Вобосновании затрат на информационную безопас­ность существует два основных подхода.

Научный подход . Для этого необходимо привлечь руководство компании (или ее собст­венника) к оценке стоимости информационных ресурсов, оп­ределению оценки потенциального ущерба от нарушений в области защиты информации.

1. Если стоимость информации невелика, существен­ных угроз для информационных активов компании нет, а по­тенциальный ущерб минимален, обеспечение информацион­ной безопасности требует меньшего финансирования.

2. Если информация обладает определенной стоимо­стью, угрозы и потенциальный ущерб значительны и опреде­лены, тогда возникает вопрос о внесении в бюджет расходов на подсистему информационной безопасности. В этом случае необходимо построение корпоративной системы защиты ин­формации.

Практический подход состоит в определении варианта реальной стоимости корпоративной системы защиты информации на основе аналогичных систем в других областях. Эксперты-практики в области защиты информации пола­гают, что стоимость системы защиты информации должна составлять примерно 10-20 % от стоимости корпоративной информационной системы, в зависимости от конкретных тре­бований к режиму информационной безопасности.

Общепри­нятые требования к обеспечению режима информационной безопасности "best practice" (на основе практического опыта), формализованные в ряде стандартов, например ISO 17799, реализуются на практике при разработке конкретных методов оценки эффективности системы информационной безопасно­сти.

Применение современных методов оценки затрат на информационную безопасность позволяет рассчитать всю расходную часть информационных активов организации, включая прямые и косвенные затраты на аппаратно-программные средства, организационные мероприятия, обу­чение и повышение квалификации сотрудников, реорганиза­цию, реструктуризацию бизнеса и т. д.

Они необходимы для доказательства экономической эффективности существующих корпоративных систем защи­ты и позволяют руководителям служб информационной безопасности обосновывать бюджет на информационную безопасность, а, также доказывать эффективность работы со­трудников соответствующей службы. Применяемые зарубеж­ными компаниями методики оценки затрат позволяют:

Получить адекватную информацию об уровне защи­щенности распределенной вычислительной среды и совокуп­ной стоимости владения корпоративной системы защиты ин­формации.

Сравнить подразделения службы информационной безопасности организации как между собой, так и с аналогичными подразделениями других организаций в данной отрасли.

Оптимизировать инвестиции на информационную безопасность организации.

Одна из наиболее известных методик оценки затрат применительно к системе информационной безопасности - методика совокупной стоимости владения (ССВ) компании Gartner Group Под показателем ССВ понимается сумма прямых и косвенных затрат на организацию (реорганизацию), эксплуатацию и сопровождение корпоративной системы за­щиты информации в течение года. Он используется практи­чески на всех основных этапах жизненного цикла корпора­тивной системы защиты информации и дает возможность объективно и независимо обосновать экономическую целесо­образность внедрения и использования конкретных организа­ционных и технических мер и средств защиты информации. Для объективности решения также необходимо дополнитель­но учитывать состояние внешней и внутренней среды пред­приятия, например, показатели технологического, кадрового и финансового развития предприятия.

Сравнение определенного показателя ССВ с аналогич­ными показателями ССВ по отрасли (с аналогичными компа­ниями) позволяет объективно и независимо обосновать затра­ты организации на информационную безопасность. Ведь час­то оказывается довольно трудно или даже практически невоз­можно оценить прямой экономический эффект от этих затрат.

Совокупная стоимость владения для системы инфор­мационной безопасности в общем случае складывается из стоимости:

Проектных работ,

Закупки и настройки программно-технических средств защиты, включающих следующие основные группы: межсетевые экраны, средства криптографии, антивирусы и ААА (средства аутентификации, авторизации и администри­рования),

Затрат на обеспечение физической безопасности,

Обучения персонала,

Управления и поддержки системы (администрирова­ние безопасности),

Аудита информационной безопасности, - периодической модернизации системы информацион­ной безопасности.

При этом прямые затраты включают как капитальные компоненты затрат (ассоциируемые с фиксированными акти­вами или "собственностью"), так и трудозатраты, которые учитываются в категориях операций и административного управления. Сюда же относят затраты на услуги удаленных пользователей и др., связанные с поддержкой деятельности организации.

В свою очередь, косвенные затраты отражают влияние корпоративной информационной системы и подсистемы за­щиты информации на сотрудников организации посредством таких измеримых показателей, как простои и "зависания" корпоративной системы защиты информации и информаци­онной системы в целом, затраты на операции и поддержку (не относящиеся к прямым затратам). Очень часто косвенные за­траты играют значительную роль, так как они обычно изна­чально не отражаются в бюджете на информационную безо­пасность, а выявляются при анализе затрат позже.

Расчет показателей ССВ организации проводится по следующим направлениям.

Компоненты корпоративной информационной системы (включая систему защиты информации) и информационные актины организации (серверы, клиентские компьютеры, пе­риферийные устройства, сетевые устройства).

Расходы на аппаратные и программные средства защиты информации : расходные материалы и амортизационные расходы ни серверы, компьютеры клиентов (настольные и мобильные компьютеры), периферийные устройства и сете­вые компоненты.

Расходы на организацию информационной безопасно­сти: обслуживание системы защиты информации, штатных средств защиты периферийных устройств, серверов, сетевых устройств, планирование и управление процессами защиты информации, разработка концепции и политики безопасности и прочие.

Расходы на операции информационной си стемы: пря­мые затраты на содержание персонала, стоимость работ и аутсорсинг, произведенные организацией в целом или службой для осуществления технической поддержки и операций по поддержанию инфраструктуры для пользователей.

