Оценка экономической эффективности внедрения СЗИ методом дисконтирования денежных потоков

Цель занятия

• Изучить методику экономической оценки эффективности СЗИ
• Выявить потенциальные проблемы и ограничения применения методики оценки эффективности СЗИ на базе дисконтирования денежных потоков

Описание ситуации

Компании требуется оценить проект по защите одного из сегментов сети своей информационной системы при помощи системы анализа защищенности "ИСК". Известна величина риска, исчисляемая в денежном выражении (205 000 р. за год), которая учитывает потери от реализации тех или иных атак и вероятности их осуществления. Также известно, что величина риска после внедрения разработанного программного комплекса сократится на 60%. Стоимость программного комплекса составляет 100 000,00 р. Подробнее потоки денежных средств по данному проекту представлены в таблице 8.1.

Описание методики

Как правило, затраты на информационную безопасность подразделяются на следующие категории:

1. Затраты на формирование и поддержание звена управления системой защиты информации (организационные затраты).
2. Затраты на контроль, т.е. на определение и подтверждение достигнутого уровня защищенности ресурсов предприятия.
3. Внутренние затраты на ликвидацию последствий нарушения политики информационной безопасности (НПБ) - затраты, понесенные организацией в результате того, что требуемый уровень защищенности не был достигнут.
4. Внешние затраты на ликвидацию последствий нарушения политики информационной безопасности - компенсация потерь при нарушениях политики безопасности в случаях, связанных с утечкой информации, потерей имиджа компании, утратой доверия партнеров и потребителей и т. п.
5. Затраты на техническое обслуживание системы защиты информации и мероприятия по предотвращению нарушений политики безопасности предприятия (затраты на предупредительные мероприятия).

При этом обычно выделяют единовременные и систематические затраты. К единовременным относятся затраты на формирование политики безопасности предприятия: организационные затраты и затраты на приобретение и установку средств защиты. Классификация затрат условна, так как сбор, классификация и анализ затрат на информационную безопасность - внутренняя деятельность предприятий, и детальная разработка перечня зависят от особенностей конкретной организации.

Очевидно, что расходы на внедрение и поддержку программы принадлежат к категории затрат на контроль. Основной объем затрат составляет оплата труда персонала службы безопасности и прочего персонала предприятия, занятого проверками и испытаниями. Эти затраты могут быть определены весьма точно. Оставшиеся затраты в основном связаны со стоимостью конкретных специальных работ и услуг внешних организаций и материально-техническим обеспечением системы безопасности. Они могут быть определены напрямую.

В то же время, использование программы позволит своевременно выявлять уязвимости СЗИ, устранение которых приведет к снижению риска нарушения ИБ и, тем самым, к снижению внутренних и внешних затрат на компенсацию нарушений политики безопасности. Внутренние затраты сокращаются по таким статьям, как:

• Восстановление баз данных и прочих информационных массивов.
• Утилизация скомпрометированных ресурсов.
• Проведение мероприятий по контролю достоверности данных, подвергшихся атаке на целостность.
• По проведению расследований нарушений политики безопасности.

Внешние затраты на компенсацию нарушений политики безопасности связаны с тем, что были скомпрометированы коммерческие данные партнеров и персональные данные пользователей услуг предприятия. Затраты, связанные с восстановлением доверия, определяются таким же образом, как и в случае внутренних потерь. Существуют и другие затраты, которые определить достаточно сложно. В их числе такие затраты, как:

• Потери от снижения приоритета в научных исследованиях и невозможности патентования и продажи лицензий на научно-технические достижения.
• Потери от компрометации производимой предприятием продукции и снижения цен на нее.

При определении затрат на обеспечение ИБ необходимо помнить, что:

• Затраты на приобретение и ввод в действие программно-технических средств могут быть получены из анализа накладных, записей в складской документации и т. п..
• Выплаты персоналу могут быть взяты из ведомостей.
• Объемы выплат заработной платы должны быть взяты с учетом реально затраченного времени на проведение работ по обеспечению информационной безопасности. Если только часть времени сотрудника затрачивается на деятельность по обеспечению информационной безопасности, то целесообразность оценки каждой из составляющих затрат его времени не должна подвергаться сомнению.

