Добавил:
ivanov666
Опубликованный материал нарушает ваши авторские права? Сообщите нам.
Вуз:
Предмет:
Файл:Экономические аспекты информационной безопасности. Учебное пособие для СПО
.pdf
2
табл
1
2,706
3,841
6,635
10,828
2
4,605
5,991
9,210
13,816
3
6,251
7,815
11,345
16,266
4
7,779
9,488
13,277
18,467
5
9,236
11,071
15,086
29,515
6
10,645
12,592
16,812
22,458
7
12,017
14,067
18,475
24,322
8
13,362
15,507
20,090
26,124
…
… … …
…
Факторы
Эксперты
1 2 3 4 5
F1 1 2 1 2
1
F2 2 1 2 1
2
F3 3 3 3 4
3
F4 2 4 3 3 4 F5 4 5 4 4
5
Расчетное значение
2
определяется по формуле:
расч
. (5.8)
=
Табличное значение критерия
определяется по специальной таблице
(таблица 5.3) в зависимости от заданной вероятности и числа степеней свободы.
Таблица 5.3 – Критические значения для тестов «Хи -квадрат»
Число степеней свободы равно количеству сравниваемых объектов минус 1:
h = m – 1. (5.9)
Рассмотрим небольшой пример.
В результате проведения опроса 5 привлеченных экспертов было выявлено пять
факторов, оказывающих влияние на эффективность работы СИБ, и оценена их
важность на основе процедуры ранжирования (таблица 5.4).
Таблица 5.4 – Результаты опроса экспертов
Оценить согласованность мнений экспертов и достоверность полученных
результатов.
71
Факторы
Эксперты
1 2 3 4 5
F1
1 (1)
2
1 (1)
2 (2) 1 F2
2 (2)
1
2 (2)
1 (1) 2 F3
3 (4)
3
3 (3)
4 (4) 3 F4
2 (3)
4
3 (4)
3 (3) 4 F5
4 (5)
5
4 (5)
4 (5)
5
Факторы
Эксперты (n)
1 2 3 4 5
F1 1 2 1 2 1 F2
2,5 1 2 1 2
F3
4 3 3,5
4,5 3 F4
2,5 4 3,5 3 4
F5
5 5 5
4,5
5
Итого
15
15
15
15
15
Решение.
Т.к. в ранжировках первого, третьего и четвертого экспертов имеются
одинаковые ранги, то необходимо произвести расчет стандартизированных рангов.
Для упрощения расчетов в таблице 5.5 в скобках укажем номер позиции каждого из
объектов.
Таблица 5.5 – Матрица рангов, дополненная позициями объектов
При выполнении расчетов не забываем, что число мест рано числу
ранжированных объектов. Рассмотрим правило расчета стандартизированных рангов
на примере оценок первого эксперта. В рангах, проставленных первым экспертом,
есть два объекта с одинаковыми рангами (F2 и F4), которые занимают вторую и
третью позиции соответственно. Стандартизированные ранги этих объектов будут
равны:
=
=
=2.5.
Аналогичным образом рассчитываются стандартизированные ранги по данным
опроса 3 и 4 экспертов. Результаты расчетов сведены в таблицу 5.6.
Таблица 5.6 – Матрица стандартизированных рангов
Сума рангов по каждой ранжировке равна (формула 5.2):
Для расчета коэффициента конкордации воспользуемся таблицей следующей
формы (таблица 5.7).
1+2+3+4+5=5*(5+1)/2=15.
72
Таблица 5.7 – Расчетная таблица
Факторы
Эксперты (n)
ij
SR
di
2
i
d
1 2 3 4 5
F1 1 2 1 2 1 7 -864
F2
2,5 1 2 1 2
8,5
-6,5
42,25
F3 4 3
3,5
4,5 3 18 3 9
F4
2,5 4 3,5 3 4
17 2 4
F5 5 5 5 4,5 5 24,5
9,5
90,25
Итого
15
15
15
15
15
75
-
209,5
Tj6 0 6 6 0
18
Среднее значение суммы рангов составит (формула 5.4):
=
=
=15.
Тогда:
=
=
-
-
= 7-15 = -8
= 8,5 -15 = - 6,5 и т.д.
Далее для расчета коэффициента конкордации необходимо определить
показатель связанных рангов (формула 5.6).
В ранжировке первого эксперта всего одна группа с одинаковыми рангами и в
этой группе всего 2 объекта. Тогда:
T1 = 23-2 = 6.