Административные расходы : прямые затраты на пер­сонал, обеспечение деятельности и расходы внутрен­них/внешних поставщиков (вендоров) на поддержку опера­ций, включающих управление, финансирование, приобрете­ние и обучение информационных систем.

Расходы на операции конечных пользователей : затраты на самоподдержку конечных пользователей, официальное обучение конечных пользователей, нерегулярное (неофици­альное) обучение, самостоятельные прикладные разработки, поддержку локальной файловой системы.

Расходы на простои : ежегодные потери производи­тельности конечных пользователей от запланированных и не­запланированных отключений сетевых ресурсов, включая клиентские компьютеры, совместно используемые серверы, принтеры, прикладные программы, коммуникационные ре­сурсы и программное обеспечение для связи.

"Финансовая газета. Региональный выпуск", 2008, N 41

В современных условиях нельзя недооценивать важность обеспечения информационной безопасности. Малейшая утечка конфиденциальной информации к конкурентам может привести к большим экономическим потерям для фирмы, остановке производства и даже к банкротству.

Целями информационной безопасности являются: предотвращение утечки, хищения, утраты, искажения, подделки информации; предотвращение несанкционированных действий по уничтожению, модификации, искажению, копированию, блокированию информации; предотвращение других форм незаконного вмешательства в информационные ресурсы и информационные системы организации.

К расходам на защиту информации относится в основном приобретение средств, обеспечивающих ее защиту от неправомерного доступа. Средств обеспечения защиты информации множество, условно их можно разделить на две большие группы. Первая - это средства, которые имеют материальную основу, такие, как сейфы, камеры видеонаблюдения, охранные системы и т.д. В бухгалтерском учете они учитываются как основные средства. Вторая - средства, которые не имеют материальной основы, такие, как антивирусные программы, программы ограничения доступа к информации в электронном виде и т.д. Рассмотрим особенности учета таких средств обеспечения информационной безопасности.

При покупке программы для обеспечения защиты информации исключительные права на нее не переходят к покупателю, приобретается лишь защищенная копия программы, копировать или распространять которую покупатель не может. Поэтому при учете таких программ следует руководствоваться гл. VI "Учет операций, связанных с предоставлением (получением) права использования нематериальных активов" нового ПБУ 14/2007 "Учет нематериальных активов".

В редких случаях при приобретении программ защиты информации к фирме переходят исключительные права на данный продукт. В этом случае программа будет учитываться в бухгалтерском учете как нематериальные активы (НМА).

Согласно ПБУ 14/2007 в бухгалтерском учете НМА, предоставленные в пользование на условиях лицензионного соглашения, платежи за право использования которых производятся в виде фиксированного разового платежа и исключительные права на которые не переходят к покупателю, должны учитываться у получателя в составе расходов будущих периодов и отражаться на забалансовом счете (п. 39). При этом срок, в течение которого данные расходы будут списываться на счета затрат, устанавливается лицензионным соглашением. В налоговом учете затраты на приобретение программ для защиты информации для целей налогообложения прибыли учитываются в качестве прочих расходов и списываются аналогично - равными частями в течение срока, установленного в лицензионном соглашении (пп. 26 п. 1 ст. 264 НК РФ).

Если оплата за право использования программного продукта, обеспечивающего информационную защиту, производится в виде периодических платежей, то согласно п. 39 ПБУ 14/2007 они включаются пользователем в расходы отчетного периода, в котором были произведены.

На практике в лицензионном соглашении не всегда указан срок использования программного обеспечения. Когда связь между доходами и расходами не может быть определена четко, в налоговом учете расходы на приобретение программ для защиты информации распределяются налогоплательщиком самостоятельно в целях исчисления налога на прибыль с учетом принципа равномерности признания доходов и расходов (п. 1 ст. 272 НК РФ). В бухгалтерском учете срок, в течение которого данные расходы будут списываться со счета 97, устанавливается руководством предприятия исходя из предполагаемого времени использования программы.

Пример 1 . ОАО "Альфа" приобрело лицензионную копию антивирусной программы у ООО "Бетта" за 118 000 руб., в том числе НДС (18%). Лицензионным соглашением установлен срок использования программы 9 месяцев.

В бухгалтерском учете ОАО "Альфа" программу следует учесть следующим образом:

Д-т 60, К-т 51 - 118 000 руб. - поставщику оплачена стоимость программного обеспечения;

Д-т 60, К-т 97 - 100 000 руб. - полученная программа отражена в качестве расходов будущих периодов;

Д-т 002 - 100 000 руб. - полученная программа отражена на забалансовом счете;

Д-т 19, К-т 60 - 18 000 руб. - выделен НДС;

Д-т 68, К-т 19 - 18 000 руб. - принят к вычету НДС;

Д-т 26 (44), К-т 97 - 11 111,11 руб. (100 000 руб. : 9 мес.) - ежемесячно в течение 9 месяцев стоимость антивирусной программы равными частями списывается на расходы.

Изменим условия примера 1: допустим, ОАО "Альфа" осуществляет платеж не единовременно, а равными частями на протяжении всего срока действия лицензионного договора. Суммы платежей составят 11 800 руб. за каждый месяц, в том числе НДС.

В этом случае в бухгалтерском учете будут сделаны следующие записи:

Д-т 002 - 90 000 руб. (10 000 руб. x 9 мес.) - полученная программа отражена на забалансовом счете;

Д-т 60, К-т 51 - 11 800 руб. - ежемесячно в течение 9 месяцев поставщику оплачивается стоимость программного продукта;

Д-т 19, К-т 60 - 1800 руб. - выделен НДС;

Д-т 26 (44), К-т 60 - 10 000 руб. - стоимость программы списана на расходы;

Д-т 68, К-т 19 - 1800 руб. - принят к вычету НДС.

