические и реальные значения р близки к значению коэффициента изменения конкурентоспособности при единичной эластичности.

Следует отметить также, что перспективным направлением развития в данной области представляется исследование влияния надежности и отказоустойчивости [6—8] информационно-коммуникационных составляющих системы на ее безопасность и, следовательно, на конкурентоспособность предприятия.

1. Standard: ISO/IEC 27001 - Titles: The Information Security Standard. Renamed in 2007 [Электронный ресурс]: <http://www.itgovernance.co.uk/iso27001.aspx>.

2. ГОСТ Р ИСО / МЭК 15408-2-2002. Информационная технология. Методы и средства обеспечения безопасности. Критерии оценки безопасности информационных технологий. Часть 2. Функциональные требования безопасности. М.: Госстандарт России, 2002. 158 с.

3. Попова Е. В. Выбор варианта системы защиты информации по критерию обеспечения конкурентоспособности предприятия // Научно-технический вестник информационных технологий, механики и оптики. 2014. № 2 (90). С. 155—160.

4. Попова Е. В. Многокритериальный оптимизационный выбор системы защиты информации (СЗИ) для малых предприятий // Материалы VIII Санкт-Петербург. межрегион. конф. „Информационная безопасность регионов России", 23—25 окт. 2013 г. СПб: СПОИСУ, 2013. С. 191—192.

5. Попова Е. В. Расчет конкурентоспособности малых предприятий сферы сервиса при усилении информационной безопасности // Вестн. Российской академии естественных наук. 2012. № 16(3). С. 48—51.

6. Богатырев В. А., Богатырев С. В., Богатырев А. В.Оптимизация древовидной сети с резервированием коммутационных узлов и связей // Телекоммуникации. 2013. № 2. С. 42—48.

7. Богатырев В. А., Богатырев С. В., Богатырев А. В. Надежность кластерных вычислительных систем с дублированными связями серверов и устройств хранения // Информационные технологии. 2013. № 2. С. 27—32.

8. Богатырев В. А., Богатырев С. В., Богатырев А. В. Функциональная надежность вычислительных систем с перераспределением запросов // Изв. вузов. Приборостроение. 2012. Т. 55. № 10. С. 53—57.

СПИСОК ЛИТЕРАТУРЫ

Елена Владимировна Попова

Сведения об авторе Санкт-Петербургский государственный экономический университет, кафедра прикладных информационных технологий; ассистент; E-mail: serana5@inbox.ru

Рекомендована кафедрой прикладных информационных технологий

Поступила в редакцию 28.04.14 г.