Для ранжировок 3и 4 эксперта расчеты аналогичны. В ранжировке второго и
пятого экспертов одинаковые ранги отсутствуют, поэтому показатель связанных
рангов равен 0.
Подставляя полученные значения в формулу 5.3, получим:
=
= 0,864 .
W=
значимости полученных результатов воспользуемся критерием согласия Пирсона:
Как видим, имеет место высокая согласованность мнений экспертов. Для оценки
73
2
табл
=
=
= 16,78.
Число степеней свободы равно (формула 5.9):
5-1=4.
Вероятность принятия нашего утверждения установим 95% (т.е. уровень
значимости 5%), тогда
=9,448 (таблица 5.3).
Таким образом, с вероятностью 95% можно утверждать, что согласованность
мнений экспертов высокая. Наиболее значимым фактором, с точки зрения членов
экспертной группы, является фактор F1.
5.2. Сбалансированная система показателей – Balanced Scorecard (ССП)
Система сбалансированных показателей – это методика, в рамках которой
традиционные показатели финансовых отчетов объединяются с операционными
параметрами, что создает достаточно общую схему, позволяющую оценить
нематериальные активы: уровень корпоративных инноваций, степень
удовлетворенности сотрудников, эффективность приложений и т. д.
Система сбалансированных показателей (от англ. Balanced Scorecard, BSC)
создана в Институте Нолана Нортана (Nolan Norton Institute), научном подразделении
одной из крупнейших аудиторских фирм KPMG (Kleiveld Peat Marwick Goerdeler).
Создатели системы - Дейвид Нортон и Роберт Каплан -еще в начале 90-х
задались целью создать показатели деятельности компании будущего.
Необходимость в таких разработках появилась в связи с тем, что существовавшие на
то время подходы к оценке деятельности организации, опирались, в основном, на
финансовые показатели и не позволяли спрогнозировать перспективы развития
бизнеса с учетом других, не менее важных аспектов деятельности компании. В
разработке принимали участие представители десятка крупнейших компаний
Америки: Apple Computer, DuPont, General Electric, Hewlett-Packard и многие другие.
Основная гипотеза исследования была сформулирована следующим образом:
«Базирование методики оценки эффективности деятельности предприятия
исключительно на финансовых показателях не обеспечивает роста будущей
экономической ценности организации». Результаты проведенного исследования
показали, что ССП по сравнению с традиционными подходами имеет неоспоримые
преимущества при комплексной оценке деятельности предприятия и в качестве
учетно-аналитического инструмента.
Результаты исследования были опубликованы Дейвидом Нортоном и Робертом
Капланом в статье "Сбалансированная система показателей эффективности –
измерители, управляющие эффективностью".
74
Огромная популярность нового подхода послужила причиной большого
количества публикаций по этой теме как в иностранных, так и в отечественных
кругах.
Сбалансированная система показателей –это механизм последовательного
доведения до персонала стратегии развития, целей компании и контроль их
достижения через так называемые ключевые показатели эффективности (KPI). KPI
(от англ. Key Performance Indicators) являются, по сути, измерителями достижимости
целей и характеристиками эффективности бизнес-процессов и работы каждого
отдельного сотрудника.
Отличительной чертой ССП является то, что она управляет не только
финансовыми, но и нефинансовыми показателями, является системой управления
компанией на основе объединения всех процессов, руководителей компании и её
сотрудников.
Традиционная концепция ССП предполагает формирование стратегических
карт, группирующих цели и показатели по четырем перспективам (рисунок 5.2):
• финансы;
• клиенты и рынки;
• внутренние процессы (бизнес-процессы);
• обучение и развитие.
Рисунок 5.2 – Основные перспективы ССП [22]
Перспектива «Рынок-Клиенты» содержит информацию об отношении клиентов
к компании, о динамике рынка включая изменение спроса на продукты, рост рынка,
конкурентную ситуацию и т.д. Типовыми показателями, используемыми для
измерения перспективы «Рынок-Клиенты», могут быть: доля рынка, число новых
75
клиентов, число постоянных клиентов, индекс удовлетворенности клиентов,
показатель конкурентоспособности фирмы и пр.
Перспектива «Бизнес-процессы» («Внутренние процессы») оценивает
эффективность выполняемых в компании бизнес-процессов и имеет отраслевую
специфику.