Часто до истечения лицензионного соглашения компания - разработчик программ информационной защиты выпускает их обновление. В этом случае расходы в бухгалтерском и налоговом учете будут приниматься единовременно по факту обновления.

Также распространена практика, когда компания-разработчик для ознакомления безвозмездно предоставляет свое программное обеспечение организациям на небольшой срок. Для того чтобы правильно отразить безвозмездно полученную программу информационной защиты, ее нужно учесть в составе доходов будущих периодов по рыночной стоимости.

Пример 2 . ООО "Бетта" для ознакомления безвозмездно предоставило ОАО "Альфа" программное обеспечение по информационной безопасности сроком на 3 месяца. Рыночная цена данного программного продукта - 3300 руб.

В бухгалтерском учете ОАО "Альфа" следует сделать следующие записи:

Д-т 97, К-т 98 - 3300 руб. - принято к учету безвозмездно полученное программное обеспечение;

Д-т 98, К-т 91 - 1100 руб. - ежемесячно в течение трех месяцев часть дохода будущих периодов принимается в качестве прочих доходов.

В налоговом учете доходы от безвозмездно полученной программы также будут приниматься в течение трех месяцев (п. 2 ст. 271 НК РФ).

К расходам на защиту информации относятся не только приобретение средств обеспечения информационной безопасности, но также расходы на консультационные (информационные) услуги по защите информации (не связанные с приобретением нематериальных активов, основных средств или других активов организации). Согласно п. 7 ПБУ 10/99 "Расходы организации" затраты на консультационные услуги в бухгалтерском учете включаются в состав расходов по обычным видам деятельности в том отчетном периоде, когда они были произведены. В налоговом учете они относятся к прочим расходам, связанным с производством и реализацией продукции (пп. 15 п. 1 ст. 264 НК РФ).

Пример 3 . ООО "Бетта" оказало консультационные услуги по информационной безопасности ОАО "Альфа" на общую сумму 59 000 руб., в том числе НДС - 9000 руб.

В бухгалтерском учете ОАО "Альфа" должны быть сделаны записи:

Д-т 76, К-т 51 - 59 000 руб. - оплачены консультационные услуги;

Д-т 26 (44), Кт 76 - 50 000 руб. - консультационные услуги по информационной безопасности списаны на расходы по обычным видам деятельности;

Д-т 19, К-т 76 - 9000 руб. - выделен НДС;

Д-т 68, К-т 19 - 9000 руб. - принят к вычету НДС.

Предприятия, применяющие УСН, в качестве расходов, уменьшающих налогооблагаемую базу по налогу на прибыль, согласно пп. 19 п. 1 ст. 346.16 НК РФ смогут принять только затраты на приобретение программ, обеспечивающих информационную безопасность. Расходы на консультационные услуги по информационной безопасности в ст. 346.16 НК РФ не упоминаются, поэтому для целей налогообложения прибыли организации принять их не вправе.

В.Щаников

Ассистент аудитора

департамента аудита

ООО "Бейкер Тилли Русаудит"

2018-08-21T12:03:34+00:00

Крупные коммерческие компании тратят на обеспечение физической безопасности своего бизнеса порядка 1% годовой выручки. Безопасность предприятия – такой же ресурс, как технологии и средства производства. Но, когда речь заходит о цифровой защите данных и сервисов, просчитать финансовые риски и необходимые издержки становится непросто. Рассказываем, сколько денег ИТ-бюджета разумно выделить на кибербезопасность, существует ли минимальный набор инструментов, которыми можно обойтись.

Затраты на информационную безопасность растут

Коммерческие организации по всему миру, согласно отчету Gartner, потратили порядка 87 миллиардов долларов на нужды кибербезопасности в 2017 году, включая софт, специализированные сервисы и «железо». Это на 7% больше, чем в 2016 году. В текущем году цифра, как ожидается, достигнет 93 миллиардов, а уже в следующем перевалит отметку в 100.

По оценкам экспертов, в России объем рынка услуг информационной безопасности составляет порядка 55-60 миллиардов рублей (около 900 тыс. долларов). На 2/3 его закрывают государственные заказы. В корпоративном секторе доля таких затрат сильно зависит от формы предприятия, географии и сферы деятельности.

Отечественные банки и финансовые структуры в среднем вкладывают в свою кибербезопасность 300 млн. рублей в год, промышленники – до 50 млн., сетевые компании (ритейл) – от 10 до 50 млн.

Зато цифры прироста российского рынка кибербезопасности вот уже несколько лет в 1,5-2 раза выше, чем в общемировом масштабе. В 2017 году рост составил 15% (в деньгах заказчиков) по отношению к 2016 году. По итогам 2018 года он может оказаться еще солидней.

Высокие темпы роста объясняются общим оживлением рынка и резко выросшим вниманием организаций к реальной безопасности своей ИТ-инфраструктуры и сохранности данных. Издержки на построение системы информационной защиты теперь рассматриваются как инвестиции, они заранее планируются, а не просто берутся по остаточному принципу.

Positive Technologies выделяет три драйвера роста:

1. Громкие инциденты последних 1,5–2 лет привели к тому, что сегодня только ленивый не понимает роль информационной безопасности для финансовой стабильности предприятия. Каждый пятый топ-менеджер проявляет интерес к практической безопасности в контексте своего бизнеса.

Прошедший год стал поучительным для бизнеса, игнорирующего элементарную . Отсутствие актуальных обновлений и привычка работать, не обращая внимания на уязвимости, привели к остановке заводов Renault во Франции, Honda и Nissan в Японии; пострадали банки, энергетические, телекоммуникационные компании. Компании Maersk, к примеру, это обошлось в 300 млн. долларов единовременно.

