Демонстрация окупаемости испытаний на проникновение

Марсия Уилсон, мо материалам SecurityFocus

Эта статья является первой в серии статей, посвященных демонстрации окупаемости испытаний на проникновение. Возможно, что в своих объяснениях я пойду по не совсем обычному пути, но моей главной целью является научить специалистов по безопасности, как доказать окупаемость тестов на проникновение. Эта серия статей поможет вам понять точку зрения компаний, когда дело касается вложений денег в безопасность. Я предлагаю вам размышлять в терминах традиционного обоснования проекта, а не только в терминах избежания риска, и таким образом вы сможете сочетать две точки зрения при обосновании необходимости испытаний на проникновение. Вам придется вступить в мир составления бюджета, обоснования стоимости, выделения ресурсов и изучить некоторые другие термины. Но умение говорить на языке менеджмента в дальнейшем сослужит вам хорошую службу.

Давайте начнем с простого примера. Испытания на проникновение, также как и оценка уязвимостей, очень похожи на физическое здоровье. Вы можете не знать, что что-то не так, до тех пор, пока не обследуетесь у доктора. Хорошо если вы имеете страховой полис для минимизации стоимости обследования. Вы надеетесь, что доктор никаких болезней у вас не найдет, но именно поэтому вы к нему и идете. Если с вашим здоровьем что-то не так и вам требуются какие-то процедуры или лечение, тогда вы действительно осознаете окупаемость вашей медицинской страховки. Если же вы абсолютно здоровы, то вы можете задуматься, зачем же платить за медицинскую страховку, но здравое мышление все-таки перевесит беспокойство о деньгах.

В жестких условиях рынка компании готовы тратить деньги лишь на те вещи, окупаемость которых может быть доказана в терминах периода окупаемости, чистой приведенной стоимости и нормы внутренней прибыли. Эта статья поможет вам понять эти финансовые термины. В последующих статьях я поясню более знакомые термины управления рисками: риск ущерба (EF), вероятность одиночных убытков (SLE), годовая частота происшествий (ARO), годовая вероятность убытков (ALE). Другие параметры, такие как потеря репутации после взлома системы, посчитать гораздо сложнее, но для полной демонстрации возврата инвестиций необходимо комбинировать четкие цифры и приблизительные оценки.

Значение окупаемости инвестиций, составления бюджета, политики и власти

Демонстрация окупаемости инвестиций очень важна для успеха продажи продуктов или услуг безопасности, в том числе и испытаний на проникновение. Специалисты по безопасности и отделы по безопасности в больших организациях понимают, что демонстрация возврата средств, вложенных в безопасность, является довольно сложной задачей. Вы не можете подойти к человеку, принимающему решения и сказать: «Нам нужно потратить столько-то денег на испытания по проникновению или кто-то взломает нас!». Вам необходимо обосновать трату денег, и это обоснование должно продемонстрировать самое главное – рентабельность вложения средств. Компании не будут тратить деньги в таких сложных экономических условиях, пока не получат доказательств выгодности вложений. Эта выгода должна быть представлена в виде увеличения дохода, экономии средств или значительного повышения производительности. Высшее исполнительное руководство ожидает от вас точного и подробного описания необходимости испытаний на проникновение и любых других затрат на информационную безопасность.

Процесс составления бюджета любой компании может быть политическим. Не поймите меня не правильно. Предполагается, что процесс составления бюджета является довольно прямолинейным процессом, основанным на важнейших задачах бизнеса, задачах программы по развитию и фундаментальной задаче рентабельности. Тем не менее, этот процесс определяют люди, а люди имеют свои цели и задачи. Как эти цели и задачи выполняются, зависит от того, кто имеет власть. Обычно власть имеют люди, которые делают деньги – генераторы дохода. Инициатива в рамках информационной безопасности не должна быть основана на тактике испуга. Выход из бизнеса пугает этих людей гораздо больше, чем дыра в безопасности.

Политику и власть часто сложно определить. Я не предлагаю вам с головой погружаться в политику. Я просто заранее предупреждаю, что вы должны знать, кто имеет власть и почему, чтобы не пытаться продать свой продукт, услугу или инициативу не тем людям. Власть обычно связана с деньгами и с тем, кто есть кто. Поэтому подумайте, как вам лучше поступить в конкретной ситуации.

