Інформація давно стала одним з основних ресурсів, які забезпечують діяльність компанії. Більше того, інформація часто є сировинним матеріалом або результатом виробництва - товаром, що пропонується кінцевому споживачеві.
Інформація стала активом компанії, який, до певної міри, потребує обліку та вираження в загальновживаних кількісних показниках. Інформаційні активи - це результат діяльності компанії за певний проміжок чаму, який також можно виміряти. Давайте спробуємо знайти відповіді на такі питання: Наскільки цінний інформаційний актив для власника? Якої шкоди може зазнати компанія у разі компрометації? Як виразити цінність інформації у грошовому вираженні?
Інформація є самостійним активом
Незалежно від форм власності та виду діяльності компанії, інформація є основою для прийняття ключових управлінських рішень, таких як визначення стратегії поведінки на ринку, планування подальшого розвитку, інвестування у проекти, укладення угод.
Інформація може бути одним з найцінніших факторів, які приносять прибуток. Цю ситуацію можна проілюструвати на прикладі брокерського обслуговування, яке надає послуги з управління цінними паперами на міжнародних біржах. Будь-яка інформація, навіть неправдиві чутки, можуть миттєво змінити ситуацію на ринку. Що можна сказати, якщо, наприклад, станеться витік інформації про укладення угоди або судове розгляд, просочиться інсайдерська інформація про новинки випуску продукції - акції миттєво обвалються або підскочать. Нові технології, інноваційні ідеї, виробничі ноу-хау, вихідний код програмного продукту - це все інформація, та її використання як ресурс значно впливає на кінцеві результати діяльності. Отже, інформація перестає бути просто даними, вона стає цінним інформаційним активом компанії.
Оскільки вся інформація обробляється за допомогою інформаційних технологій, вона нерозривно пов'язана з обчислювальною технікою та працівниками, які її використовують. Таким чином, під інформаційними активами компанії розумітимемо всі цінні інформаційні ресурси власника, здатні приносити йому економічну вигоду, в яких накопичені знання, вміння та навички персоналу, та реалізовані з використанням сучасних інформаційних технологій. Іншими словами, інформаційні активи слід розглядати як нерозривну сукупність самої інформації, засобів її обробки та персоналу, які мають до неї доступ та безпосередньо її використовують. І, відповідно, кінцева вартість інформаційних активів також буде формуватися загальною вартістю всіх складових, описаних вище.
І, оскільки є інформаційні активи, необхідно мати механізми для оцінки та обліку такого роду активів. Функцію обліку часто покладають на службу інформаційної безпеки, де процес обліку та оцінки є складовою частиною управління ризиками, хоча це питання вже давно виходить за межі лише однієї служби. Правильно обліковані та оцінені активи дозволяють ефективно управляти вже наявними вигодами та оцінити потенціал їх використання у майбутньому, а також впливають на інвестиційну привабливість компанії.
Проблеми оцінки вартості інформаційних активів
Інформаційні активи є нематеріальними і, отже, першою з проблем є їх формування як об'єкта. Виділення саме цінної та корисної в комерційному плані інформації з усього масиву інформації, що залучена до бізнес-процесів компанії, може бути виконане експертним методом. Для оцінки необхідно залучити групу експертів, до складу якої обов'язково повинні входити учасники бізнес-процесів - керівники та фахівці з вузькою кваліфікацією, здатні визначити, на якому саме етапі які саме дані використовуються як цінний ресурс. Якість та достовірність отриманих результатів безпосередньо залежить від компетентності та професійного досвіду експертів.
Іншою, більш складною і глобальною проблемою є визначення цінності інформаційного активу та об'єктивне вираження його в грошовому вираженні. Задача є слабко формалізованою, тому всі значення, отримані в результаті оцінки, будуть приблизними. Тільки власник інформаційного активу або інша особа, яка з його допомогою здобуває прибуток, може об'єктивно виразити його грошову вартість.
Для визначення вартості активу застосовуються різні методи. Найпростіший - це визначення вартості шляхом розрахунку трудовитрат на одиницю отриманої цінної інформації. Наприклад, добуток середньогодинної ставки співробітника на час, який він витратив для отримання цих даних. Однак такий метод не дозволяє оцінити вже існуючі активи або активи, отримані іншим шляхом. Більш прогресивний підхід передбачає комбіновану оцінку вартості за рахунок врахування багатьох факторів, серед яких, наприклад, вартість отримання інформації, її обробки та зберігання з використанням обчислювальної техніки, людські трудові витрати.