1. Эпидемии вирусов-вымогателей WannaCry, NotPetya, Bad Rabbit научили отечественные компании тому, что установки антивирусов и файерволов недостаточно, чтобы чувствовать себя в безопасности. Нужна комплексная стратегия, инвентаризация своих активов в ИТ, выделенные ресурсы, стратегия реагирования на угрозы.
2. В определенном смысле тон задает государство, объявившее курс на цифровую экономику, охватывающую все сферы (от здравоохранения и образования до транспорта и финансов). Эта политика напрямую сказывается на росте сектора ИТ в целом и на информационной безопасности в частности.

Цена уязвимостей в информационной защите

Все это поучительно, но каждый бизнес – уникальная история. Вопрос, сколько тратить на информационную безопасность от общего ИТ-бюджета компании, хоть и не корректный, но, с точки зрения заказчика, самый насущный.

Международная исследовательская компания IDC на примере канадского рынка называет оптимальными 9,8-13,7% вложений в кибербезопасность от общего бюджета ИТ в организации. То есть сейчас канадский бизнес тратит в среднем около 10% на эти нужды (считается, что это показатель здоровой компании), а хотел бы, судя по опросам, ближе к 14%.

Компаниям нет смысла гадать, сколько нужно затратить на свою информационную безопасность, чтобы чувствовать себя спокойно. Сегодня оценить риски от инцидентов с кибербезопасностью не сложнее, чем просчитать потери от физических угроз. Есть общемировая статистика , согласно которой:

• Хакерские атаки стоят глобальной экономике более 110 млрд. долларов ежегодно.
• Для малого бизнеса каждый инцидент обходится в среднем в 188 тысяч долларов.
• 51% взломов в 2016 году были целевыми, то есть организованными криминальными группами против конкретной компании.
• 75% атак происходят с целью нанесения материального ущерба, финансово мотивированны.

«Лаборатория Касперского» весной 2018 года провела свое масштабное исследование . Согласно опросу 6 тысяч специалистов компаний по всему миру, ущерб от взломов корпоративных сетей и утечки данных за последние пару лет вырос на 20-30%.

Средняя цена ущерба на февраль 2018 года для коммерческих организаций, вне зависимости от размера, сферы деятельности, составила 1,23 млн. долларов. Для предприятий МСБ ошибка персонала или удачные действия хакеров обходятся в 120 тысяч долларов.

Технико-экономическое обоснование для ИБ

Для того чтобы правильно оценить финансовые ресурсы, необходимые для организации информационной безопасности на предприятии, нужно составить технико-экономическое обоснование.

1. Проводим инвентаризацию ИТ-инфраструктуры и оцениваем риски, составляем список уязвимостей в порядке убывания их значимости. Сюда же закладываются репутационные потери (рост страховых тарифов, снижение кредитного рейтинга, цена простоя сервисов), стоимость восстановления системы (обновления оборудования и ПО).
2. Прописываем задачи, которые должна решать система информационной безопасности.
3. Подбираем оборудование, инструменты для решения задач, определяем его стоимость.

Если в компании нет компетенций для оценки угроз и рисков кибербезопасности, всегда можно заказать аудит информационной безопасности на стороне. Сегодня эта процедура недолгая, недорогая и безболезненная.

Промышленным компаниям с высоким уровнем автоматизации процессов эксперты рекомендуют использовать модель адаптивной архитектуры безопасности (Adaptive Security Architecture ), предложенную в 2014 году Gartner. Она позволяет правильно перераспределить расходы на ИБ, уделяя больше внимания инструментам обнаружения и реагирования на угрозы, и подразумевает внедрение системы мониторинга и аналитики ИТ-инфраструктуры.

Сколько стоит кибербезопансоть для небольших компаний

Авторы блога Capterra решили подсчитать , во сколько в среднем обходится система информационной защиты для компаний малого и среднего бизнеса в первый год использования. Для этого был выбран список из 50 популярных «коробочных» предложений на рынке.

Оказалось, что разброс цен довольно большой: от 50 долларов за год (есть даже 2-3 бесплатных решения для небольших компаний) до 6 тысяч долларов (есть единичные пакеты и по 24 тысячи, но их не стали включать в расчет). В среднем малый бизнес может рассчитывать на 1 400 долларов на построение элементарной системы защиты от киберугроз.

Дешевле всего обойдутся технические решения типа бизнес-VPN или защиты электронной почты, которые помогут защититься от конкретных типов угроз (например, фишинга)

На другом конце спектра представлены полноценные системы мониторинга с «продвинутыми» инструментами реагирования на события и комплексной защиты. Они помогают уберечь корпоративную сеть от масштабных атак и иногда даже позволяют предсказывать их появление, купировать на ранних стадиях.

Компания может выбрать несколько моделей оплаты системы информационной безопасности:

• Цена за каждую лицензию, Средняя цена – 1000-2000 долларов, или от 26 до 6000 долларов за лицензию.
• Цена за пользователя. Средняя стоимость системы ИБ за одного пользователя в компании – 37 долларов, разброс идет от 4 до 130 долларов за человека в месяц.
• Цена за подключаемое устройство. Средняя стоимость по этой модели составляет 2,25 долларов за один девайс. Цена варьируется от 0,96 до 4,5 долларов в месяц.

Для правильного расчета затрат на информационную безопасность даже небольшой компании придется внедрить у себя основы риск-менеджмента. Первый же инцидент (упал сайт, сервис, платежная система), который невозможно будет исправить в течение суток, может привести к закрытию бизнеса.