Пример VPN

Вокруг окупаемости VPN (виртуальных частных сетей) существует масса разговоров. Почему? Подумайте о важности конечных пользователей VPN. Менеджеры по продажам? Исполнители? Специалисты по эксплуатации? Покупатели? Если покупка VPN решения позволит предложить безопасный удаленный доступ людям, которые делают деньги организации или покупателям, покупающим через безопасную среду VPN, то привести цифры, связанные с возвратом инвестиций не так уж сложно. Реализация такого решения может повысить эффективность менеджеров по продажам на 150%, потому что им больше не придется ехать в офис, подсоединяться к локальной сети, получать и отвечать на электронные письма, скачивать и посылать отчеты, работать с документами или другим образом быть привязанными к локальной сети. Теперь менеджеры могут свободно делать свою работу – продавать. Покупатели, партнеры и поставщики могут соединяться и вести бизнес безопасно и эффективно без нужды в личных встречах или традиционных бумажных соглашениях. В итоге правильно организованная VPN может увеличить доход, производительность и сократить лишние расходы. Но что если компания уже использует VPN решение и собирается начать гораздо больший проект, который требует серьезных испытаний на проникновение?

Пример веб-проекта

Компании часто размышляют в терминах критических факторов успеха - какие высокоуровневые бизнес задачи являются ключевыми и должны быть реализованы в заданный срок. Часто эти задачи являются показателями работы компании. Если вы просто спросите компанию о критических для нее факторах на следующий год или два, то вам сразу их скажут, так как каждый сотрудник должен понимать и выполнять эти задачи в своей сфере.

Допустим критическим фактором успеха для компании Widget Manufacturing Ltd. является увеличение количества электронных транзакций со своими поставщиками за два года с 30% до 80%. На данный момент они используют пакет ERP (SAP) для операций с поставщиками, но из-за проблем с безопасностью доступ обеспечен только трем самым крупным поставщикам. Поставщики должны использовать VPN для доступа в безопасную часть сети Widget Manufacturing, а основанной на веб внешней сети не существует. Для предоставления возможности большему количеству не таких крупных поставщиков производить операции с компанией, начал разрабатываться крупный проект, связывающий пакет ERP с веб. Тем не менее, при таком подходе имеет место серьезный бизнес риск и возникают вопросы касающиеся безопасности, так как этот подход значительно видоизменяет процесс ведение бизнеса и способы взаимодействия с поставщиками.

Специалист по безопасности должен обладать не малой долей сообразительности, чтобы, приняв участие в этом проекте, захватить часть бюджета на свои нужды. Анализ риска организации будет ключевым фактором при обосновании необходимости испытаний на проникновение и при расчете возврата инвестиций. Специалист по безопасности при расчете возврата инвестиций для этого веб-проекта должен включить в общую стоимость владения стоимость испытаний на проникновение. В таком правильно представленном проекте компания будет рассматривать испытания на проникновение как неотъемлемую часть экономически выгодного решения, и проведение испытаний будет необходимым шагом для снижения общего риска. Успех проекта не возможен без положительных результатов испытаний на проникновение.

Небольшое предостережение

В основном, выяснение уровня безопасности рассматривается как зло необходимое для предотвращения неизвестных пагубных событий. Организации становятся все более образованными и понимают ответственность в охране своего окружения, в результате законодательства и хорошо известных событий, они также становятся более находчивыми в процессе принятия решений. Когда организации задумываются о безопасности и выделении средств на продукты и услуги информационной безопасности, им требуются методы для оценки и обоснования расходов.

Персонал безопасности внутри компании борется с теми же проблемами, что и внешние поставщики решений информационной безопасности. Как продемонстрировать окупаемость безопасности? Не важно пытаетесь ли вы обосновать покупку нового файрвола, IDS, оплатить консультации по безопасности или провести испытания на проникновение. Все это одна и та же проблема, и вот почему.

Исторически, информационные технологии больше ассоциируются с расходами, а не с прибылью. Вот почему возникают проблемы с расчетом окупаемости. Если вы смотрите только на стоимость, то со стороны отдела информационных технологий организации прибыли вы не увидите. Большинство из нас знакомо с термином общая стоимость владения (TCO). Компании заинтересованы в понижении общей стоимости владения в пользу улучшения инфраструктуры. В то время как контроль средств является важной вещью, гораздо более важно понимание бизнес значения. Значение для бизнеса информационных технологий может быть понято в терминах производительности пользователей, доходе на сотрудника, уменьшении стоимости бизнеса, цикличности улучшений и уменьшении риска.

Безопасность рассматривается так же, как и информационные технологии и связана с управлением рисками. Управление рисками, это процесс, задачей которого является предоставить наилучшую из возможных защиту информационных систем и хранилищ, а также передачу важной информации, затрачивая при этом средства, соответствующие значимости этой информации. Как процесс, такой, как управление рисками, может обеспечивать возврат инвестиций? Управление рисками может быть ассоциировано с ценностью бизнеса. Если значимость информации высока, то нужда в управлении рисками также высока, и наоборот, если информация не имеет большой ценности, то большой потребности в управлении рисками тоже нет. Специалист по безопасности должен знать и понимать методы оценки важности информации, которые мы обсудим позднее в этой серии статей.