Ще однією проблемою є те, що порівняно з іншими об'єктами, наприклад, основними засобами організації, інформаційні активи дуже динамічні, а термін корисного використання інформації, через швидке застаріння, дуже невизначений, і вартість інформаційних активів може значно змінюватися за дуже короткий час. Наведені вище фактори потребують проведення періодичної переоцінки інформаційних активів. При цьому оцінка, зроблена на початку і в кінці року для інформаційних активів, може не відображати реальної картини.
У зв'язку зі своєю специфікою володіння цінною інформацією не завжди призводить безпосередньо до зростання прибутку. Наприклад, велике значення може мати іміджове положення компанії. У цьому випадку, упрощено кажучи, можна сказати, що іноді невиправдані з економічної точки зору дії приносять певні переваги компанії. Такий іміджевий показник, як рейтинг, дуже складно виміряти і виразити його вартість у грошовому еквіваленті. Однак у певний момент саме ці критерії можуть суттєво вплинути на користь збільшення статусу компанії, укладання великої угоди з партнерською компанією тощо.
Методологія оцінки вартості
Першим етапом необхідно сформувати інформаційні активи як об'єкт обліку та оцінки. Алгоритм оцінки наявних корпоративних інформаційних активів включає їх опис за наступними категоріями:
- людські ресурси;
- класифікація інформації (відкрита та конфіденційна інформація);
- програмні ресурси (програмні продукти, бази даних, корпоративні сервіси, наприклад, 1С, Банк-клієнт і т.п., а також залежне апаратне забезпечення);
- фізичні ресурси (сервери, робочі станції, мережеве та телекомунікаційне обладнання, в тому числі мобільні пристрої);
- сервісні ресурси (електронна пошта, веб-ресурси, онлайн-сховища, канали передачі даних і т.п.);
- приміщення (де обробляється та зберігається інформація).
Далі група експертів проводить детальну категоризацію наявної корпоративної інформації: виділяє захищену інформацію з усього обсягу інформаційних активів, а потім з категорії захищених інформаційних активів - виділяє конкретно цінну конфіденційну інформацію.
Категоризація полягає у визначенні рівня цінності і критичності інформації. Під критичністю розуміється ступінь впливу інформації на ефективність функціонування господарських процесів компанії. Різноманітні методи категоризації наведені у стандарті ISO/IEC TR 13335.
Наприклад, визначення цінності інформації за вищезазначеними параметрами може бути відображено у таблиці 1, де сума балів, розміщених на перетині стовпців і рядків таблиці, вказує на загальну цінність інформації для компанії, включаючи види інформації з точки зору обмеженості доступу до неї та критичності інформації.
Таблиця 1. Визначення цінності інформації
| Цінність виду інформації | Критична (3 бали) | Суттєва (2 бали) | Незначна (1 бал) |
|---|---|---|---|
| Строго конфіденційна (4 бали) | 7 | 6 | 5 |
| Конфіденційна (3 бали) | 6 | 5 | 4 |
| Для службового використання (2 бали) | 5 | 4 | 3 |
| Відкрита (1 бал) | 4 | 3 | 2 |
Можна скористатися галузевим диференційованим підходом: присвоїти параметру цінності інформації певне вагове значення для визначення рівня значущості ресурсу з точки зору його участі у діяльності компанії. Наприклад, можна визначити коефіцієнт цінності різних категорій інформації, відображених у таблиці 2.
Таблиця 2. Коефіцієнт цінності інформації
| Категорія інформації | Коефіцієнт цінності |
|---|---|
| Відкрита | 1.0 |
| Персональні дані | 1.1 |
| Конфіденційна фінансова та бухгалтерська | 1.2 |
| Конфіденційна технологічна | 1.3 |
| Конфіденційна управлінська, комерційна | 1.4 |
Також існує ще один підхід до визначення цінності інформації (внаслідок можливості компенсації втрат у разі реалізації загроз) в співвідношенні з ймовірністю прояву загроз (таблиця 3).