Целью любых инвестиций является увеличение притока денежных средств (в данном случае - уменьшение размера ущерба в результате реализации угроз ИБ) по сравнению с существующим. При оценке инвестиционного проекта необходимо рассмотреть все потоки денежных средств, связанные с реализацией данного проекта. Неденежные затраты (такие, например, как амортизация) и затраты, уже понесенные до принятия решения об инвестициях, рассматриваться не должны. При этом необходимо учитывать зависимость потока денежных средств от времени.

Поэтому будущие поступления денежных средств (снижение ущерба) должны быть дисконтированы, т.е. приведены к текущей стоимости. Для этого применяют ставку дисконтирования, величина которой отражает риски, связанные с обесцениванием денег из-за инфляции и с возможностью неудачи инвестиционного проекта, который может не принести ожидаемого эффекта. Другими словами, чем выше риски, связанные с проектом, тем больше значение ставки дисконтирования. Эта ставка также отражает общий уровень стоимости кредита для инвестиций.

К основным показателям, используемым для определения эффективности инвестиционного проекта, относятся:

• Чистый дисконтированный доход ( NPV ),
• Внутренняя норма доходности ( IRR ),
• Индекс доходности ( PI ),
• Срок окупаемости с учетом дисконтирования (Ток)

Методика использования дисконтированных показателей для определения экономической эффективности инвестиционного проекта

При оценке эффективности инвестиционного проекта соизмерение разновременных показателей осуществляется путем дисконтирования (приведения) их к ценности в начальном периоде. Для приведения разновременных затрат, результатов и эффекта используется норма дисконта (Е), равная приемлемой для инвестора норме дохода на каптал. Для дисконтирования разновременные затраты, результаты и эффект умножаются на коэффициент дисконтирования , определяемый для постоянной нормы дисконта как

где - номер шага расчета (t = 0, 1, 2…. T),

- горизонт расчета.

Величина NPV для постоянной нормы дисконта вычисляется по формуле:

где - результаты, достигаемые на t-ом шаге расчета,

- затраты, осуществляемые на t-ом шаге расчета,

Т - горизонт расчета.

Если NPV инвестиционного проекта (за расчетный период) положителен, проект является эффективным (при данной норме дисконта) и может рассматриваться вопрос об его принятии. Чем больше NPV, тем эффективнее проект.

На практике часто пользуются модифицированной формулой для определения NPV. Для этого из состава исключаются капитальные вложения:

,

где - капитальные вложения на t-ом шаге,

К - сумма дисконтированных капиталовложений

Тогда формула NPV записывается в в PIе:

- затраты на t-ом шаге расчета при условии, что в них не входят капиталовложения.

Оценка экономического результата может быть произведена на основании экономического эффекта за расчетный период по формуле:

,

где - доход, получаемый от проекта в году t;

- инвестиции в год t;

- норма дисконта, характеризующая степень неравноценности разновременных затрат и результатов;

- продолжительность расчетного периода;

- номер года расчетного периода;

Индекс доходности представляет собой отношение суммы приведенных эффектов к величине капиталовложений.

тесно связан с NPV. Он строится из тех же элементов и его значение связано со значением NPV: если NPV положителен, то PI >1 и наоборот.

Если , проект эффективен,

Если , проект не эффективен.

Внутренняя норма доходности ( IRR ) представляет собой ту норму дисконта (Евн), при которой величина приведенных эффектов равно приведенным к капиталовложениям. Иными словами является решением уравнения:

В случае, когда IRR равен или больше требуемой инвестором нормы дохода на капитал, инвестиции в данный проект оправданы, и может рассматриваться вопрос об его принятии. В противном случае инвестиции в данный проект нецелесообразны.

Срок окупаемости - период, начиная с которого первоначальные вложения и другие затраты, связанные с инвестиционным проектом, покрываются суммарными результатами его осуществления. Срок окупаемости рекомендуется определять с использованием дисконтирования.