The document discusses business continuity management (BCM) and information security (IS). It outlines key questions and problems regarding IS, such as how the current situation with IS can be assessed and what benefits specific IS solutions can provide. It also discusses using experience in BCM to properly plan and implement IS strategies and architectures.

1. Анализ
воздействия на
бизнес и ИБ
Алексей Лукацкий
Бизнес-консультант по безопасности
CIO Summit © 2007 Cisco Systems, Inc. All rights reserved. Cisco Confidential 1/25

2. ИБ в контексте BCM
 Выход из строя сети в результате DDoS-атаки
 Выход из строя сервера в результате шквала спама
 Простой рабочей станции в результате эпидемии
вредоносной программы
 Отсутствие связи с филиалом в результате
изменения таблиц маршрутизации
 Торможение деятельности подразделений в
результате выполнения ст.14,20,21 ФЗ-152 «О
персональных данных»
 Приостановление деятельности организации на
срок до 90 суток за нарушение правил защиты
информации (ст.13.12, 19.20 КоАП)
CIO Summit © 2007 Cisco Systems, Inc. All rights reserved. Cisco Confidential 2/25

3. Ключевые вопросы/проблемы ИБ
 Что мы теряем без ИБ?
 Сколько мы можем инвестировать в решения ИБ?
 Почему мы должны инвестировать именно в эти
решения ИБ?
 Почему эти решения ИБ нужны нам именно здесь?
 Почему это решение ИБ для нас лучше, чем
другие?
CIO Summit © 2007 Cisco Systems, Inc. All rights reserved. Cisco Confidential 3/25

4. «Снизу-вверх» vs. «сверху-вниз»
Бизнес- Бизнес-
потребности потребности
Зачем ИБ
нужна ???
бизнесу?
ИБ-решения ИБ-решения
CIO Summit © 2007 Cisco Systems, Inc. All rights reserved. Cisco Confidential 4/25

5. “Невозможно решить проблему на том
же уровне, на котором она возникла.
Нужно стать выше этой проблемы,
поднявшись на следующий уровень.”
Альберт Эйнштейн
CIO Summit © 2007 Cisco Systems, Inc. All rights reserved. Cisco Confidential 5/25

6. Пошаговое достижение успеха
1. Оценка текущей ситуации с ИБ
Как есть
2. Анализ потребностей бизнеса своей компании
Стратегические цели и тактические задачи
Бизнес-среда
3. Планирование будущей архитектуры ИБ
Как надо
4. Анализ разрыва
5. Способы сокращения разрыва
Затраты, время и бизнес-среда
CIO Summit © 2007 Cisco Systems, Inc. All rights reserved. Cisco Confidential 6/25

7. Воспользоваться опытом BCM
“Цель для компаний и организаций – не
допустить простоев и достичь такого
состояния непрерывности бизнеса, при
котором все критичные системы и сети
будут постоянно доступны, не взирая на
любые происходящие события.”
The Gartner Group
CIO Summit © 2007 Cisco Systems, Inc. All rights reserved. Cisco Confidential 7/25

8. Анализ
воздействия на
бизнес
CIO Summit © 2007 Cisco Systems, Inc. All rights reserved. Cisco Confidential 8/25

9. Правильный план BCM
1. Выполните анализ влияния на
бизнес (Business Impact Analysis)
для всех ключевых процессов на
предприятии
2. Разработайте план
непрерывности бизнеса и
согласуйте с его с бизнес-,
ИС-, и ИТ-владельцами
3. Привлеките партнеров и
поставщиков для внедрения
соответствующего плана
обеспечения непрерывности
4. Продолжайте обновлять и
тестировать план в соответствии с
изменениями
CIO Summit © 2007 Cisco Systems, Inc. All rights reserved. Cisco Confidential 9/25

10. Анализ воздействия на бизнес
 Ключевая задача BIA
Определение ценности каждого процесса в организации
для бизнеса
Приоритезация бизнес-процессов
 Второстепенные задачи BIA
Определение величины потерь в результате «сбоев» в
функционировании процессов
Определение длительности «сбоя» и скорости его
распространения
CIO Summit © 2007 Cisco Systems, Inc. All rights reserved. Cisco Confidential 10/25

11. Не все йогурты одинаково полезны
 Выделение ключевых бизнес-процессов, которые
должны функционировать даже в условиях
наступления чрезвычайной ситуации
Web-сайт vs. Интернет-банк
 Приоритезация бизнес-процессов зависит от
множества параметров
Отрасль, масштаб, уровень информатизации и т.д.
 Отдельные компоненты/элементы бизнес-процесса
могут быть также иметь разный приоритет с точки
зрения критичности
Отгрузка товара vs. Печать отчетов об отгрузке
 Не забывать про перекрестное использование
CIO Summit
общих элементов разных бизнес-процессов
© 2007 Cisco Systems, Inc. All rights reserved. Cisco Confidential 11/25

12. Роль BIA в безопасности
 Приоритезация Приоритет в
бизнес- управлении
рисками
процессов в
рамках BIA
позволяет
Приоритет в
отталкиваться … реагировании
на инциденты
от нее для
оптимизации BIA
усилий при
выстраивании
всех
остальных Приоритет в
Приоритет в
выборе
процессов ИБ мониторинге
событий
защитных
мер
CIO Summit © 2007 Cisco Systems, Inc. All rights reserved. Cisco Confidential 12/25

