Просмтор этого файла доступен только зарегистрированным пользователям. Но у нас супер быстрая регистрация: достаточно только электронной почты!

Текст из файла (страница 9)

Рисунок 2.1 – Профиль защиты персональных данных

1. Экономика. Оценка экономической эффективности внедрения системы защиты персональных данных

Цель выпускной квалификационной работы заключается в разработке профиля защиты персональных данных Лечебного учреждения, удовлетворяющей требованиям руководящих документов и других нормативно-правовых актов в области информационной безопасности. Профиль защиты разрабатывается для Краевого государственного бюджетного учреждения здравоохранения «Перинатальный центр» Хабаровского края.

Для того чтобы оценить экономическую эффективность внедрения системы защиты персональных данных, необходимо вычислить:

• чистый дисконтированный доход (NPV);

• индекс доходности (PI).

Для расчета данных показателей необходимо вычислить следующие величины:

• капиталовложение (К) – средства, необходимые на разработку, внедрение и аттестационные испытания системы защиты персональных данных;

• выгода (R) – средства, которые удастся сохранить после ввода в эксплуатацию системы защиты персональных данных;

• периодические затраты (З) – средства, необходимые для поддержания системы защиты информации в рабочем состоянии (продление лицензий на средства защиты информации, зарплата администратора безопасности и прочее);

• ставка дисконтирования (N) – показатель, позволяющий учесть неравноценность денежных потоков, возникающих в различные моменты времени.

1. Расчет капиталовложения

Капиталовложение (К) – средства, необходимые на закупку средств защиты информации.

В таблице 3.1 представлен перечень технических средств с указанием розничной цены и общих затрат на закупку данного средства. Цены взяты с официальных сайтов разработчиков и поставщиков данных средств защиты информации и являются актуальными на май 2017 года. [25,26,27,28]

Таблица 3.1 – Перечень технических средств с указанием стоимости

Таким образом, общая сумма затрат на закупку средств защиты информации составляет 710930 рублей.

3.2 Расчет выгоды

Выгода (R) – средства, которые удастся сохранить после ввода в эксплуатацию системы защиты персональных данных.

Выгоду составляют средства, которые удастся сэкономить от оплаты штрафов за невыполнение требований законодательства Российской Федерации в области информационной безопасности.

Контролирующими органами в области информационной безопасности являются: Федеральная служба по техническому и экспортному контролю (ФСТЭК), Федеральная служба в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) и Федеральная служба безопасности (ФСБ).

В соответствии со статьей 24 Федерального закона № 152-ФЗ «О персональных данных» [20] за нарушение требований настоящего Федерального закона несут уголовную, административную, дисциплинарную и другую ответственность, предусмотренную законодательством РФ.

Для расчета выгоды будем рассматривать только административную ответственность, потому что другие виды ответственности не предполагают финансовых затрат.

В соответствии со статьей 13.12 «Нарушение правил защиты информации» Кодекса об административных правонарушениях [9] за использование несертифицированных информационных систем, баз и банков данных, а также несертифицированных средств защиты информации, если они подлежат обязательной сертификации, на юридических лиц налагается штраф от 20 тысяч рублей с конфискацией несертифицированных средств защиты информации.

Ввиду того, что операционная система, установленная на рабочих станциях и серверах, имеет встроенные функции безопасности, то каждый используемый для обработки ПДн компьютер по своей сути является средством защиты информации. Такие средства подвергаются обязательной сертификации на соответствие требованиям информационной безопасности. А так как операционная система Windows компании Microsoft не является сертифицированной, то наступает ответственность по указанной статье Кодекса об административных правонарушениях.

Средняя стоимость каждого компьютера, используемого для обработки ПДн в Лечебном учреждении, составляет 20 тысяч рублей. Количество таких компьютеров – 32 штук. Таким образом, при конфискации всех компьютеров и наложении штрафа убытки (У1) составят:

У1 = 20000 * 32 + 20000 = 660000 руб.

К тому же, при конфискации компьютеров Лечебное учреждение не сможет выполнять возложенные на него функции, предусмотренные лицензией на медицинскую деятельность.

