Финансовая сторона правил безопасности

Исследование Ponemon Institute показывает, что общая стоимость несоблюдения правил безопасности в два с половиной раза превышает стоимость их соблюдения.

Если ты сомневаешься в том, выгодно ли с финансовой точки зрения соблюдать правила безопасности, или нет, подумай дважды, потому что расходы организаций, не соблюдающих правила безопасности, в среднем превышают расходы организаций, их соблюдающих, в 2.65 раза.

Исследование Ponemon Institute, которое было проведено по заказу Tripwire и в котором участвовали 46 крупных фирм на протяжении 12 месяцев выяснило, что соблюдение правил безопасности стоит в среднем 3.5 миллиона долларов, а несоблюдение правил может привести к увеличению затрат до 9.4 миллионов долларов, включая повышение расходов из-за разрушения бизнеса, снижения продуктивности и штрафов. Ponemon провели сравнительное исследование организаций, принадлежащих разным индустриям (ни одна из которых не являлась клиентом Tripwire) и опросили около 160 руководителей данных организаций.

Согласно докладу, компании потратили от 446 тысяч до 16 миллионов долларов за этот период, самые большие затраты пришлись на защиту данных. Технологии защиты данных и ответная реакция на происшествия вылились для предприятий в самые большие счета.

При несоблюдении предприятиями безопасности, затраты на восстановление бизнеса и из-за снижения продуктивности привели к наибольшим затратам – в среднем 3.2 миллиона и 2.4 миллиона долларов соответственно.

"Затраты при несоблюдении нужных мер безопасности все еще выше, чем при их соблюдении", - сказал вице-президент по разработке стратегий Tripwire Река Шеной. "И цена за несоблюдение правил безопасности растет вместе с ростом компаний".

Глава и основатель Ponemon Institute Ларри Понемон сказал, что он надеется, что статистика затрат, приведенная в докладе, улучшит безопасность в сфере информационных технологий и даст специалистам больше денег для обеспечения безопасности в своих организациях. "Компании, которые инвестируют в свои системы обеспечения безопасности - в такие, как регулярные проверки, применение технологий, обучение персонала и операционные процессы, добьются успеха в снижении риска и поймут, что расходы на предотвращение и снижение угроз окупаются", - сказал он.

Согласно данным доклада, организации, которые проводят от 3 до 5 проверок в год, тратят меньше всего – примерно 154 доллара на человека, в то время как фирмы, не проводящие внутренних проверок, тратят больше всех – 341 доллар на человека. В общем, 28 процентов организаций сказали, что не проводят внутренних проверок, а 11 процентов предприятий проводят более 5 проверок в год.

Больше затрат сейчас - меньше потом

"Вопрос состоит не в том, должен ли я соблюдать правила безопасности, а в том, как я могу снизить расходы на то, чтобы соблюдать правила безопасности", - говорит Джошуа Корман, директор по исследованиям практической безопасности The 451 Group. "Как могу я сократить расходы на соблюдение безопасности и при этом сэкономить деньги и время, чтобы сфокусироваться на том, что выходит за рамки соблюдения безопасности?... Атакующий будет знать, что вы соблюдаете меры, и вы будете ему неинтересны".

В Ponemon измерили силы и средства обеспечения безопасности предприятий по шкале эффективности этих самых средств, и результаты показали, что предприятия с лучшим уровнем безопасности или лучшим результатом по шкале реже не соблюдают условия обеспечения безопасности, чем другие. Поэтому чем больше тратится на соблюдение правил безопасности в соотношении с общими затратами на информационные технологии, тем меньше затраты будут в будущем, подводит итог доклад.

Ни одну из организаций не обошли стороной взломы с утечкой данных, говорит Шеной. "Те, кто не соблюдал правила безопасности, подвергались атакам с последующей утечкой данных чаще всего", - говорит Шеной. "А предприятия с высокой эффективностью системы безопасности несли гораздо меньшие убытки".

