Návratnost investic. Ing. Zdeněk Blažek, CSc. CISM. COMMERZBANK AG Jh. Katedra počítačových systémů Fakulta informačních technologiíí České vysoké učení technické v Praze Zdeněk Blažek, 2011 Řízení rizik v informatice LS 2010/11, Předn. 10 https://edux.fit.cvut.cz/rri Evropský sociální fond Praha & EU: Investujeme do vaší budoucnosti Ing. Zdeněk Blažek, CSc. CISM. Návratnost investic. Přednáška 10/13, 2011
Finance v IT bezpečnosti Víme jaké jsou náklady. Problém s odůvodnitelností a s přínosem. Jaká je skutečná hodnota IT ve firmě? Řešení: ValIT/COBIT Řízení rizik samostatně Bezpečnost IT Bezpečnost dat v čase
Hodnota IT? Porovnání Empirické Koncepty analýzy Případové studie Hodnota IT -rámec Postupy Vliv kolektivu Výměna znalostí Pilíře Řízení hodnoty Řízení činností Řízení investic
Srovnání ValIT a COBIT Val IT se soustřeďuje na investiční rozhodnutí (zda se dělají správné věci?) a na přínosy (dostáváme opravdu to, co jsme očekávali?) COBIT se soustřeďuje na řízení (děláme to správně?) a výsledek (je to v pořádku?)
Srovnání ValIT a COBIT Strategie Vize Činnost Riziko Náklady Děláme správné věci? Architektura V souladu Děláme je Konzistence správně? Vylepšení V souladu s dalšími aktivitami? ValIT COBIT Dostáváme přínosy? Podařilo se? Hodnota Porozumění přínosům Umíme je vyčíslit Metriky? Umíme získat přínosy? Dodání Řízení projektové, změnové, dodavatelské Dostupné technické a obchodní zdroje pro realizaci
Finanční situace s projekty? Miliardy dolarů vyhozeny na neúspěšné IT projekty 35 45% projektů špatných/nedokončených. V zásadě otázky: Kolik projektů je zpožděných Kolik se vešlo do rozpočtu Kolik opravdu poskytlo to, co bylo očekáváno? Kolik projektů v organizaci běží Proč běží Jaký díl ukusují z investic Jsou k dispozici řídící zdroje a schopnosti pro tyto projekty Jaká je návratnost a přínos Jak se mění riziko?
ValIT principy IT-povolené investice jsou řízeny jako portfolio investic. IT-povolené investice zahrnují celé spektrum aktivit, kterých je třeba k dosažení obchodního přínosu. IT-povolené investice jsou řízeny během svého celého životního cyklu. Rozdílné kategorie investic jsou vyhodnocovány a řízeny odděleně. Jsou definovány metriky, které jsou schopny rozpoznat odchylky. Jsou sledovány schopnosti dotčených jednotek společnosti adaptovat investice a přinést odpovídající prospěch. Sledování investic bude nepřetržitě monitorováno, vyhodnocováno a ev. zlepšováno.
Zdroje Návratnost investic, 10/13 Aktivity ValIT Obchodní výsledky Schopnosti organizace Operační schopnosti Technické schopnosti Vývoj obchodního případu Kontrola a sledování Obchodní případ se vyvíjí se shora dolů, protože začínáme stanovením očekávaných výsledků Jestliže je investice schválena, pak jde již o dodávku a realizaci Kapacity a požadované výsledky musí být kontrolovány po celý ekonomický cyklus dané investice
Obchodní případ Struktura obchodního případu Obchodní případ pro schválenou IT investici uvažuje následující vztahy Zdroje pro vývoj: Technologie/IT podpora: Operační schopnosti: Obchodní/výr. Schopnosti které využívají investici: Hodnoty, které lze vyjádřit jako návratnost v oblasti snížených rizik nebo vzrůstu kurzu akciíí
Náklady na bezpečnost IT vzhledem k IT rozpočtu
Velikost firem Velikost firem v EU dle metodiky EU
Působení na organizaci z hlediska informační bezpečnosti Koncepty Koncepty Trhy Úřady Organizace Normy Hrozby Dodavatelé Adrian Mizzi 2005
