Как идентифицировать затраты на безопасность?
Первая задача - определить перечень затрат, которые относятся к деятельности предприятия и распределить их по категориям.
Вторая - составить перечень таким образом, чтобы смысл каждой позиции (каждого элемента) был ясен персоналу предприятия, и ввести ясную систему обозначения для каждой позиции перечня. Общий смысл сбора данных по затратам на безопасность - обеспечить руководство предприятия инструментом управления.
Особенно важно, чтобы позиции перечня затрат были определимы в том виде, как они названы и распределены для различных категорий, в том числе:
-
Для подразделения или какого-либо участка.
Для защищаемого ресурса (по всем типам ресурсов).
Для какого-либо рабочего места пользователя информационной среды предприятия.
Для рисков по каждой категории информации.
Требования должны быть установлены самим предприятием для собственного (внутреннего) пользования. Однако при этом не следует забывать, что собранной информации должно быть достаточно для проведения последующего анализа.
Система защиты информации, а следовательно и система учета и анализа затрат на безопасность, которая не учитывает особенности предприятия, имеет слишком мало шансов на успех. Такая система должна быть встроена в организацию, как бы "сшита по мерке", ее нельзя взять уже готовую.