Как уже отмечалось, безопасность предприятия обеспечивается комплексом мер на всех этапах его жизненного цикла, его информационной системы и в общем случае складывается из стоимости:

• - проектных работ;
• - закупки и настройки программно-технических средств защиты;
• - затрат на обеспечение физической безопасности;
• - обучения персонала;
• - управления и поддержки системы;
• - аудита защиты информации;
• - периодической модернизации системы защиты информации и т.д.

Стоимостным показателем экономической эффективности комплексной системы защиты информации будет сумма прямых и косвенных затрат на организацию, эксплуатацию и сопровождение системы защиты информации в течение года.

Он может рассматриваться как ключевой количественный показатель эффективности организации защиты информации в компании, так как позволит не только оценить совокупные затраты на защиту, но управлять этими затратами для достижения требуемого уровня защищенности предприятия. При этом прямые затраты включают как капитальные компоненты затрат, так и трудозатраты, которые учитываются в категориях операций и административного управления. Сюда же относят затраты на услуги удаленных пользователей и др., связанные с поддержкой деятельности организации.

В свою очередь, косвенные затраты отражают влияние комплексной системы безопасности и подсистемы защиты информации на служащих посредством таких измеримых показателей, как простои и «зависания» корпоративной системы защиты информации и комплексной системы безопасности в целом, затраты на операции и поддержку.

Очень часто косвенные затраты играют значительную роль, так как они обычно изначально не отражаются в бюджете на комплексную систему безопасности, а выявляются явно при анализе затрат в последствии, что в конечном счете приводит к росту «скрытых» затрат компании. Рассмотрим, как можно определить прямые и косвенные затраты на комплексную систему безопасности. Предположим, что руководство предприятия проводит работы по внедрению на предприятии комплексной системы защиты информации. Уже определены объекты и цели защиты, угрозы информационной безопасности и меры по противодействию им, приобретены и установлены необходимые средства защиты информации.

Как правило, затраты на информационную безопасность подразделяются на следующие категории:

• - затраты на формирование и поддержание звена управления системой защиты информации;
• - затраты на контроль, то есть на определение и подтверждение достигнутого уровня защищенности ресурсов предприятия;
• - внутренние затраты на ликвидацию последствий нарушения информационной безопасности - затраты, понесенные организацией в результате того, что требуемый уровень защищенности не был достигнут;
• -внешние затраты на ликвидацию последствий нарушения информационной безопасности - компенсация потерь при нарушениях политики безопасности в случаях, связанных с утечкой информации, потерей имиджа компании, утратой доверия партнеров и потребителей и т.п.;
• -затраты на техническое обслуживание системы защиты информации и мероприятия по предотвращению нарушений политики безопасности предприятия.

При этом обычно выделяют единовременные и систематические затраты.

Единовременные, затраты на формирование безопасности предприятия: организационные затраты и затраты на приобретение и установку средств защиты.

Систематические, затраты на эксплуатацию и обслуживание. Классификация затрат условна, так как сбор, классификация и анализ затрат на информационную безопасность - внутренняя деятельность предприятий, и детальная разработка перечня зависят от особенностей конкретной организации.

Главное при определении затрат на систему безопасности -взаимопонимание и согласие по статьям расходов внутри предприятия.

Кроме того, категории затрат должны быть постоянными и не должны дублировать друг друга. Невозможно полностью исключить затраты на безопасность, однако они могут быть приведены к приемлемому уровню.

Некоторые виды затрат на безопасность являются абсолютно необходимыми, а некоторые могут быть существенно уменьшены или исключены. Последние - это те, которые могут исчезнуть при отсутствии нарушений безопасности или сократятся, если количество и разрушающее воздействие нарушений уменьшатся.

При соблюдении безопасности и проведении профилактики нарушений можно исключить или существенно уменьшить следующие затраты:

• - на восстановление системы безопасности до соответствия требованиям безопасности;
• - на восстановление ресурсов информационной среды предприятия;
• - на переделки внутри системы безопасности;
• - на юридические споры и выплаты компенсаций;
• - на выявление причин нарушения безопасности.

Необходимые затраты - это те, которые необходимы даже если уровень угроз безопасности достаточно низкий. Это затраты на поддержание достигнутого уровня защищенности информационной среды предприятия.

Неизбежные затраты могут включать:

• а) обслуживание технических средств защиты;
• б) конфиденциальное делопроизводство;
• в) функционирование и аудит системы безопасности;
• г) минимальный уровень проверок и контроля с привлечением специализированных организаций;
• д) обучение персонала методам информационной безопасности.

Однако существуют и другие затраты, которые определить достаточно сложно. В их числе:

• а) затраты на проведение дополнительных исследований и разработку новой рыночной стратегии;
• б) потери от снижения приоритета в научных исследованиях и невозможности патентования и продажи лицензий на научно-технические достижения;
• в) затраты, связанные с ликвидацией «узких мест» в снабжении, производстве и сбыте продукции;
• г) потери от компрометации производимой предприятием продукции и снижения цен на нее;
• д) возникновение трудностей в приобретении оборудования или технологий, в том числе повышение цен на них, ограничение объема поставок.

Перечисленные затраты могут быть вызваны действиями персонала различных отделов, например, проектного, технологического, планово-экономического, юридического, хозяйственного, отдела маркетинга, тарифной политики и ценообразования.

Поскольку сотрудники всех этих отделов вряд ли будут заняты полный рабочий день вопросами внешних потерь, то установление объема затрат необходимо вести с учетом реально затраченного времени. Один из элементов внешних потерь невозможно точно вычислить - это потери, связанные с подрывом имиджа предприятия, снижением доверия потребителя к продукции и услугам предприятия. Именно по этой причине многие корпорации скрывают, что их сервис небезопасен. Корпорации боятся обнародования такой информации даже больше, чем атаки в той или иной форме.