Перспектива «Обучение-Развитие» призвана дать оценку обеспеченности
компании необходимой инфраструктурой (оборудование, здания, программное
обеспечение, базы данных и информации) и человеческим капиталом. В качестве
ключевых показателей эффективности могут выступать: степень изношенности
мощностей (как инфраструктуры, так и человеческого капитала), степень
автоматизации отдельных процессов, текучесть кадров, число рационализаторских
предложений, затраты на персонал (заработная плата и повышение квалификации),
индекс удовлетворённости персонала и пр.
Между всеми перспективами существуют причинно-следственные связи.
Например, чем выше квалификация персонала и лучше технология ведения бизнеса,
тем проще поддерживать бизнес-процессы, что, в свою очередь, способствует более
качественному обслуживанию клиентов и реализации конкурентных преимуществ, а,
следовательно, помогает достичь запланированных финансовых показателей. Таким
образом, для компании в целом финансовые показатели – это конечная цель
функционирования, тогда как прочие перспективы определяют будущий потенциал
компании.
Перечень показателей KPI по каждой перспективе определяется с учетом
отраслевой специфики организации и применительно к каждому из уровней
организационной структуры управления.
Важно разработать иерархию KPI для каждой «проекции» и применительно к
каждому из уровней организационной структуры управления. Основная идея системы
ключевых показателей эффективности для всей корпорации заключается в четком и
формализованном выявлении основных факторов, определяющих результаты
бизнеса, их детализации для каждого уровня управления и постановке конкретных
задач для конкретных руководителей, обеспечивающих их выполнение.
Основные требования к системе KPI можно сформулировать следующим
образом:
– каждый показатель должен быть четко определен;
– показатели и нормативы должны быть достижимы: цель должна быть реальной,
но в то же время являться стимулом;
– показатель должен быть в сфере ответственности тех людей, которые
подвергаются оценке;
– показатель должен нести смысл;
– показатели могут быть общими для всей компании, т. е. «привязаны» к цели
компании, и конкретными для каждого подразделения, т.е. «привязаны» к целям
подразделения.
Пример системы показателей на основе методологии Balanced Scorecard
представлен на рисунке 5.3.
76
Подобным образом можно определить ключевые показатели функционирования
службы информационной безопасности компании и задать перспективы развития
корпоративных систем защиты информации. При этом следует помнить, поскольку
Рисунок 5.3 – Процесс каскадирования сбалансированной системы
показателей [22]
технологии безопасности оказывают косвенное воздействие на финансовые
показатели компании, их надо рассматривать с точки зрения вклада в развитие
бизнеса.
Стратегия развития технологий безопасности на базе методов ССП
формулируется в виде взаимосвязанного набора целей и показателей,
сгруппированных по следующим перспективам:
• миссия (основное предназначение и пути развития компании);
• клиенты (цели поддержки основной деятельности компании);
• процессы (показатели эффективности процедур разработки и внедрения);
• технологии (оценка обоснованности и эффективности используемых
технологий);
• организация (показатели эффективности внутренних процедур).
77
Обязательным условием вносимых изменений является сохранение логики
Перспектива ССП
Стратегические цели ИБ
Финансы
………
Клиенты
стоимостных характеристик для
количества и качества сервисов
……………………….
Внутренние
бизнес-процессы
сервисов безопасности
…….
Обучение и
развитие
использовать новые технологии
3.
……
взаимного влияния перспектив друг на друга.
Как показывает практика, при освоении идеи ССП формирование
стратегических карт не представляет особых затруднений. Но, несмотря на
кажущуюся простоту, менеджеры часто допускают ошибки при использовании
методологии.
Первая типичная ошибка заключается в создании большого набора метрик,
отражающих отдельные аспекты деятельности службы безопасности, но никак не
связанных друг с другом или со стратегией развития компании в целом.
Вторая ошибка – формирование стратегических карт, содержащих большое
число причинно-следственных взаимосвязей между целями и показателями.
Наличие ошибок подобного типа приводит к сложности расстановки
приоритетов в развитии корпоративной системы защиты информации, хотя именно
методология системы сбалансированных показателей позволяет обеспечить четкое
соответствие стратегии развития СИБ целям компании на формальном уровне.
Пример соответствия стандартных перспектив ССП стратегическим целям ИБ
компании представлен в таблице 5.8.
Таблица 5.8 – Перспективы и цели при планировании технологий ИБ [22]
1. Понимание места расходов на ИБ в общей структуре
бизнеса
2. Способность контролировать затраты на ИБ
3. Сокращение затрат на ИБ
Обеспечение возврата инвестиций в безопасность
4.