Сложной задачей для компаний является проведение нескольких программ по обеспечению безопасности. "Сложно иметь дело с такими программами, потому что предприятия вынуждены проводить проверку за проверкой", - говорит Шеной.

И стоимость соблюдения правил безопасности различается для различных отраслей промышленности: в сфере энергетики расходы составляют 24 миллиона долларов, в сфере образования и исследований – 6.8 миллионов долларов, в сфере здравоохранения – 8.86 миллионов долларов, а в сфере розничной торговли – 9.24 миллионов долларов.

Корман говорит, что показанное в докладе соотношение стоимости соблюдения правил безопасности с общим бюджетом информационных технологий предприятия – поразительно. Согласно отчету Ponemon, 39 процентов организаций тратят от 6 до 10 процентов на соблюдение правил безопасности; 39 процентов организаций тратят от 11 до 15 процентов; 11 процентов организаций тратят от 16 до 20 процентов и 7 процентов организаций тратят колоссальные от 21 до 25 процентов их бюджета информационных технологий на соблюдение правил безопасности. "Цифра оказалась очень большой", - говорит Корман.

Полная копия доклада "The True Cost of Compliance" доступна для скачивания здесь.В добавление следует сказать, что одним из ключевых моментов обеспечения безопасности предприятия является работающая процедура резервного копирования данных с хранением поколений архивов в специализированных сейфах для магнитных носителей. Однако этот совершенно очевидный для западных компаний элемент корпоративной культуры совершенно не прижился на отечественной почве. У нас пока гром не грянет...

Неоправданный риск

Следует отметить, что игра в русскую рулетку действительно является национальным видом спорта. Ещё классики мировой литературы отмечали склонность русского народа к суицидальным занятиям. В современной истории это достаточно ярко проявилось в отношении к автомобилям. Всем прекрасно известно, что продукция ВАЗа не отвечает никаким требованиям безопасности. Почему покупатели, большинство из которых могут позволить себе купить, пусть даже в кредит, что-то из современных, надёжных и безопасных “нашеиномарок”, уверены, что им повезёт, и достанется именно тот желтый экземпляр, собранный хотя бы с некоторым соблюдением технологии, где болты заворачивались, а не забивались кувалдой?

С появлением на рынке китайских самодвижущихся картонных шкатулок - гарантированных гробов, правда лакированных и на колёсах, тут же выделилась группа любителей экстремального риска, скучковавшейся во множественные “клубы самоубийц”. Что показательно, в Европе, после проведения первых краш-тестов представителей китайского автопрома, показавших, что эти чудеса на колёсах уверенно привозят своих седоков на кладбище, продажи полностью остановились. Видимо европейцы хотят жить больше нас, и никто, даже очень за дёшево, жизнью рисковать не хочет. Самим китайцам, по большому счёту, всё равно: их и так много, и безопасность автомобиля мало кого волнует. В России с демографией всё плохо, но видимо, народу не хватает острых ощущений.

Национальная черта

Эта национальная черта проявляется во всех взаимоотношениях с потребляемой продукцией. И дело даже не в любви к халяве, которая регулярно приводит, как это происходит на турецких “всё включено” курортах, к летальному исходу. И философия госчиновников, пилящих бюджет на обеспечение той же безопасности, тоже здесь не при чём: конечный результат если и учитывается, то в последнюю очередь. Те же банки, которых пытались законодательно заставить обеспечивать защиту деньгам вкладчиков, в своё время мгновенно догадались, что вместо нормального оборудования можно отовариться просто сертификатами. Но это их дела, и к простым смертным, после введения системы страхования вкладов, уже никакого отношения не имеет.