Таблиця 3. Визначення втрат та ймовірності реалізації загроз
| Втрати | Незначні, менше 1% | Суттєві, 1% - 10% | Високі, більше 10% |
|---|---|---|---|
| Незначні, менше 1% вартості компанії | 1 | 2 | 2 |
| Значні, від 1% до 10% вартості компанії | 2 | 2 | 2 |
| Критично високі, понад 10% вартості компанії | 2 | 3 | 3* |
В результаті оцінки визначається загальна вагомість інформації та використовуваних інформаційних технологій у діяльності компанії. Показник може мати приблизну якісну оцінку - "дуже значущо", "суттєво значущо", "малозначущо", "незначущо". Також можлива приблизна кількісна оцінка - у відсотках (на скільки відсотків діяльність організації залежить від використовуваної інформації) або в грошовому еквіваленті (яка частина загальної капіталізації компанії складається з інформації). Експертними методами застосовуються математичні методи для розрахунку "суб'єктивної" та "об'єктивної" ймовірності тої чи іншої загрози, загальне кінцеве значення якої враховується при складанні таблиці (таблиця 4).
Таблиця 4. Перетворення ймовірності реалізації загрози на щорічну частоту (Вз)
| Частота | Ймовірність виникнення загрози за певний період | Рівень ймовірності |
|---|---|---|
| 0.05 | загроза практично ніколи не реалізується | дуже низький рівень |
| 0.60 | 2-3 рази за 5 років дуже низький рівень | дуже низький рівень |
| 1.00 | раз на рік низький рівень | низький рівень |
| 2.00 | загроза практично ніколи не реалізується | низький рівень |
| 4.00 | раз за три місяці | середній рівень |
| 6.00 | раз на два місяці | середній рівень |
| 12.00 | раз на місяць | високий рівень |
| 24.00 | два рази на місяць | високий рівень |
| 52.00 | раз на тиждень | дуже високий рівень |
| 365.00 | щодня | дуже високий рівень |
Для оцінки вартості інформаційних ресурсів доцільно розглядати їх цінність як з точки зору пов'язаних з ними можливих фінансових втрат (виражених у грошовому еквіваленті), так і з точки зору збитків для репутації організації (непрямих фінансових втрат), дезорганізації її діяльності, нематеріального збитку від розголошення конфіденційної інформації тощо. Таким чином, цінність активу визначається експертами шляхом оцінки ступеня можливого завдання збитків організації при неправомірному використанні розглянутої інформації (тобто в разі порушення її конфіденційності, цілісності або доступності).
Щоб уникнути зайвого сумування збитків (іншими словами, витрат на ліквідацію наслідків), необхідно аналізувати можливість реалізації загроз безпеки за видами інформаційних активів організації. Для експертної оцінки можливих збитків від реалізації загроз використовуються наступні категорії:
- вартість відновлення та ремонту обчислювальної техніки, мереж та іншого обладнання;
- втрачена (потенційна) прибуток;
- судові витрати;
- втрата продуктивності праці,
- збитки, пов'язані з простоєм та виходом з ладу обладнання.
В керуванні ризиками інформаційної безпеки для оцінки вартості інформації застосовується метод очікуваних втрат ALE (Annualised Loss Expectancy), який показує можливі збитки організації в результаті неадекватних заходів захисту інформації. Проводиться розрахунок рівня ризику, тобто показника можливих втрат (збитків) організації, з урахуванням таких аспектів, як ймовірність і частота прояву тієї чи іншої загрози протягом року, можливий збиток від її реалізації, ступінь вразливості інформації.
Резюмуючи все вищезазначене, можна виділити кілька категорій економічного збитку:
- втрачений прибуток (упущена продукція, порушення угод й т. і.) – ця категорія становить значну частину економічного збитку. У невеликих компаніях втрата прибутку становить приблизно 50% від загального розміру економічного збитку, а великих компаніях - приблизно 80%;
- вартість заміни, відновлення та ремонту обчислювальної техніки, мереж і іншого обладнання становить приблизно 20% від економічного збитку у невеликих компаніях і 8% - у великих компаніях;
- втрата продуктивності (простій) – збиток за цією категорією становить приблизно 30% у невеликих компаніях і 12% - у великих компаніях.
За результатами дослідження складається висновок, який характеризує загальний рівень захищеності інформаційних активів організації на поточний момент (у якісних показниках), визначається рівень зрілості організації у питаннях інформаційної безпеки та загальна психологічна готовність організації до впровадження режиму захисту (показник ефективності та швидкості віддачі від заходів, спрямованих на захист).
