Просмтор этого файла доступен только зарегистрированным пользователям. Но у нас супер быстрая регистрация: достаточно только электронной почты!

Текст из файла (страница 8)

Рисунок 2.1 – Профиль защиты персональных данных

1. Экономика. Оценка экономической эффективности внедрения системы защиты персональных данных

Цель выпускной квалификационной работы заключается в разработке профиля защиты персональных данных, обрабатываемых в информационной системе персональных отдела бухгалтерского учета и отчетности, удовлетворяющей требованиям руководящих документов и других нормативно-правовых актов в области информационной безопасности. Профиль защиты разрабатывается для Акционерного общество «Акционерная компания «Железные дороги Якутии», в котором обрабатываются персональных данные работников АО "АК "ЖДЯ", пользователей услуг АО "АК "ЖДЯ" и физических лиц, состоящих в договорных и иных гражданско-правовых отношениях с АО "АК "ЖДЯ".

Для того чтобы оценить экономическую эффективность внедрения системы защиты персональных данных, необходимо вычислить:

• чистый дисконтированный доход (NPV);

• индекс доходности (PI).

Для расчета данных показателей необходимо вычислить следующие величины:

• капиталовложение (К) – средства, необходимые на разработку, внедрение и аттестационные испытания системы защиты персональных данных;

• выгода (R) – средства, которые удастся сохранить после ввода в эксплуатацию системы защиты персональных данных;

• периодические затраты (З) – средства, необходимые для поддержания системы защиты информации в рабочем состоянии (продление лицензий на средства защиты информации, зарплата администратора безопасности и прочее);

• ставка дисконтирования (N) – показатель, позволяющий учесть неравноценность денежных потоков, возникающих в различные моменты времени.

1. Расчет капиталовложения

Капиталовложение (К) – средства, необходимые на разработку, внедрение и аттестационные испытания системы защиты персональных данных.

Общие затраты на выполнение работ по разработке, внедрению и аттестации информационной системы персональных данных (S) рассчитаем по формуле (4.1):

S = S_СЗ + S_А , (4.1)

где S_СЗ – затраты на закупку средств защиты информации;

S_А – затраты на оплату труда специалиста на разработку проектной документации и проведение аттестационных испытаний системы защиты информации.

В таблице 4.1 представлен перечень технических средств с указанием розничной цены и общих затрат на закупку данного средства. Цены взяты с официальных сайтов разработчиков и поставщиков данных средств защиты информации и являются актуальными на май 2017 года.

Таблица 4.1.1. Официальные сайты разработчиков средств защиты информации.

Таблица 4.1 – Перечень технических средств с указанием стоимости

В таблице 4.2 представлена стоимость работ по разработке проектной документации и проведении аттестационных испытаний по требованиям безопасности информации. Цены определены условиями контракта.

Таблица 4.2 – Работы, проводимые специалистами органа по аттестации

Таким образом, общая сумма затрат на разработку, внедрение и аттестационные испытания системы защиты информации составляет:

S = 573880+99000=672880 рублей.

1. Расчет выгоды

Выгода (R) – средства, которые удастся сохранить после ввода в эксплуатацию системы защиты персональных данных.

Выгоду составляют средства, которые удастся сэкономить от оплаты штрафов за невыполнение требований законодательства Российской Федерации в области информационной безопасности.

Контролирующими органами в области информационной безопасности являются: Федеральная служба по техническому и экспортному контролю (ФСТЭК), Федеральная служба в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) и Федеральная служба безопасности (ФСБ).

В соответствии со статьей 24 Федерального закона № 152-ФЗ «О персональных данных» за нарушение требований настоящего Федерального закона несут уголовную, административную, дисциплинарную и другую ответственность, предусмотренную законодательством РФ.

Для расчета выгоды будем рассматривать только административную ответственность, потому что другие виды ответственности не предполагают финансовых затрат.

В соответствии со статьей 13.12 «Нарушение правил защиты информации» Кодекса об административных правонарушениях за использование несертифицированных информационных систем, баз и банков данных, а также несертифицированных средств защиты информации, если они подлежат обязательной сертификации, на юридических лиц налагается штраф до 20 тысяч рублей с конфискацией несертифицированных средств защиты информации.

Ввиду того, что операционная система, установленная на рабочих станциях и серверах, имеет встроенные функции безопасности, то каждый используемый для обработки ПДн компьютер по своей сути является средством защиты информации. Такие средства подвергаются обязательной сертификации на соответствие требованиям информационной безопасности. А так как операционная система Windows компании Microsoft не является сертифицированной, то наступает ответственность по указанной статье Кодекса об административных правонарушениях .

Средняя стоимость каждого компьютера, используемого для обработки ПДн в отделе бухгалтерского учета и отчетности, составляет 20 тысяч рублей. Количество таких компьютеров – 5 штук. Таким образом, при конфискации всех компьютеров и наложении штрафа убытки (У1) составят:

У1 = 20000*5+20000=120000 руб.

К тому же, при конфискации компьютеров отдела бухгалтерского учета и отчетности не сможет выполнять возложенные на него функции.

При обнаружении нарушения при обработке ПДн, контролирующие органы выдают постановления и предписания на устранение выявленных нарушений. Если проигнорировать предписание и не реализовать систему защиты персональных данных, наступает ответственность по статье 19.5 «Невыполнение в срок законного предписания (постановления, представления, решения) органа, осуществляющего государственный надзор (контроль)» Кодекса об административных правонарушениях [3]. Ответственность по части 2 указанной статьи влечет наложение административного штрафа на юридических лиц в размере от 200 до 500 тысяч рублей.

С учетом сложности реализации системы защиты и других факторов, срок выполнения предписания в среднем составляет от 4 до 6 месяцев. По истечению срока организуется повторная проверка с целью определения выполнения или невыполнения требований предписания. Если требования не выполнены – налагается повторный штраф и новое предписание с новыми сроками. И так до тех пор, пока юридическое лицо не выполнит требования предписания, причем при повторном невыполнении требований предписания сумма штрафа увеличивается.

Таким образом, при первой проверке отдела бухгалтерского учета и отчетности, будет оштрафован на 20000 рублей и будут конфискованы компьютеры, то есть убыток составит 120 тысяч рублей. Будет выдано предписание с требованиями устранить нарушения. Предположим, что отдел, достал из резервов другие компьютеры и продолжает обработку ПДн с нарушениями, ведь если не обрабатывать ПДн, то невозможно производить основную деятельность. При повторной проверке через 4 месяца штраф уже будет составлять 12000+200000=320000 рублей. Еще через 4 месяца штраф будет составлять 120000 + 500000 = 620000 рублей.

То есть за 2017 год отдел потеряет уже 120000+320000+620000=1060000 рублей.

Штрафы продолжаются и далее. Тогда за 2018 год размер штрафов будет составлять 1860000 рублей. Следующие года – аналогично.

1. Расчет периодических затрат

Периодические затраты (З) – средства, необходимые для поддержания системы защиты информации в рабочем состоянии (продление лицензий на средства защиты информации, зарплата администратора безопасности и прочее).

Характеристики

Список файлов ВКР