Сергей Петренко - Политики безопасности компании при работе в Интернет
Прикладной информационный анализ (Applied Information Economics, AIE). Методика AIE была разработана Дугласом Хаббардом, руководителем компании Hubbard Ross. Компания Hubbard Ross, основанная в марте 1999 года, стала первой организацией, которая использовала методику AIE для анализа ценности инвестиций в технологии безопасности с финансовой и экономической точки зрения.
Методика AIE позволяет повысить точность показателя действительной экономической стоимости вложений в технологии безопасности за счет определения доходности инвестиций (Return on Investment, ROI) до и после инвестирования. Применение AIE позволяет сократить неопределенность затрат, рисков и выгод, в том числе и неочевидных. Опираясь на знания экономики, статистики, теории информации и системного анализа, консультанты Hubbard Ross определяют важные финансовые показатели, используя дополнительные сведения для уменьшения их неопределенности, а также оценивают влияние рисков и помогают выбрать стратегию, которая уменьшала бы риск и оптимизировала инвестиционные вложения.
Отчет о проделанной работе включает в себя полученные сведения, рекомендации и комментарии консультантов, также в состав отчета входит сводная таблица (Microsoft Excel), отражающая взаимное влияние затрат, прибыли и рисков.
Потребительский индекс (Customer Index, CI). Метод предлагает оценивать степень влияния инвестиций в технологии безопасности на численность и состав потребителей. В процессе оценки предприятие или организация определяет экономические показатели своих потребителей за счет отслеживания доходов, затрат и прибылей по каждому заказчику в отдельности. Недостаток метода состоит в трудности формализации процесса установления прямой связи между инвестициями в технологии безопасности и сохранением или увеличением числа потребителей. Этот метод применяется в основном для оценки эффективности корпоративных систем защиты информации в компаниях, у которых число заказчиков непосредственно влияет на все аспекты бизнеса.
Добавленная экономическая стоимость (Economic Value Added, EVA). Консалтинговая компания Stern Stewart и Co., основанная в 1982 году, специализируется на оценке акционерного капитала новым инструментарием финансового анализа. Эта компания одна из первых разработала собственную методику вычисления добавленной стоимости, которая предлагает непротиворечивый подход к определению целей и измерению показателей, к оценке стратегий, размещению капитала и пр.
Методика EVA предлагает рассматривать службу информационной безопасности как «государство в государстве», то есть специалисты службы безопасности продают свои услуги внутри компании по расценкам, примерно эквивалентным расценкам на внешнем рынке, что позволяет компании отследить доходы и расходы, связанные с технологиями безопасности. Таким образом, служба безопасности превращается в центр прибыли и появляется возможность четко определить, как расходуются активы, связанные с технологиями безопасности, и увеличиваются доходы акционеров.
Исходная экономическая стоимость (Economic Value Sourced, EVS). Методика EVS была разработана компанией МЕТА Group Consulting, которая оказывает услуги средним и крупным компаниям, количественно измеряя возврат от инвестиций в технологии безопасности. Методика предполагает точный расчет всех возможных рисков и выгод для бизнеса, связанных с внедрением и функционированием корпоративной системы защиты информации. При этом расширяется использование таких инструментальных средств оценки ИТ, как добавленная экономическая стоимость (EVA), внутренняя норма рентабельности (IRR) и возврат от инвестиций (ROI), за счет определения и вовлечения в оценочный процесс параметров времени и риска.
Управление портфелем активов (Portfolio Management, PM). Методика управления портфелем активов предполагает, что компании управляют технологиями безопасности так же, как управляли бы акционерным инвестиционным фондом с учетом объема, размера, срока, прибыльности и риска каждой инвестиции. Портфель активов технологий безопасности состоит из «статичных» и «динамичных» активов. К «статичным» активам относят: аппаратно-программные средства защиты информации, операционные системы и пакеты прикладных программных продуктов, сетевое оборудование и программное обеспечение, данные и информацию, оказываемые услуги, человеческие ресурсы и пр. В состав «динамичных» активов входят следующие компоненты: различные проекты по расширению и обновлению всего портфеля активов, знания и опыт, интеллектуальный капитал и т. д.