Вартість захисних заходів може значно відрізнятися для різних компаній, це залежить від багатьох обставин, включаючи розмір і характер діяльності, нормативно-правову базу, поточну оперативну обстановку, рівень залежності від інформаційно-телекомунікаційних технологій, участі в електронному бізнесі, професійних і особистісних якостей персоналу і т.д. В таблиці 5 показано середньостатистичне розподіл бюджету на інформаційну безпеку.
Таблиця 5. Розподіл бюджету на інформаційну безпеку
| Сектор | Середній % бюджету ІБ | Витрати на захисну діяльність |
|---|---|---|
| Інфраструктура мережі та передачі даних | 8.0 | високий |
| Настільні та портативні комп'ютери | 8.7 | високий |
| Сервери середнього класу | 7.4 | середній |
| Великі сервери, мейнфрейми | 13.4 | високий |
| Системне програмне забезпечення | 5.5 | середній |
| Прикладне програмне забезпечення | 6.8 | середній |
| Оплата праці працівників | 36.0 | високий |
| Накладні витрати | 3.1 | низький |
| Расхідні матеріали | 2.3 | низький |
| Навчання | 3.0 | низький |
| Інші | 5.8 | низький |
Як видно з таблиці, основна частина витрат припадає на оплату праці співробітників (36,0% від усього бюджету на інформаційну безпеку), захист серверів (20,8%), комп'ютерів (8,7%) і інфраструктури мереж передачі даних (8,0%).
Розглянемо спрощений приклад визначення вартості інформаційного активу невеликої компанії. За основу візьмемо кооперативну ERP систему 1С:Підприємство. Початкова вартість активу буде формуватися з вартості безпосередньо придбання самого програмного продукту, середньогодинної вартості експлуатації технічної бази для його обробки – сервера, мережевого обладнання, робочих комп'ютерів співробітників, зарплати ставки операторів програми, а також інформації, яка міститься в базі даних. Оцінити вартість самої інформації можна, скориставшись даними, вказаними у вищезазначених таблицях, а також застосувавши метод оцінки очікуваних втрат внаслідок порушень безпеки ALE, іншими словами, за сумою можливих збитків. Як було виявлено раніше, у цьому випадку сума збитків буде розраховуватися як витрати на ремонт та відновлення обладнання + витрати, пов'язані з простоєм (внаслідок не здійснення якихось угод, проведення фінансових операцій, порушення термінів) + витрати на втрачену прибуток (втрата конкурентної переваги, ділової репутації, рейтингу компанії). Результатом всіх розрахунків буде вартість інформаційного активу в грошовому виразі, яку вже можна включити до бухгалтерських реєстрів та підсумкового балансового звіту.
Висновки
Облік та оцінка інформаційних активів з комерційної точки зору дозволяють надати вищому керівництву об'єктивну інформацію для прийняття важливих стратегічних рішень.
Інформація є цінним ресурсом виробництва. З використанням інформаційних технологій та праці співробітників цінні відомості формуються у вигляді особливого виду нематеріального блага – інформаційних активів, які, так само як і інші, підлягають обліку та вимірюванню.
Основними проблемами оцінки інформаційних активів є їх виділення як об'єкта обліку, а також вимірювання у кількісних показниках – в грошовому вираженні. Оскільки через специфічні особливості ця задача слабко формалізована, всі оцінки завжди матимуть приблизний характер.
Оцінка вартості інформаційних активів у грошовому еквіваленті формується комбінованими методами:
- експертним методом з використанням табличних даних (див. таблиці 1, 2);
- методом розрахунку очікуваних втрат ALE (Annualised Loss Expectancy).
Очікувані фінансові втрати (збитки) формуються загальною сумою внаслідок реалізації загроз інформаційної безпеки і складаються з кількох факторів:
- втрати прибутку (недоотримання прибутку);
- вартість заміни, відновлення та ремонту обладнання;
- втрати продуктивності (примусовий простір).
Наведена методика оцінки, звичайно, не є абсолютно універсальною. Але на сьогодні вона дозволяє найбільш об'єктивно виміряти інформаційні активи і є зв'язуючим ланком між інформаційною безпекою, як прикладною галуззю діяльності, та її фінансово-економічною базою.