Сергей Петренко - Политики безопасности компании при работе в Интернет

1. Затраты на формирование и поддержание звена управления системой защиты информации (организационные затраты):

• затраты на приобретение и ввод в эксплуатацию программно-технических средств: серверов, компьютеров конечных пользователей (настольных и мобильных), периферийных устройств и сетевых компонентов;

• затраты на приобретение и настройку средств защиты информации;

• затраты на содержание персонала, стоимость работ и аутсорсинг;

2. Затраты на контроль (определение и подтверждение достигнутого уровня защищенности ресурсов предприятия):

• затраты на контроль:

– плановые проверки и испытания;

– затраты на проверки и испытания программно-технических средств защиты информации;

– затраты на проверку навыков эксплуатации средств защиты персоналом предприятия;

– затраты на обеспечение работы лиц, ответственных за реализацию конкретных процедур безопасности по подразделениям;

– оплата работ по контролю правильности ввода данных в прикладные системы;

– оплата инспекторов по контролю требований, предъявляемых к защитным средствам при разработке любых систем (контроль выполняется на стадии проектирования и спецификации требований);

• внеплановые проверки и испытания:

– оплата работы испытательного персонала специализированных организаций;

– обеспечение испытательного персонала (внутреннего и внешнего) материально-техническими средствами;

– затраты на контроль реализации функций, обеспечивающих управление защитой коммерческой тайны;

– затраты на организацию временного взаимодействия и координации между подразделениями для решения конкретных повседневных задач;

– затраты на проведение аудита безопасности по каждой автоматизированной информационной системе, выделенной в информационной среде предприятия;

– материально-техническое обеспечение системы контроля доступа к объектам и ресурсам предприятия;

• затраты на внешний аудит:

– затраты на контрольно-проверочные мероприятия, связанные с лицензионно-разрешительной деятельностью в сфере защиты информации.

3. Внутренние затраты на ликвидацию последствий нарушений политики информационной безопасности (затраты, понесенные организацией в результате того, что требуемый уровень защищенности не был достигнут):

• пересмотр политики информационной безопасности предприятия (проводится периодически):

– затраты на идентификацию угроз безопасности;

– затраты на поиск уязвимостей системы защиты информации;

– оплата работы специалистов, выполняющих работы по определению возможного ущерба и переоценке степени риска;

• затраты на ликвидацию последствий нарушения режима информационной безопасности:

– восстановление системы безопасности до соответствия требованиям политики безопасности;

– установка патчей или приобретение последних версий программных средств защиты информации;

– приобретение технических средств взамен пришедших в негодность;

– проведение дополнительных испытаний и проверок технологических информационных систем;

– затраты на утилизацию скомпрометированных ресурсов;

• восстановление информационных ресурсов предприятия:

– затраты на восстановление баз данных и прочих информационных массивов;

– затраты на проведение мероприятий по контролю достоверности данных, подвергшихся атаке на целостность;

• затраты на выявление причин нарушения политики безопасности:

– затраты на проведение расследований нарушений политики безопасности (сбор данных о способах совершения, механизме и способах сокрытия неправомерного деяния, поиск следов, орудий, предметов посягательства, выявление мотивов неправомерных действий и т. д.);

– затраты на обновление планов обеспечения непрерывности деятельности службы безопасности;

• затраты на переделки:

– затраты на внедрение дополнительных средств защиты, требующих существенной перестройки системы безопасности;

4. Внешние затраты на ликвидацию последствий нарушения политики информационной безопасности:

• внешние затраты на ликвидацию последствий нарушения политики безопасности:

– обязательства перед государством и партнерами;