Удивительно, что свободные самодостаточные граждане, озадачившись покупкой личного сейфа, всё равно проявляют фатальную склонность к неоправданному риску. Почему-то каждый начинает убеждать как продавца, так и себя самого, что на самом-то деле ему никакой особый сейф не нужен, так как денег и ценностей у него никаких нет, и вполне можно обойтись простенькой китайской шкатулкой, рублей эдак за пятьсот или незатейливым ящичком отечественного производства за пару тысяч. Ладно бы деньги были чужие или в собственности была нефтяная скважина, обеспечивающая их непрерывный приток. Так нет же. Любой сантехник, зарабатывающий деньги своими руками, понимающий на своей шкуре разницу ценообразования между китайско-российскими и германскими или финскими вентилями, всё равно, посмотрев на бюджетные корейские железки, гарантированно защищающие хоть от чего-то, помимо пыли, всерьёз рассуждает об российских “сейфах”, которые пусть в два раза дешевле, зато с сертификатом! Спрашивается, зачем ему это чудо нужно? В таком случае деньги можно и в тумбочке, если не в почтовом ящике, держать.

Все попытки насадить элементы капиталистической культуры типа “бренд года”, разбиваются о национальный пофигизм. Репутация в наших реалиях не стоит абсолютно ничего. По всей стране раскиданы одни и те же дешевые во всех отношениях изделия от “мировых лидеров”, выдаваемые за суперпродукт просто с нереальными рабочими качествами и всевозможных габаритов.

На протяжении многих лет наблюдая как азиатскую, так и сицилийско-мафиозную модели поведения, убеждаюсь, что у нас выработалась некая своя, не имеющая по циничности аналогов в мире, “формула счастья”. Никто и нигде в мире “своих” не дурит. Китайцы считают за доблесть обмануть чужого и за позор нечестно поступить с членом клана, упомянутые всуе мафиозо свято блюдут честь семьи и интересы друзей. Наши же руководствуются одним принципом - кидаем всех!

Примером может послужить история, произошедшая много лет назад. Только-только готовился к выходу первый отечественный сейфовый стандарт, формализовавший требования к защите от взлома. За столом сидели голландец, занимавшийся сейфовым бизнесом к тому моменту уже лет тридцать, сингапурец (считайте, тот же китаец) и один из соотечественников, в тот момент только торговавший сейфами и ещё не начавший их клепать сам. В процессе обсуждения грядущих новшеств соотечественник мгновенно сориентировался и “толкнул” гениальную идею: “мы подготовим один образец специально для испытаний...” Надо было видеть лица как голландца, так и азиата. Смесь ужаса, удивления и отчасти отвращения. И оно понятно, ведь человек, в первую очередь подумавший о том, как обмануть даже не государство, а своих клиентов, вряд ли может считаться цивилизованным. Многовековое господство инквизиции, не только отрубавшей руки фальшивомонетчикам, но и сжигавшей их вместе со всеми членами семей, прочно утвердило в сознании цивилизованных народов определённые и уже совершенно естественные для современников моральные нормы. Однажды убивший, укравший или обманувший и не испытавший при этом угрызений совести, будет заниматься всем этим и в дальнейшем.

Пока же подобные персонажи прекрасно себя чувствуют на российском рынке. Причём настолько хорошо, что даже сбиваются в организованные объединения, ставя своей задачей не только подкармливание коррупционной составляющей при госзакупках, но и убеждение простых граждан, что их удел - это исключительно дешевые изделия, как впрочем и народные автомобили...

Класс и его предел

Есть определённая группа аферистов, пытающаяся убедить народ, что в сейфах первого класса можно спокойно хранить аж 5 миллионов рублей, а банкам - целых десять миллионов рублей!

Чистое и неприкрытое враньё. Во-первых, страховое покрытие, принятое в большинстве стран Европы, говорит не о хранении денег, а ценностей. На самом деле, в расчёт принимаются не только денежные знаки, но и драгоценности, часы, да и, конечно, ценные бумаги. Во-вторых, в разных странах, в зависимости от местного криминогенного уровня, суммы покрытия существенно отличаются. В-третьих, страховое покрытие зависит от наличия сертифицированной сигнализации и места применения. Последнее различается по принципу - частный сектор, промышленный объект или банкомат. Но не банк! Сейф в банке не рассматривается как место хранения ценностей. Для этого у банков есть хранилища.