Náklady na lidskou práci v IT Počet zaměstnanců Počet IT zaměstnanců Plocha firmy Plocha využitá IT Cena za nájem/odpisy/rok Cena/m2 placená IT/rok Cena za vodu/zam./rok Cena za el./zam./rok Prům. náklady na školení IT/zam./rok Cena za plyn/zam./rok Cena ostrahy/zam./rok (zahrnuje i náklady na alarm....) Prům. mzdové náklady/it zam./rok Odpisy IT prostředků/zam./rok Cena podpory IT ext./zam./rok N Nit S Sit P Pr H E T G Sec W O X
Náklady na lidskou práci v IT Voda+elektřina+plyn+ostraha+mzdy+vzdělání+odpisy+ext. Podpora+plocha IT (H + E + G + Sec + W + T + O + X + (P*Sit/S*Nit))/365 = prům. cena IT člověkodne
Výpočet návratnosti investic do IB 1. Obranné mechanismy proti vnějšímu útoku jsou samozřejmostí 2. Obrana proti vnitřnímu útoku podceňována-pravděpodobnější 3. IT oddělení implicitně odstraňuje zranitelnosti systému: F definujeme jako roční náklady k odstranění zranitelností systému (licence apod.) 4. B definujeme jako vstupní jednorázovou investici pro implementaci obranných mechanismů 5. M definujeme jako roční náklady na údržbu Pak dostáváme roční náklady na údržbu IB pro první rok jako: Es = F + B + M V následujících letech lze vyjádřit jako: Es = F + M
Výpočet návratnosti investic do IB Ztráta příjmů Ve chvíli poškození (CIA) IB je vysoká pravděpodobnost okamžité ztráty příjmů. V zásadě jsou zde dvě komponenty ztrát: a) Ztráta jako funkce času (t), po který byl systém neschopný provozu b) Částka ztracená okamžitě Li (Loss immediatelly) Celková ztráta pak je vyjádřena jako: Lt = Li + I * t/365, kde I reprezentuje hodnotu podílu IT majetku, dotčeného incidentem
Výpočet návratnosti investic do IB Obecněji lze vyjádřit: Lt = Li + A(t), kde A(t) vyjadřuje ztrátu dostupnosti V návaznosti na incident je nutno vynaložit čas, který IT personál ztratí při opravě/obnově, což reprezentuje opět náklady. Tyto náklady označme jako R. R je opět funkce času a tak dostáváme: Lt = Li + A(t) + R(t) R(t) reprezentuje roční náklady spojené s opravou/obnovou napadených systémů Nutno znát cenu člověkodne/hodiny!!!! Pozor na SLA-nepřímá úměra k času.
Výpočet návratnosti investic do IB Cílem jakéhokoliv programu řízení informačních rizik a tedy i bezpečnosti, je chránit informační aktiva co možná nejefektivněji, tedy také musíme mít na zřeteli, že bezpečnostní mechanismy nesmějí do systémů zavádět body nestability a způsobovat jeho nedostupnost. Je tedy nastolena otázka životaschopnosti (oprávněnosti) investic do IT.
Výpočet návratnosti investic do IB Životaschopnost/oprávněnost investic do IB Investice i bezpečnostní projekt jsou oprávněné tehdy, jestliže platí: Nebo jinak: Es < Lt (F + B + M) < Lt + A(t) + R(t) Dle praxe se ukazuje, že organizace by měla utratit za IB podstatně méně, než jsou očekávané ztráty ne více než jednu třetinu
Výpočet návratnosti investic do IB Náklady na proniknutí Až doposud jsme se zabývali zranitelnostmi systému bez uvažování možnosti útoku. Zranitelnost není hrozba, tedy systém, kde nejsou hrozby, je bezpečný. Nutný katalog hrozeb! První hrozbou je bezpečnostní systém sám! Tedy, nepočítáme-li člověka
Výpočet návratnosti investic do IB Útok může vést k využití zranitelností ve vlastním obranném mechanismu. Zavedena proměnná: CTB (Cost To Break), jejíž roční hodnotu lze určit takto: CTB = Cd + Cv, kde Cd jsou roční náklady na proniknutí do obranného systému a Cv jsou roční náklady na využití jeho zranitelností. Tyto hodnoty se obecně velmi těžko určují. Doporučení: buď zaměstnat člověka, který se bude pokoušet systém kompromitovat a na základě jeho činnosti tyto veličiny odhadnout, nebo najmout externí firmu.