Однако многие предприятия игнорируют эти затраты на основании того, что их нельзя установить с какой-либо степенью точности - они только предположительны. Затраты на предупредительные мероприятия. Эти затраты, вероятно, наиболее сложно оценить, поскольку предупредительные мероприятия проводятся в разных отделах и затрагивают многие службы. Эти затраты могут появляться на всех этапах жизненного цикла ресурсов информационной среды предприятия:

• - планирования и организации;
• - приобретения и ввода в действие;
• - доставки и поддержки;
• - мониторинга процессов, составляющих информационную технологию.

В дополнение к этому, большинство затрат данной категории связано с работой персонала службы безопасности. Затраты на предупредительные мероприятия в основном включают заработную плату и накладные расходы. Однако точность их определения в большей степени зависит от точности установления времени, затраченного каждым сотрудником в отдельности. Некоторые предупредительные затраты легко выявить напрямую. Они, в частности, могут включать оплату различных работ сторонних организаций, например:

• - обслуживание и настройку программно-технических средств защиты, операционных систем и используемого сетевого оборудования;
• - проведение инженерно-технических работ по установлению сигнализации, оборудованию хранилищ конфиденциальных документов, защите телефонных линий связи, средств вычислительной техники и т.п.;
• - доставку конфиденциальной информации;
• - консультации;
• - курсы обучения.

Источники сведений о рассмотренных затратах. При определении затрат на обеспечение ИБ необходимо помнить, что:

• - затраты на приобретение и ввод в действие программно-технических средств могут быть получены из анализа накладных, записей в складской документации и т.п.;
• - выплаты персоналу могут быть взяты из ведомостей;
• - объемы выплат заработной платы должны быть взяты с учетом реально затраченного времени на проведение работ по обеспечению информационной безопасности если только часть времени сотрудника затрачивается на деятельность по обеспечению информационной безопасности, то целесообразность оценки каждой из составляющих затрат его времени не должна подвергаться сомнению;
• - классификация затрат на безопасность и распределение их по элементам должны стать частью повседневной работы внутри предприятия.

Цель исследования: проанализировать и определить основные тенденции на российском рынке информационной безопасности
Использованы данные Росстата (формы статистической отчетности №№ 3-Информ, П-3, П-4), Бухгалтерская отчетность предприятий и проч.

Использование организациями информационно-коммуникационных технологий и средств защиты информации

• Для подготовки данного раздела были использованы агрегированные , территориально обособленных подразделений и представительств (Форма 3-Информ «Сведения об использовании информационных и коммуникационных технологий и производстве вычислительной техники, программного обеспечения и оказании услуг в этих сферах» .

Проанализирован период 2012-2016 гг. Данные не претендуют на полноту (так как собираются по ограниченному кругу предприятий), но, по-нашему мнению, могут использоваться для оценки тенденций. Количество предприятий-респондентов за рассматриваемый период находилось в пределах от 200 до 210 тысяч. То есть выборка достаточно стабильна и включает наиболее вероятных потребителей (крупные и средние предприятия), на которых приходится основной объем продаж.

Наличие персональных компьютеров в организациях

По данным формы статистической отчетности 3-Информ, в 2016 году в российских организациях, предоставивших сведения по данной форме, насчитывалось около 12,4 млн. единиц персональных компьютеров (ПК). Под ПК, в данном случае, подразумеваются настольные и портативные компьютеры, это понятие не включает в себя мобильные сотовые телефоны и карманные персональные компьютеры.

За последние 5 лет количество единиц ПК в организациях, в целом по России, выросло на 14,9%. Самым оснащенным федеральным округом является ЦФО, на его долю приходится 30,2% ПК в компаниях. Безусловный регион-лидер по данному показателю – город Москва, по данным за 2016 год в московских компаниях насчитывается около 1,8 млн. ПК. Наименьшее значение показателя отмечено в СКФО, в организациях округа насчитывается всего около 300 тыс. единиц ПК, наименьшее количество в республике Ингушетия – 5,45 тыс. единиц.

Рис. 1. Количество персональных компьютеров в организациях, Россия, млн. ед.

Затраты организаций на информационно-коммуникационные технологии

В период 2014-2015 гг. в связи с неблагоприятной экономической обстановкой российские компании были вынуждены минимизировать свои затраты, в том числе и расходы на информационно-коммуникационные технологии. В 2014 году снижение затрат на сферу ИКТ составило 5,7%, но уже по итогам 2015 года наблюдалась незначительная положительная динамика. В 2016 году затраты российских компаний на информационно-коммуникационные технологии составили 1,25 трлн. руб., превысив показатель докризисного 2013 года на 0,3%.

Основная часть затрат приходится на компании, расположенные в Москве – свыше 590 млрд. рублей, или 47,2% от общего объема. Наибольшие объемы затрат организаций на информационные и коммуникационные технологии в 2016 году зафиксированы в : Московская область – 76,6 млрд. рублей, г. Санкт-Петербург – 74,4 млрд. рублей, Тюменская область – 56,0 млрд. рублей, республика Татарстан – 24,7 млрд. рублей, Нижегородская область – 21,4 млрд. рублей. Самые низкие объемы затрат отмечены в республике Ингушетия – 220,3 млн. рублей.

Рис. 2. Объем затрат компаний на информационно-коммуникационные технологии, Россия, млрд. рублей.

Использование организациями средств защиты информации

В последнее время можно отметить значительный рост числа компаний, использующих средства защиты информационной безопасности. Ежегодные темпы прироста их числа достаточно стабильны (за исключением 2014 года), и составляют порядка 11-19% в год.