Теперь переходим к цифрам. Возьмём практически самую благополучную в криминальном смысле Германию и сейфы 1-го европейского класса по стандарту EN 1143. Для частного дома без сигнализации максимальная стоимость вложения составляет в переводе на рубли 2,600,000. При наличии сертифицированной сигнализации - 5,200,000 рублей, то есть ровно в два раза больше. Для бизнеса, под которым подразумевается производство или офисы - всего 800,000 рублей без сигнализации и 1,600,000 при её наличии. Для банкоматов цифры такие же, как и для бизнеса.

Посмотрим на другие страны. Берём официальные цифры в рублевом эквиваленте для частного дома с сигнализацией. Германия, как уже говорилось - 5,200,000 руб; для Швейцарии максимальная сумма в рублях уже 2,400,000; для Бельгии - 988,000 руб., а соседней Голландии - вообще всего 360,000! Швеция по рискам оценивается приблизительно так же, как и Голландия. Даже в полностью покрытой видеонаблюдением Британии максимальная сумма покрытия составляет эквивалент всего 600,000 рублей! А Вам некоторые про пять лимонов втирают...

Сейф по цене замка

Всё вышеперечисленное актуально при соблюдении большого количества “если”, которые нас чаще обходят стороной. Как например - обязательное крепление к полу. Да не просто шурупом, а специальным анкером, который вместе с сейфом и полом создаёт конструкцию, легко выдерживающую 5 тонн усилия для того же 1-го класса. Кстати, на одно отверстие, а не как у некоторых отечественных производителей заведено, зная о сопливости использованного металла, наделать 4 дырки по якобы полторы тонны на каждую.

Да, и сам сейф должен быть настоящего первого класса. Если посмотреть на европейский рынок, то ни одному нормальному производителю не удаётся построить прямостоящий сейф первого класса защиты от взлома, который бы стоил розничному покупателю менее одной тысячи евро. Это технически невозможно. Только отечественные гении умудряются предлагать готовое изделие за деньги, за которые можно купить пожалуй только сертифицированный замок, полагающийся к сейфу. Кстати, именно из-за этой объективной дороговизны появился стандарт (EN 14450), описывающий в общем-то уже и не сейфы, а контейнеры для безопасного хранения ценностей с классами S1 и S2. Но об этом - в другой публикации.

Максимальное страховое покрытие у классов

Возвращаясь к основному вопросу - сколько же ценностей можно безопасно хранить в сейфах, установленных дома. Наиболее разумным европейский аналогом по уровню преступности и её технической подготовленности являются бывшие братья-славяне Словакия и Словения. Вы спросите, почему речь пошла ещё и о технической подготовке? В той же Голландии практически любое оборудование, существенно облегчающее взлом сейфа, продаётся во всех строительных моллах. У нас же “на дело” народ идёт чаще с примитивным инструментом, но зато с большим энтузиазмом. Для сейфов первого класса, установленных в жилых помещениях, не оборудованных сигнализацией, максимальное страховое покрытие составляет в рублях от 240,000 (Словакия) до 680,000 (Словения, которая практически уже Италия). Для второго класса вилка находится в диапазоне 336,000-600,000; для третьего - от 1,240,000 до 3,320,000... Особенно любопытные могут развлечься расчётами, используя официальные данные с сайта европейской ECB-S.