Výpočet návratnosti investic do IB Poškození obranného systému Poškození samo o sobě nemusí vést ke ztrátě informací, ale v každém případě musí být opraveno. Náklady na toto jsou určeny takto: D = Dd + Di Kde Dd představuje náklady spojené s poškozením obranného mechanismu a Di představuje náklady spojené s poškozením IT infrastruktury. Opět nemusí jít oz trátu informací. Jde v podstatě o pravděpodobnostní funkce. Takže IT bezpečnostní projekt je životaschopný tehdy, jestliže: (F + B + M) < (L + A(t) +R(t) + D)
Výpočet návratnosti investic do IB Úspěšnost útoku Platí, že náklady spojené s úspěšným útokem by měly být vyšší, než je cena obranných mechanismů. Tedy by mělo platit CTB > (F + B + M) Po vyšetřování útoků a jejich pachatelů se zjistilo, že útočník je motivován k provedení útoku, jestliže platí CTB < (Li + A(t)), Kde Li je okamžitá ztráta a A(t) je ztráta dostupnosti. Pozor! Vnímání hodnoty např. ukradených informací může být pro útočníka vyšší než pro obránce.
Znázornění životaschopnosti informační bezpečnosti Náklady na Proniknutí (CTB) Zranitelnosti Hrozby Útok Obranné mechanismy Narušení Dotčené IT prostředky IT prostředky Náklady na vybudování (B) Náklady na Odstranění zranitelností (F) Okamžité ztráty (L) Náklady na obnovu (R) Rozpočet IT bezpečnosti IT Rozpočet Životaschopné? B+F<L+R
Výpočet návratnosti investic do IB Motivace k útoku Náklady na průnik obrannými Prostředky Cd Náklady na využití Zranitelností Cv Náklady IT Na licence atd. F Náklady na výstavbu B Náklady na Údržbu M Lt Okamžitá Ztráta Li Ztráta Dostupnosti A(t) Náklady na obnovu R(t) IT Prostředky Dotčené IT prostředky Úspěšnost útoku IT rozpočet IT bezpečnost rozpočet Bo Životaschopnost investice Poškození Obranných mechanismů Dd Poškození infrastruktury Di Detailní rozpis ROISI
Výpočet návratnosti investic do IB Praktický příklad (dle skutečné firmy) 250 zaměstnanců IT oddělení se nechtělo zabývat spamem. Firma plánovala 4 000 MU (Monetary Unit) na vyřešení situace. Použita následně zde uvedená metodika. Byla uplatněna krátce potom, kdy byl vypuštěn Sober.q worm (12-19.5.2005). 168 zaměstnancům byl zaslán dotazník, kde měli odpovědět na to, kolik trávíčasu odstraňováním spamu. 46% jej vrátilo řádně vyplněný.
Výpočet návratnosti investic do IB Zjištění: 96% respondentů strávilo méně než 10min./d se spamem Průměrný uživatel strávil 31 min. denně čtením e-mailů Průměrná velikost spamu 8KB. Dále se firma zabývala průměrným platem a náklady na paměťový prostor, potřebný pro uložení pošty.
Výpočet návratnosti investic do IB Hodnoty: Li = 600 MU A(t) = 9 750 MU R(t) = 2 000 MU Di = 99 MU Dd = 0 MU Celková ztráta byla určena dle vzorce: Lt = Li + A(t) + R(t) + D, tedy Lt = (600 + 9 750 + 2 000 + 99)MU Lt = 12 449 MU
Výpočet návratnosti investic do IB Životaschopnost investic v tomto případě byla odůvodněna dle Es < 12 449 MU Pokud jsme uvažovali rozpočet cca. 4 000 MU, pak tato částka splňuje nerovnost. Profit pro organizaci na základě rozpočtu byl 8 350 MU za rok, tedy ROI = 67%. Nutná verifikace. V roce 2005 se dalo pořídit anti spamovéřešení v ceně cca. 1 500MU. Pak se ROI změní na 87%.
Výpočet návratnosti investic do IB Úspěšnost útoku Aby byl útok neúspěšný musí platit CTB > 1 500 MU Organizace obdrží za rok cca. 750 000 vzkazů. To představuje asi 0.002 MU za vzkaz. Dle studií prováděných v roce 2002 utratí spameři asi 0.05 MU (v současné době cena klesla), což vede k nákladům 37 500 MU. Tedy Li + A(t) = 10 350 MU. Motivace k útoku by neměla být. Nicméně zde platí, že spam není cíleným útokem proti nějaké organizaci na rozdíl od DDoS.
Příklad: Standardní PC: DVD ROM USB WiFi LAN Klávesnice Myš Skříň Grafická karta Monitor Identifikujte kritická místa z pohledu bezpečnosti a navrhněte zabezpečení a přibližné náklady
Dotazy Návratnost investic, 10/13