Коэффициент ROI безопасности

1. Идентификация и оценка активов

2. Фактор воздействия угрозы и уязвимости (EF)

3. Определите ожидаемую единичную потерю (СКВ)

4. Годовая частота возникновения (ARO)

5. Рассчитать ожидаемую годовую потерю (ALE)

6. Контроль обследования

7. Рассчитать ROSI

1. Идентификация и оценка активов:

Ликвидационная стоимость - англ. Salvage Value, ориентировочная стоимость, по которой предположительно может быть реализован актив в конце срока эксплуатации.

Годовая амортизация = (Стоимость актива - Ликвидац. Стоимость) / Период экспл в годах

2. Теперь, когда активы были определены, необходимо изучить возможные угрозы для каждого из этих активы. Это не определенно, так как здесь задействовано много переменных, но эксперты в данной области для многих из этих активов может помочь определить риски.

Изучение факторов воздействия угроз и уязвимости EF

От 0 до 100 процентов потерь при воздействии определенного события. Например, если вирус это может привести к 75-процентной потере функциональности.

Фактор подверженности воздействию (Exposure Factor) представляет собой процент потери, который могла бы принести реализованная угроза на определенном активе

Для любой определенной угрозы, мы берем ценность подверженного ей актива и умножаем ее на фактор подверженности. В итоге получается ожидаемая при исполнении угрозы потеря, которая и называется ожиданием единичной потери

Asset Value (AV) = hardware + comm. software + proprietary software + data

Можно измерять информационное значение активов, оценивая стоимости разработки, приобретения, лицензирования, поддержки и замены ресурса

Ожидаемая единичная потеря (SLE):

Single Loss Expectancy (SLE) = EF x AV

Annual Loss Expectancy (ALE) = SLE x ARO

Ожидание ежегодной потери (ALE - Annual Loss Expectancy) - это ожидаемые за год финансовые потери актива от одной определенной угрозы

Годовая частота возникновения (ARO) - это частота, с которой ожидается возникновение угрозы. Значения ARO находятся в диапазоне от 0,0 (никогда) до большого числа. ARO не является определенным числом и может быть субъективным.

Ежегодная частота проявления (ARO - The Annual Rate of Occurrence) - это ожидаемое количество проявлений угрозы по отношению к определенному активу. Чем больше риск (относящийся к угрозе), тем выше значение ARO.

Например, компания X просматривает данные об инцидентах за последние пять лет и находит что на 100 внешних сотрудников приходилось в среднем три попытки на одного внешнего работника попытка несанкционированного доступа.

ARO = 0.3

Ожидаемая годовая потеря (ALE) теперь может быть определена на основе собранных данных.

ALE - это величина, которую вы можете использовать для обоснования своих расходов на безопасность.

Например, вы хотите защитить свой платежный сервер внутри компании. Сам сервер не вызовет прямой потери для компании, если он будет скомпрометирован, это приведет к потере репутации при разоблачении.

Ценность самой системы

10000 долларов, а информация и потеря репутации оцениваются в 250 тысяч долларов. ARO = 0,3.

Используя формулу выше, мы получаем SLE в размере 58 500 долларов США = ($260,000*0.75)*0.3 = $58,500

ROSI

мы можем вычесть стоимость того, что мы ожидаем потерять через год для конкретного актива от годовой стоимости контроля:

Annual loss expectancy (ALE) - Current cost of control (CCC) = ROSI

Требуется защитить небольшую базу данных, которая содержит важные бизнес-данные. Данные были оценены в 5 000 000 долларов и никогда не подвергались риску. На основании недавних событий в аналогичных компаниях с данным типом сервера и данных, вероятность атаки. По оценкам, это происходит примерно раз в 20 лет. Вас просят посмотреть текущий доступ существуют средства контроля, которые обходятся компании в 95 000 долларов в год, чтобы поддерживать и видеть, что происходит с ROSI.

Как видно общий ROSI для текущего контроля доступа дает организации положительный показатель ROSI составляет 130 000 долларов в год.

Пример расчёта ROSI

Steps
Asset identification and	Asset: proprietary'	Valuation: $5,000,000
valuation	confidential data
Threat and vulnerability	Threat: disclosure of data	EF: 90%
exposure factor (EE)
Determine the single loss	$5,000,000 X.90 =	SLE: $4,500,000
expectancy' (SLE)
Annualized rate of	Based on observed data, the	ARO = 0.05
occurrence (ARO)	probability is 1 in 20 years
Compute the annual loss	$4,500,000 X.05 =	ALE = $225,000
expectancy (ALE)
Survey controls	Current controls arc costing $95,000	ROSI = $130,000
Calculate ROSI	$225,000- $95,000

Инвестиции в безопасность сложнее в том, что инвестиции не обеспечивают увеличение доходов, но обеспечивают экономию при неизбежной кибератаке.

Итого

Инвестиции в безопасность сложнее в том, что инвестиции не обеспечивают увеличение доходов, но обеспечивают экономию при неизбежной кибератаке.

SLE - это просто ожидаемая сумма денег, общая стоимость, которая теряется во время одного инцидента безопасности. Это одна из самых сложных частей расчета, поскольку она зависит от того, были ли ваши активы данных организованы и оценены. Если нет, то с ИТ и ИТ-директором предстоит проделать большую работу. Как минимум, это число должно включать прямые затраты на потери и косвенные расходы, связанные с последствиями утечки данных.

ARO измеряет вероятность или вероятность инцидента безопасности, произошедшего в течение года. Это так просто. Это зависит от вас, как вы определяете это, часто в финансах они измеряют исторические записи, чтобы понять это. Например, вы можете заметить, что в вашей компании происходит около 10 инцидентов в год Ежегодная Ожидаемая Потеря (ALE)

ALE - это общий годовой финансовый ущерб от инцидентов безопасности. Это контрольный номер, который показывает, сколько денег можно потерять, поддерживая обычный бизнес. ALE рассчитывается следующим образом:

ALE = ARO * SLE