1.
Обеспечение доступности сервисов безопасности
2. Измерение производительности сервисов безопасности
3. Устаносвление
определенного
безопасности
4. Поддержка обращений пользователей
1. Сервисно-ориентированная культура предоставления
сервисов безопасности
Квалифицированнный персонал
2.
3. Эффективность предоставления сервисов безопасности
4. Время предоставления сервисов безопасности
5. Возможность учета количества предоставленных
1. Обеспечение гибкости системы безопасности
2. Способность
безопасности
78
Использование ССП позволяет:
• устранить разрыв между разработкой стратегии безопасности и ее
реализацией;
• оперативно реагировать на изменения окружающей среды;
• оценить существующую стратегию безопасности.
Практика показала, что в процессе внедрения системы возникают значительные
трудности. Результаты опроса, проведенного на 60 предприятиях, применяющих
ССП, показали, что внедрение ССП связано со следующими проблемами:
-количественная оценка качественных показателей (75%);
-оценка важности показателей (73%);
-трудности объединения целей со сферами деятельности предприятия (70%);
-отсутствие развитой информационной системы для поддержания концепции
(69%);
-большие затраты времени и издержки на внедрение и сопровождение (68%);
-трудность восприятия ССП менеджерами и работниками предприятий (70%).
5.3. Информационная экономика – Information Economics (IE)
Сущность метода информационной экономики заключается в определении
приоритетов развития бизнеса компании с расстановкой критериев, используемых в
дальнейшем при рассмотрении инвестиционных проектов. Ключевым показателем,
на определение которого нацелена методика, и исходя из которого ранжируются
проекты, является их ценность, которую они могут принести бизнесу.
Менеджеры различных подразделений при формировании критериев отбора
инвестиционных проектов делают акцент на различные факторы, и модель
информационной экономики осуществляет поиск путей по согласованию этих
факторов путем расширения традиционного подхода по анализу «затраты-выгоды»,
принимая во внимание четыре элемента, которые связывают информационные
технологии и бизнес:
–финансовая результативность;
–деловая результативность;
–готовность менеджмента к улучшениям;
–технический и деловой риски.
Как правило, формулируются 10 главных факторов (критериев), оказывающих
влияние на принятие решения о стратегической значимости проекта. Такой подход
позволяет менеджерам определить механизмы и пути, посредством которых
информационные технологии привносят свой вклад в достижение стратегических
целей организации. С другой стороны, он несет в себе значительную степень
субъективизма и требует высокого уровня взаимодействия менеджеров и выработки
единого мнения относительно того или иного проекта.
Метод ориентирован на объективную оценку портфеля инвестиционных
проектов и предусматривает определение направлений инвестирования на проекты,
представляющие наибольшую стратегическую ценность для бизнеса. Метод IE
является одним из наиболее быстрых способов определить приоритеты и сопоставить
79
инвестиции в ИБ с бизнес-стратегией компании, и может применяться при выборе
Анализ
Проектирование
Реализация
Внедрение
Сопровождение
системы информационной безопасности и формировании плана работ по ее
внедрению.
Данный метод может быть модифицирован путем введения весовых
коэффициентов отобранных для оценки проектов критериев.
5.4. Метод жизненного цикла искусственных систе м – System Life Cycle
Analysis (SLCA)
Прежде всего, с точки зрения логики понимания проблемы, следует
остановиться на рассмотрении сущности модель жизненного цикла искусственных
систем (ИС).
Модель жизненного цикла (ИС) представляет некую структуру, определяющую
последовательность выполнения и взаимосвязи процессов, действий и задач на
протяжении жизненного цикла. Важным моментом является то, что модель
жизненного цикла зависит от специфики, масштаба и сложности проекта и специфики
условий, в которых система создается и функционирует.
Модель ЖЦ ИС включает в себя стадии, результаты выполнения работ на
каждой стадии, ключевые события (точки завершения работ и принятия решений) и
отражает все состояния системы, начиная с момента возникновения необходимости в
данной ИС и заканчивая моментом окончания ее функционирования.
Различают каскадную, поэтапную, спиральную и инкрементную модели
жизненного цикла ИС.
Каскадная модель (рисунок 5.4) предусматривает последовательное выполнение
всех этапов проекта в строго фиксированном порядке. Переход на следующий этап
Рисунок 5.4 – Каскадная модель жизненного цикла ИС [31]
80
Соседние файлы в предмете [НЕСОРТИРОВАННОЕ]