Таким образом, управление портфелем активов технологий безопасности представляет собой непрерывный анализ взаимодействия возникающих возможностей и имеющихся в наличии ресурсов. Непрерывность процесса управления связана с внешними изменениями (например, изменение ситуации на рынке, изменение позиций конкурента) и с внутренними изменениями (например, изменения в стратегии компании, в каналах сбыта, номенклатуре товаров и услуг и т. д.). А директор службы безопасности становится «фондовым менеджером», который управляет инвестициями в технологии безопасности, стремясь к максимизации прибыли.
Оценка действительных возможностей (Real Option Valuation, ROV). Основу методики составляет ключевая концепция построения модели «гибких возможностей компании» в будущем. Методика рассматривает технологии безопасности в качестве набора возможностей с большой степенью их детализации. Правильное решение принимается после тщательного анализа широкого спектра показателей и рассмотрения множества результатов или вариантов будущих сценариев, в терминах методики именующихся «динамическим планом выпуска/гибкости» управляющих решений, который поможет организациям лучше адаптировать или изменять свой курс в области информационной безопасности.
Метод жизненного цикла искусственных систем (System Life Cycle Analysis, SLCA). В основе российского метода SLCA лежит измерение «идеальности» корпоративной системы защиты информации – соотношение ее полезных факторов и суммы вредных факторов и факторов расплаты за выполнение полезных функций. Оценку предваряет совместная работа аналитика и ведущих специалистов обследуемой компании по выработке реестра полезных, негативных и затратных факторов бизнес-системы без использования системы безопасности и по присвоению им определенных весовых коэффициентов. Результатом работы является расчетная модель, описывающая состояние без системы безопасности. После этого в модель вводятся описанные факторы ожидаемых изменений и производится расчет уровня развития компании с корпоративной системой защиты информации. Таким образом, строятся традиционные модели «как есть» и «как будет» с учетом реестра полезных, негативных и затратных факторов бизнес-системы.
Метод SLCA применяется:
• на этапе предпроектной подготовки, для предварительной оценки эффекта от внедрения новой системы безопасности или от модернизации существующей;
• на этапе разработки технического задания на ИС в защищенном исполнении;
• на этапе проведения аудита информационной безопасности ИС предприятия, для проектной оценки ожидаемого эффекта;
• на этапе приемки ИС в защищенном исполнении в эксплуатацию или по окончании периода опытной эксплуатации для подтверждения расчетного эффекта, его уточнения и получения новой «точки отсчета» (нового уровня организационно-технологического развития компании) для последующих оценок эффекта от внедрения технологий безопасности.Система сбалансированных показателей (Balanced Scorecard, BSC). Система сбалансированных показателей (ССП) – это методика, в рамках которой традиционные показатели финансовых отчетов объединяются с операционными параметрами, что создает достаточно общую схему, позволяющую оценить нематериальные активы: уровень корпоративных инноваций, степень удовлетворенности сотрудников, эффективность приложений и т. д.
Концепция системы сбалансированных показателей впервые была представлена в 1990 году Дэвидом Нортоном, на сегодняшний день руководителем Balanced Scorecard Collaborative, и Робертом Капланом, профессором Harvard Business School. Традиционная концепция ССП предполагает формирование так называемых стратегических карт, группирующих цели и показатели по четырем категориям (перспективам):
• финансы – финансовые цели развития и результаты работы компании (прибыль, рентабельность и т. д.);
• клиенты и рынки – цели присутствия на рынке и показатели качества обслуживания клиентов (освоение рынков и территорий продаж, время выполнения заказа и т. д.);
• процессы – требования к эффективности процессов (стоимость, время, количество ошибок, риски и т. д.);
• развитие – цели поиска новых технологий и повышения квалификации персонала и т. д.
