Сергей Петренко - Политики безопасности компании при работе в Интернет

Данные по годовым доходам опрашиваемых предприятий и организаций представлены на рис. П1.3. Доход 57 % предприятий и организаций составил более 100 млн. долларов, включая 37 % организаций с доходом более 1 млрд. долларов. Доход 20 % предприятий и организаций составил менее 10 млн. долларов. Новыми для исследования 2004 года стали данные по занимаемым должностям респондентов на предприятии (см. рис. П1.4). Как оказалось, в исследовании приняло участие 18 % руководителей высшего эшелона управления предприятиями: 4 % респондентов – президенты компаний и учреждений (СЕО), 8 % – начальники служб автоматизации (СIO) и 6 % – начальники служб информационной безопасности (CISO). Большая часть респондентов (53 %) оказалась представленной менеджерами безопасности предприятий (BISO) и/или техническими специалистами в области защиты информации. При этом 9 % респондентов занимали должность системного администратора, а 19 % – другие инженерные должности.

Бюджеты защиты информации. Исследование 2004 года коснулось вопроса планирования бюджета на защиту информации. Как видно на рис. П1.5, данные по бюджетам опрашиваемых предприятий и организаций на защиту информации распределились следующим образом: 46 % респондентов указали, что на защиту информации выделяется от 1 до 5 % от общего бюджета на информационные технологии; 16 % – менее 1 %; 23 % – более 5 % от бюджета на информационные технологии; 14 % респондентов указали, что сумма бюджета на защиту информации им не известна.

Определение величины средних эксплуатационных расходов на защиту информации в пересчете на одного работника предприятия показало следующее (см. рис. П.1.6.). Как и следовало ожидать, подтвердилось предположение о том, что по мере роста доходов предприятий эксплуатационные и капитальные затраты на защиту информации растут менее быстрыми темпами. Например, компании с годовым оборотом менее 10 млн. долларов США тратят на одного сотрудника в среднем около 500 долларов (334 доллара эксплуатационных расходов и 163 доллара капитальных затрат), в то время как компании с годовым оборотом более 1 млрд. долларов тратят в среднем около 110 долларов на одного сотрудника (82 доллара эксплуатационных расходов и 30 долларов капитальных затрат).

Величины затрат на защиту информации в перерасчете на одного сотрудника предприятия по отраслям экономики США представлены на рис, П1.7. Как оказалось, самые большие затраты на защиту информации (608 долларов) на предприятиях транспорта (449 долларов эксплуатационных расходов и 159 долларов капитальных затрат на одного сотрудника). Далее по убыванию эксплуатационных расходов следует федеральное правительство (261 доллар), предприятия телекоммуникаций (209 долларов) и высоких технологий (183 доллара). С точки зрения капитальных затрат на защиту информации в убывающем порядке места распределились следующим образом: в отрасли телекоммуникаций (150 долларов), в отрасли высоких технологий (83 доллара) и в федеральном правительстве (61 доллар).

Интересно отметить, что если федеральное правительство сообщило об одних из самых больших затратах на защиту информации на одного сотрудника, правительственные учреждения на местах тратят на одного сотрудника меньше всего (примерно 17 долларов), а правительства штатов по аналогичным затратам оказались где-то посередине (примерно 154 доллара).

На практике лицам, ответственным за организацию режима информационной безопасности, часто требуется обосновать бюджеты на создание и сопровождение корпоративной системы защиты информации. В академических кругах и во время проведения профессиональных форумов по безопасности, а также на страницах периодических изданий часто ведется дискуссия о целесообразности расчета экономических показателей эффективности инвестиций на защиту информации. Результаты исследования CSI/FBI 2004 года показали, что для определения эффективности инвестиций на защиту информации компании используют ряд экономических показателей, таких, как коэффициент возврата инвестиций (ROI или ROSI), показатели внутренней нормы доходности (IRR) и чистой текущей стоимости (NPV). Например, участников исследования 2004 года попросили обозначить по шкале из семи баллов готовность компаний использовать показатели ROI, IRR и NPV для количественной оценки экономической эффективности затрат на защиту информации. При этом ответы 1, 2 или 3 истолковывались как неготовность к использованию названных экономических показателей; ответ 4 – затруднение в ответах; ответ 5, 6 или 7 – готовность к использованию указанных показателей. Как оказалось (см. рис. П1.8), 55 % респондентов используют показатель ROI, 28 % – показатель IRR и 25 % – показатель NPV. Таким образом, показатель ROI при всех своих ограничениях по сравнению с NPV и IRR является наиболее популярным. Использование NPV и/или IRR вызывает некоторое удивление, так как в периодической печати не раз заявлялось о малой пригодности методов традиционного экономического анализа в области защиты информации.