Проблема не просто в том, чтобы понять все формулы, методы и модели. Проблема в том, что пока вы не свяжете продукт или услугу безопасности (например, испытание на проникновение) с ценностью бизнеса, вы не сможете продемонстрировать окупаемость инвестиций. Компании хотят видеть четкие цифры. В наше тяжелое время фактор страха, неуверенности и сомнений больше не является достаточным основанием для проведения измерений безопасности. Новый подход называется «Покажите мне деньги!».

Что такое окупаемость инвестиций?

Окупаемость инвестиций, попросту говоря, означает следующее: если я трачу 100000$, я хочу быть уверенным, что за определенный период времени потраченные деньги вернутся ко мне. Для того, чтобы сделать бизнес решение, я хочу знать, сколько времени это займет, и какой процент вложенных средств ко мне вернется для того. Существуют финансовые термины, которые необходимо понимать для произведения расчетов окупаемости инвестиций.

Окупаемость инвестиций - это отношение чистой прибыли от предложенного проекта к общей стоимости проекта.

Период окупаемости – это временной интервал, за который проект начинает приносить доход.

Чистая приведенная стоимость – отражает чистый эффект от вложенных на несколько лет финансовых средств, выраженный в «сегодняшних» денежных единицах.

Норма внутренней прибыли – ставка дисконта, необходимая для приведения чистой приведенной стоимости к нулю; значение, которое другие инвестиции должны иметь для того, чтобы быть эквивалентными потокам средств задуманной инвестиции.

Обычные расчеты окупаемости инвестиций нельзя легко применить к проектам по безопасности, например испытаниям на проникновение. Технически говоря, для предупреждающих методов не существует возврата инвестиций, кроме тех, которые можно выразить словами «унция предотвращения стоит фунта лечения». Тем не менее, если вы позиционируете испытания на проникновение как часть прибыльного проекта, то эти испытания станут необходимыми для достижения задач проекта.

Назначение испытаний на проникновение – выяснить уязвимости в системе безопасности организации. Для расчета общей стоимости владения вам необходимо сравнить инвестиции в безопасность со стоимостью потенциального ущерба. Для этого вам необходимо четко понимать, какой информацией обладает компания, и какую ценность для бизнеса она представляет. Вы должны приготовиться к трате времени на понимание бизнеса организации и на демонстрацию исполнителям бизнес ценности информации. Вы должны быть готовы к сравнению цены потери информации с ценой предотвращения этой потери.

Результатом испытаний на проникновение являются знания о потенциальном риске, уязвимостях или угрозах информационному имуществу, а также информация необходимая для уменьшения этих рисков. Организациям, которые уже проанализировали ценность своей информации, гораздо проще указать на конкретную информацию (например, базу данных клиентов), для этого надо выяснить финансовую стоимость информации, и затем помочь понять, что будет значить потеря этой информации.

Взяв для примера базу данных клиентов, полезно обсудить с управлением бизнес-значение этой базы в финансовых терминах (окупаемость инвестиций, период окупаемости, чистая приведенная стоимость, норма внутренней прибыли). Например, если организация уже вложила большие средства в переход от мэйнфрэйма к ERP системе (SAP/Oracle/Peoplesoft), она уже производила расчет окупаемости инвестиций, оценивала период окупаемости и знает чистую приведенную стоимость/норму внутренней прибыли для такого решения. Ваша работа заключается в том, чтобы понять последствия нарушения безопасности и объяснить их управлению компании. Если будет совершена атака на базу данных, и она выйдет из строя, что случится с периодом окупаемости? Это если не брать в расчет ущерб репутации компании, который трудно посчитать, пока это не произошло.

Страховка от взлома уже начинает пользоваться популярностью. Для этой страховки организации должны считаться с определенными процессами, касающимися информационной безопасности и иметь определенные средства защиты. Предполагается, что такая практика будет все более популярной. На данный же момент для специалистов по безопасности очень важно понять бизнес-взгляд на обоснование расходов. Также важно, как и научить бизнесменов думать об оценке важности их информации и об убытках, связанных с потерей этой информации.

Заключение

В следующей статье я рассмотрю, что такое испытания на проникновение, как они связаны с общим повышением безопасности, обычные техники испытаний и представлю концепцию управления рисками в отношении к оценке значения информации. А пока, пытайтесь размышлять в терминах бизнеса и о том, как позиционировать свои услуги, чтобы они выглядили рентабельными.