По официальным данным Росстата, наиболее востребованными средствами защиты в настоящее время являются технические средства аутентификации пользователей (токены, USB-ключи, смарт-карты). Из более чем 157 тысяч компаний, 127 тысяч компаний (81%) указали использование именно этих средств в качестве защиты информации.

Рис. 3. Распределение организаций по использованию средств, обеспечивающих информационную безопасность, в 2016 г., Россия, %.

По данным официальной статистики, в 2016 году 161 421 компания использовала глобальную сеть Интернет в коммерческих целях. Среди организаций, использующих Интернет в коммерческих целях и указавших применение средств защиты информации, наибольшей популярностью пользуется электронная цифровая подпись. Данный инструмент в качестве средства защиты указали свыше 146 тысяч компаний, или 91% от общего числа. По использованию средств защиты информации компании распределились следующим образом:

• • Средства электронной цифровой подписи – 146 887 компаний;
  • Регулярно обновляемые антивирусные программы – 143 095 компаний;
  • Программные или аппаратные средства, препятствующие несанкционированному доступу вредоносных программ из глобальных информационных или локальных вычислительных сетей (Брандмауэр) – 101 373 компании;
  • Спам-фильтр – 86 292 компании;
  • Средства шифрования – 86 074 компании;
  • Системы обнаружения вторжения в компьютер или сеть – 66 745 компаний;
  • Программные средства автоматизации процессов анализа и контроля защищенности компьютерных систем – 54 409 компаний.

Рис. 4. Распределение компаний, использующих сеть Интернет в коммерческих целях, по средствам защиты информации, передаваемой по глобальным сетям, в 2016 г., Россия, %.

В период 2012-2016 гг., количество компаний, использующих Интернет в коммерческих целях, увеличилось на 34,9%. В 2016 году 155 028 компаний использовали Интернет для связи с поставщиками и 110 421 компания – для связи с потребителями. Из компаний, использующих Интернет для связи с поставщиками, целью использования указали:

• получение сведений о необходимых товарах (работах, услугах) и их поставщиках – 138 224 компании;
• предоставление сведений о потребностях организации в товарах (работах, услугах) – 103 977 компаний;
• размещение заказов на необходимые организации товары (работы, услуги) (без учета заказов, отправленных по электронной почте) – 95 207 компаний;
• оплата поставляемых товаров (работ, услуг) – 89 279;
• получение электронной продукции – 62 940 компаний.

Из общего числа компаний, использующих Интернет для связи с потребителями, целью использования указали:

• предоставление сведений об организации, ее товарах (работах, услугах) – 101 059 компаний;
• (работы, услуги) (без учета заказов, отправленных по электронной почте) – 44 193 компании;
• осуществление электронных расчетов с потребителями – 51 210 компаний;
• распространение электронной продукции – 12 566 компаний;
• послепродажное обслуживание (сервис) – 13 580 компаний.

Объем и динамика бюджетов федеральных органов исполнительной власти на информационные технологии в 2016-2017 гг.

По данным Федерального Казначейства, общий объем лимитов бюджетных обязательств на 2017 год, доведенных до федеральных органов исполнительной власти (далее ФОИВ) по коду вида расходов 242 «Закупка товаров, работ, услуг в сфере информационно-коммуникационных технологий» в части сведений, не составляющих государственную тайну, по состоянию на 1 августа 2017 года составил 115,2 млрд. рублей, что примерно на 5,1% превышает суммарный объем бюджетов на информационные технологии ФОИВ в 2016 году (109,6 млрд. рублей, по данным Минкомсвязи). Таким образом, при продолжающемся росте общего объема IT-бюджетов федеральных ведомств от года к году скорость роста уменьшилась (в 2016 году общий объем IT-бюджетов вырос на 8,3% по сравнению с 2015 годом). При этом наблюдается все более усиливающееся расслоение на «богатые» и «бедные» в смысле расходов на информационные и коммуникационные технологии ведомства. Безусловным лидером не только по размеру бюджета, но и по уровню достижений в сфере ИТ является Федеральная налоговая служба. Ее бюджет ИКТ в текущем году составляет более 17,6 млрд. рублей, что составляет более 15 % от бюджета всех ФОИВ. Суммарная доля первой пятерки (ФНС, ПФР, Казначейство, МВД, Минкомсвязи) – более 53 %.

Рис. 5. Структура расходов бюджета на закупку товаров, работ и услуг в сфере информационно-коммуникационных технологий в разрезе федеральных органов исполнительной власти в 2017 году, %

Законодательное регулирование в сфере закупок программного обеспечения для государственных и муниципальных нужд

С 1 января 2016 года все государственные и муниципальные органы, государственные корпорации «Росатом» и «Роскосмос», органы управления государственными внебюджетными фондами, а также казенные и бюджетные учреждения, осуществляющие закупки в соответствии с требованиями Федерального закона от 5 апреля 2013 г. № 44-ФЗ «О контрактной системе в сфере закупок товаров, работ, услуг для обеспечения государственных и муниципальных нужд», обязаны соблюдать запрет на допуск программного обеспечения, происходящего из иностранных государств, для целей осуществления закупок для обеспечения государственных и муниципальных нужд. Запрет введен Постановлением правительства РФ от 16 ноября 2015 г. № 1236 «Об установлении запрета на допуск программного обеспечения, происходящего из иностранных государств, для целей осуществления закупок для обеспечения государственных и муниципальных нужд». При закупке программного обеспечения вышеперечисленные заказчики должны прямо указывать на запрет приобретать импортное ПО в извещении об осуществлении закупки. Запрет распространяется на закупки программ для электронных вычислительных машин и баз данных, реализуемых независимо от вида договора на материальном носителе и (или) в электронном виде по каналам связи, а также исключительных прав на такое программное обеспечение и прав использования такого программного обеспечения.