При обнаружении нарушения при обработке ПДн, контролирующие органы выдают постановления и предписания на устранение выявленных нарушений. Если проигнорировать предписание и не реализовать систему защиты персональных данных, наступает ответственность по статье 19.5 «Невыполнение в срок законного предписания (постановления, представления, решения) органа, осуществляющего государственный надзор (контроль)» Кодекса об административных правонарушениях [9]. Ответственность по части 2 указанной стати влечет наложение административного штрафа на юридических лиц в размере от 200 до 500 тысяч рублей.

С учетом сложности реализации системы защиты и других факторов, срок выполнения предписания в среднем составляет от 4 до 6 месяцев. По истечению срока организуется повторная проверка с целью определения выполнения или невыполнения требований предписания. Если требования не выполнены – налагается повторный штраф и новое предписание с новыми сроками. И так до тех пор, пока юридическое лицо не выполнит требования предписания, причем при повторном невыполнении требований предписания сумма штрафа увеличивается.

Таким образом, при первой проверке Лечебное учреждение будет оштрафовано на 20000 рублей и будут конфискованы компьютеры, то есть убыток составит 660 тысяч рублей. Будет выдано предписание с требованиями устранить нарушения. Предположим, что Лечебное учреждение достало из резервов другие компьютеры и продолжает обработку ПДн с нарушениями, ведь если не обрабатывать ПДн, то невозможно производить основную деятельность. При повторной проверке через 4 месяца штраф уже будет составлять 660000 + 200000 = 860000 рублей. Еще через 4 месяца штраф будет составлять 660000 + 200000 = 860000 рублей. То есть за 2017 год Лечебное учреждение потеряет уже 660000 + 860000 + 860000 = 2 380 000 рублей.

В таблице 3.2 приведен расчет убытков при нарушениях обработки информации.

Таблица 3.2 Расчет убытков

Штрафы продолжаются и далее. Тогда за 2018 год размер штрафов будет составлять 2 580 000рублей. Следующие года – аналогично.

3.3 Расчет периодических затрат

Периодические затраты (З) – средства, необходимые для поддержания системы защиты информации в рабочем состоянии (продление лицензий на средства защиты информации, зарплата администратора безопасности и прочее).

Лицензии на выбранные средства защиты информации являются бессрочными, поэтому нет необходимости тратить средства на их продление.

Администратор безопасности уже был в штате сотрудников, но в связи с тем, что количество его обязанностей возросло, то необходимо увеличить его заработную плату. Размер прибавки найдем по формуле (3.1):

П = О (1 + k) * t, (3.1)

где О – оклад администратора до повышения (28000);

k – дальневосточный и районный коэффициенты (30% и 20%);

t – время, потраченная на выполнение обязанностей (чел/мес).

Для поддержания работоспособности системы защиты администратору безопасности необходимо выполнять предусмотренные планом мероприятия по обеспечению безопасности информации. Затраты времени на выполнение мероприятий в совокупности составляют примерно один день в месяц. Исходя из того, что в месяце в среднем 22 рабочих дня, время t составит:

Теперь, определим П по формуле (3.1).

Н – размер налоговых отчислений(2,9% социальное страхование; 22% пенсионные отчисления)[10].

Таким образом сумма налоговых отчислений составляет:

П = 1890,00 * 0,029 = 54,81 руб.(2,9% ФСС).

П = 1890,00 * 0,22 = 415,8 руб.(22% ПФР).

Н = 54,81 + 415,8 = 470,61 руб.

Соответственно, сумма затрат за целый год составит З = (П+Н)*12.

З = (1890+470,61) * 12 = 28327,32 рублей.

3.4 Расчет нормы дисконта

Ставка дисконтирования (N) – показатель, позволяющий учесть неравноценность денежных потоков, возникающих в различные моменты времени.

Ставка дисконтирования без учета риска проекта рассчитывается как номинальная процентная ставка по формуле Ирвинга Фишера, связывающей номинальную, реальную ставки процента и темп инфляции, по формуле (3.2):

, (3.2)

где R – реальная процентная ставка (ставка рефинансирования) (9,25%)[31];

I – прогноз темпа инфляции на 2017 год (5.2%) [31].

Данная формула является приближенной. При высоких темпах инфляции необходимо использовать более точную формулу:

.

Характеристики

Список файлов ВКР