13. BIA vs. анализ рисков
Анализ воздействия
Анализ рисков
на бизнес
Определение ключевых Определение рисков для
бизнес-процессов ключевых бизнес-процессов
Приоритезация бизнес- Приоритезация усилий по
процессов управлению рисками
CIO Summit © 2007 Cisco Systems, Inc. All rights reserved. Cisco Confidential 13/25

14. Определение ценности
Ценность
потери Ценность
приобретения
 Потери
Прямые – потеря доходов, штрафы за нарушение
договорных обязательств, штрафы надзорных органов, иски
Косвенные – упущенная выгода, потеря доли рынка,
снижение лояльности заказчиков/партнеров, репутация
 Приобретение
Ускорение сделок, снижение времени вывода продукта на
рынок, рост продуктивности, рост числа клиентов и т.д.
CIO Summit © 2007 Cisco Systems, Inc. All rights reserved. Cisco Confidential 14/25

15. Составляющие потерь
 Цена «сбоя» складывается из множества параметров
Восстановление утерянной информации
«Процедурные» затраты
Стоимость времени восстановления
Взаимодействие с пострадавшими стейкхолдерами
Резервирование автоматизации ключевых процессов
ручными операциями
Снижение качества обслуживания
Извлечение уроков и т.п.
 Необходимо учитывать динамику потерь
Ущерб может наступить мгновенно или спустя недели
Активность бизнес-процессов может зависеть от
квартала/сезона  ущерб зависит от этого же
CIO Summit © 2007 Cisco Systems, Inc. All rights reserved. Cisco Confidential 15/25

16. Жизненный цикл сбоя
 Степень влияния и составляющие цены «сбоя»
меняется с течением времени
RPO – Recovery Point Objectives, RTO – Recovery Time Objectives, MAD – Maximum Allowable Downtime
CIO Summit © 2007 Cisco Systems, Inc. All rights reserved. Cisco Confidential 16/25

17. Определение потерь
 Бизнес-потери
Падение доходов
Штрафы и судебные иски
Упущенная выгода
Потеря доли рынка
Удар по репутации
Снижение лояльности клиентов/партнеров
«Информационные» потери (например, интеллектуальная
собственность)
 ИТ- или операционные потери
Цена восстановления информации
Цена восстановления ИТ-систем
Цена восстановления бизнес-процессов
CIO Summit © 2007 Cisco Systems, Inc. All rights reserved. Cisco Confidential 17/25

18. Имеет ли информационный актив цену?
 Наиболее сложный, но реализуемый этап в BIA
 Требует привлечения финансового департамента и
финансовых методик расчета
Совершенно иной уровень знаний и квалификации
 Оценки стоимости информационных активов
возможна
Бухгалтерия давно умеет это делать!
Методика оценки нематериальных активов
CIO Summit © 2007 Cisco Systems, Inc. All rights reserved. Cisco Confidential 18/25

19. Нематериальные активы
 Патенты, изобретения, технологии…
 Авторские права
 Деловая репутация
 Фирменные знаки и наименования
 Документированные консультации
 Торговые марки
 ПО, обособленное по «железа»
 Права на эксплуатацию
 Лицензии
 И т.д.
CIO Summit © 2007 Cisco Systems, Inc. All rights reserved. Cisco Confidential 19/25

20. Виды стоимости НМА
Вид стоимости Определение
Стоимость обмена Вероятная цена продажи, когда условия
обмена известны обеим сторонам и сделка
считается взаимовыгодной
Обоснованная рыночная Наиболее вероятная цена, по которой
стоимость объект оценки переходит из рук одного
продавца в руки другого на открытом рынке
и добровольно
Стоимость Стоимость объекта оценки в представлении
использования конкретного пользователя и с учетом его
ограничений
Ликвидационная Стоимость объекта оценки при вынужденной
стоимость продаже, банкротстве
Стоимость замещения Наименьшая стоимость эквивалентного
объекта оценки
CIO Summit © 2007 Cisco Systems, Inc. All rights reserved. Cisco Confidential 20/25

21. Методы оценки НМА
 У каждого метода есть своя область применения,
свои достоинства и недостатки
Рыночный Затратный Доходный
• Метод сравнения • Метод стоимости • Метод расчета
продаж замещения роялти
аналогичных • Метод • Метод исключения
объектов оценки восстановительной ставки роялти
стоимости • Метод DCF
• Метод исходных • Метод прямой
затрат капитализации
• Экспресс-оценка
• Метод избыточной
прибыли
• Метод по правилу
25%
• Экспертные методы
CIO Summit © 2007 Cisco Systems, Inc. All rights reserved. Cisco Confidential 21/25

22. Стандарты оценки НМА
 МСФО 38 «Нематериальные активы»
 GAAP – для США
 EVS 2000 – для Евросоюза
 Стандарты оценки РФ
Утверждены ПП-519 от 6.07.2001
CIO Summit © 2007 Cisco Systems, Inc. All rights reserved. Cisco Confidential 22/25

23. Возвращаемся к BIA
 Инициация проекта и получение одобрения топ-
менеджмента
 Формирование команды и планирование проекта
 Сбор данных
 Анализ данных
 Документирование
 Одобрение результатов топ-менеджментом
 А затем реализация стратегии… BCM/управления
ИБ
CIO Summit © 2007 Cisco Systems, Inc. All rights reserved. Cisco Confidential 23/25

24. Вопросы?
Дополнительные вопросы Вы можете задать по электронной
почте security-request@cisco.com
или по телефону: +7 495 961-1410
CIO Summit © 2007 Cisco Systems, Inc. All rights reserved. Cisco Confidential 24/25

25. CIO Summit © 2007 Cisco Systems, Inc. All rights reserved. Cisco Confidential 25/25