Есть несколько исключений, когда закупка импортного ПО заказчикам разрешена.

• закупки программного обеспечения и (или) прав на него дипломатическими представительствами и консульскими учреждениями Российской Федерации, торговыми представительствами Российской Федерации при международных организациях для обеспечения своей деятельности на территории иностранного государства;
• закупки программного обеспечения и (или) прав на него, сведения о котором и (или) о закупке которого составляют государственную тайну.

Во всех остальных случаях от заказчика перед осуществлением закупки программного обеспечения потребуется работа с единым реестром российских программ для электронных вычислительных машин и баз данных и классификатором программ для электронных вычислительных машин и баз данных.
Формированием и ведением реестра в качестве уполномоченного федерального органа исполнительной власти занимается Минкомсвязь России.
По состоянию на конец августа 2017 года в реестре числятся 343 программных продукта, относящихся к классу «средства обеспечения информационной безопасности» 98 российских компаний-разработчиков. Среди них представлены программные продукты таких крупных российских разработчиков, как:

• ОАО «Информационные технологии и коммуникационные системы» («ИнфоТеКС») – 37 программных продуктов;
• АО «Лаборатория Касперского» — 25 программных продуктов;
• ООО «Код безопасности» — 19 программных продуктов;
• ООО «Крипто-Про» — 18 программных продуктов;
• ООО «Доктор WEB» — 12 программных продуктов;
• ООО «С-Терра СиЭсПи» — 12 программных продуктов;
• ЗАО «Аладдин Р.Д.» — 8 программных продуктов;
• АО «Инфовотч» — 6 программных продуктов.

Анализ деятельности крупнейших игроков в сфере информационной безопасности

• В качестве основной информации для анализа деятельности крупнейших игроков на рынке информационной безопасности для подготовки данного исследования были использованы сведения о государственных закупках в сфере информационно-коммуникационной деятельности и, в частности, информационной безопасности.

Для анализа тенденций нами были выбраны 18 компаний, входящих в число лидеров рынка информационной безопасности и активно участвующих в государственных закупках. В список вошли, как непосредственно разработчики программного обеспечения и программно-аппаратных комплексов защиты, так и крупнейшие системные интеграторы. Суммарная выручка данных компаний в 2016 году составила 162,3 млрд. руб., превысив показатель 2015 года на 8,7%.
Ниже представлен список компаний, выбранных для исследования.

Табл. 1. Компании, выбранные для исследования

№	Название	ИНН	Вид деятельности (ОКВЭД 2014)
1	«Ай-Теко», АО	7736227885	Деятельность, связанная с использованием вычислительной техники и информационных технологий, прочая (62.09)
2	«Крок Инкорпорейтед», ЗАО	7701004101
3	«Информзащита», ЗАО НИП	7702148410	Научные исследования и разработки в области общественных и гуманитарных наук (72.20)
4	«Софтлайн Трейд», АО	7736227885
5	«Техносерв АС», ООО	7722286471	Торговля оптовая прочими машинами и оборудованием (46.69)
6	«Элвис-плюс», АО	7735003794
7	«Астерос», АО	7721163646	Торговля оптовая компьютерами, периферийными устройствами к компьютерам и программным обеспечением (46.51
8	«Производственная компания Аквариус», ООО	7701256405
9	«Ланит», ЗАО	7727004113	Торговля оптовая прочей офисной техникой и оборудованием (46.66)
10	Инфосистемы Джет», ЗАО	7729058675	Торговля оптовая компьютерами, периферийными устройствами к компьютерам и программным обеспечением (46.51)
11	«Диалогнаука», АО	7701102564	Разработка компьютерного программного обеспечения (62.01)
12	«Фактор-ТС», ООО	7716032944	Производство компьютеров и периферийного оборудования (26.20)
13	«ИнфоТеКС», ОАО	7710013769	Разработка компьютерного программного обеспечения (62.01)
14	«Уральский центр систем безопасности», ООО	6672235068	Деятельность в области архитектуры, инженерных изысканий и предоставление технических консультаций в этих областях (71.1)
15	«АйСиЭл-КПО ВС», АО	1660014361	Разработка компьютерного программного обеспечения (62.01)
16	«Энвижн Груп», АО	7703282175	Торговля оптовая неспециализированная (46.90)
17	«Конфидент-интеграция», ООО	7811512250	Деятельность по обработке данных, предоставление услуг по размещению информации и связанная с этим деятельность (63.11)
18	«Калуга астрал», ЗАО	4029017981	Деятельность консультативная и работы в области компьютерных технологий (62.02

По состоянию на конец октября 2017 года компаниями из представленной выборки заключено 1 034 контрактов с государственными органами на сумму 24,6 млрд. рублей. Лидирует в данном списке по объемам заключенных контрактов компания «Ай-Теко» — 74 контракта на сумму 7,5 млрд. рублей.
На протяжении последних лет, за исключением кризисного 2014 года, можно отметить постоянный рост суммарных объемов контрактов по выбранным компаниям. Наиболее значительная динамика приходится на период 2015-2016 гг. Так, в 2015 году был отмечен рост объемов контрактов более чем в 3,5 раза, в 2016 году - в 1,5 раза. По имеющимся данным о контрактной деятельности компаний за период январь-октябрь 2017 года, можно предположить, что в 2017 году суммарный объем контрактов с госструктурами составит порядка 37-38 млрд. рублей, то есть ожидается снижение в районе 40%.