Последнее условие, которое необходимо принимать во внимание: цифры, написанные в отечественных сертификатах, не имеют ничего общего с защитными характеристиками продукции. Организации, печатающие эти бумажки, руководствуются только рыночной ценой на свои услуги и выдают классы по запросу заказчика, то есть сейфопроизводителя. Можно вычитать пару классов в уме, но это тоже не помогает, особенно для высоких классов, где нарвёшься хорошо если на первый класс, отсертификаченный как четвёртый, или даже пятый. Ну и традиционно-экспортный вариант, когда соотечественники, пытаясь продать что-то из своих железок в Европу, делают совершенно другие изделия под теми же именами.

Иными словами, если Вам дороги Ваши ценности, Вы сами можете рассчитать разумный и необходимый Вам уровень защиты, а не слушать откровенно мухлюющих советчиков.

Классификация по разным стандартам

Самый частый вопрос, который задают покупатели - “сколько времени нужно, чтобы взломать сейф?”. Действующий в России и Европе стандарт не даёт прямого ответа на этот вопрос, так как процедура испытаний достаточно сложна для понимания нормальным человеком. Аналогичный стандарт США - UL, намного более “человечен”: например класс TL15 обозначает, что чистое время контакта инструмента с сейфом составляет минимум 15 минут. Время, которое в реальных условиях затратит злоумышленник, будет как минимум в три-четыре раза больше, т.е. можно спокойно гарантировать владельцу, что злые люди будут потеть как минимум час.

Регулярно проводимые европейскими производителями, экспортирующими свою продукцию в Штаты, кросс-тесты дали возможность построить некоторую таблицу соответствия между европейскими и американскими нормативами, чем мы регулярно пользуемся, отвечая на главный вопрос покупателя.

Если коротко, то упомянутый TL-15 очень близок к первому европейскому классу по стандарту EN-1143 (не путать с новым S1). Поскольку каждый класс представляет собой некую полосу характеристик с верхней и нижней границами, то сравнение европейских “первоклассников” с американcкими “пятнадцатиминутками” показало, что Европа будет попрочнее. То есть любой сейф, даже проскальзывающий по минимуму в I-й еврокласс, с гарантией проходит американский пятнадцатиминутный барьер. А вот наиболее экономные заокеанские изделия не всегда выполняют европейский норматив 30/50 “единиц сопротивления”.

Следующий класс, представляющий практический интерес - американский TL-30, когда при тех же условиях, время на взлом сейфа удваивается. Это достаточно разумно, тем более что с 30 минутами “чистого” времени, реальные трудозатраты на взлом начинают приближаться к полному рабочему дню. Таким образом, европейским аналогом класса TL-30 оказался класс II с его 50/80 “единицами сопротивления”.

В большинстве случаев, мы рекомендуем частным лицам для городских квартир всегда смотреть в сторону европейских сейфов класса II. “Борьба” с таким сейфом занимает уже достаточно много времени, и даёт возможность приехать даже самой неторопливой охране.

В загородном доме нужен более прочный сейф, так что разумный третий европейский класс вполне гарантирует “занятость” незваных гостей до Вашего возвращения.

Непатриотично, но надежно!

Что получается с сейфами российского производства, укомплектованными сертификатами с напечатанными разнообразными, зачастую высокими классами: В испытательную (российскую) лабораторию был отдан сейф “взломостойкий офисный 2-й класс (огнестойкость 30 минут)“, за который по состоянию на лето 2011 года просят всего 17-20 тысяч рублей. При этом в рекламе пишут, что он “предназначен для хранения крупных денежных сумм, ценных бумаг, драгоценностей”.

Результат испытания на устойчивость к взлому: “полный доступ путём воздействия на полотно дверцы и запирающий механизм осуществлён за 5 мин. 5 сек. рабочего времени.”

Вот тебе бабушка и Юрьев день! Второй класс, говорите? Ну-ну. Пожелаем удачи всем патриотам, поддержавшим рублём отечественного производителя. Протокол испытания, подтвердившего, что сейф не соответствует заявленным в сертификате характеристикам, приведён ниже.

https://трезор.рф/novinki/valb...