Kontrollien kustannuslaskenta - SecMeter

Lataa linkistä yritykselle selkeä ja helppokäyttöinen turvallisuuskontrollien kannattavuuslaskelma. Malli on toteutettu selainversiona, joka tuottaa johdon raportin automaattisesti vastausten perusteella. Sovelluksen vapaata käyttöä yrityksen sisäisessä toiminnassa ei ole rajoitettu. Sovellusta ei saa käyttää maksullisten konsultointi-, arviointi- tai auditointipalvelujen tuottamiseen kolmansille osapuolille.

Valtionhallinnossa ja muissa turvallisuuskriittisissä toimintaympäristöissä tiedonhallintalain mukaiset riskiperusteiset tietoturvallisuusvaatimukset sekä organisaation omat tietoturvakäytännöt voivat edellyttää ulkopuolelta ladattavien tiedostojen tarkastamista tai käsittelyä organisaation hyväksymässä tai suojatussa ympäristössä ennen niiden käyttöä sisäverkossa.

Kun avaat sovelluksen linkistä, sitä ei ladata tietokoneelle automaattisesti. Sovellus aukeaa selaimen ikkunaan, jolloin voit ensin tutustua siihen. Jos päätät ladata sovelluksen koneellesi, voit tallentaa sen valitsemaasi kansioon "Lataa sovellus" -painikkeella.

Turvallisuusinvestointia ei valita hinnan perusteella

Tavallisessa investointilaskelmassa huomio kohdistuu helposti investointimenoon, kassavirtaan, NPV:hen, IRR:ään ja takaisinmaksuaikaan. Turvallisuusinvestoinnissa tämä ei riitä.

Esimerkiksi kaksi kulunvalvonta-, valvonta-, kyberturvallisuus- tai varautumisratkaisua voivat olla hinnaltaan huomattavan erilaisia, mutta samalla niiden turvallisuustehokkuudessa, toimintavarmuudessa ja elinkaaressa voi olla merkittäviä eroja. SecMeter Investment Profitability Analysis rakentuu tämän ajattelun ympärille.

Päätöksessä on siksi arvioitava ainakin:

• vastaako ratkaisu tunnistettuun turvallisuustarpeeseen ja pakollisiin vaatimuksiin
• kuinka tehokkaita ratkaisun ehkäisevät, ilmaisevat ja lieventävät kontrollit ovat
• kuinka luotettava toimittaja on
• kuinka luotettava itse tuote tai palvelu on
• kuinka tarkoituksenmukainen ratkaisu on juuri kyseiseen käyttöympäristöön
• miten ratkaisu voidaan huoltaa ja ylläpitää
• kuinka pitkä ja ennakoitava tuotteen elinkaari on
• mitä ratkaisu maksaa koko käyttöikänsä aikana
• millaisia todellisia ja perusteltavissa olevia rahallisia hyötyjä sillä saavutetaan.

A-, B- ja C-vaihtoehtojen rinnakkainen arviointi

Sovelluksessa voidaan muodostaa kolme toisistaan riippumatonta investointivaihtoehtoa: A, B ja C. Vaihtoehto A voi esimerkiksi olla edullinen perustason ratkaisu, B toiminnallisesti laajempi vaihtoehto ja C korkean varmuuden ratkaisu. Sovellus ei kuitenkaan oleta, että kallis ratkaisu olisi automaattisesti parempi tai että halvin olisi kustannustehokkain.

Kaikki kolme vaihtoehtoa arvioidaan samoilla perusteilla.

Vertailussa turvallisuus-, laatu- ja taloustekijät pysyvät tarkoituksella erillisinä. Näin esimerkiksi 4/5 toimittajan luotettavuudesta ei sekoitu euroina ilmaistuun elinkaarikustannukseen eikä kontrollien tehokkuutta muuteta keinotekoisesti rahalliseksi riskin alenemaksi.

Turvallisuustehokkuus perustuu SecMeter SATA -malliin

Sovelluksen turvallisuustehokkuuden arviointi perustuu SecMeterin kontrollien tehokkuuden arviointiperiaatteeseen. Kontrollikori muodostaa aina 100 prosentin kokonaisuuden. Tämä ei tarkoita, että kontrollit olisivat automaattisesti tehokkaita. Kontrollikorin rakenne ja kontrollien tehokkuus ovat eri asioita.

Kontrollikorin ideaalijakauma on: ehkäisevät kontrollit 60 % + ilmaisevat kontrollit 10 % + lieventävät kontrollit 30 % = 100 %. Painotus kuvaa kontrollifunktioiden asemaa kokonaisuudessa. Se ei ole tavoiteprosentti eikä hyväksymisraja.

Jokaisessa ryhmässä arvioidaan kolme erillistä kontrollikohdetta. Ehkäisevissä kontrolleissa tarkastellaan esimerkiksi vaikutuksia pysäyttäviä ja rajaavia ominaisuuksia sekä pelotevaikutusta. Ilmaisevat kontrollit käsittelevät tapahtuman havaitsemista, paikantamista ja yksilöintiä. Lieventävät kontrollit puolestaan käsittelevät vaikutusten korjaamista, korvaavia ratkaisuja ja toipumisen nopeuttamista.

Jokaisen kontrollin tehokkuus arvioidaan asteikolla 0–5:

• 0 tarkoittaa tehotonta kontrollia
• 5 erittäin tehokasta kontrollia.

Pisteen lisäksi kirjataan suunniteltu kontrolli sekä arvioinnin perustelu tai näyttö. Pelkkä numero ei siten muodosta arviointia.

Miten kontrollien tehokkuus lasketaan?

Kunkin kontrolliryhmän tehokkuus muodostuu sen kolmen kontrollin aritmeettisesta keskiarvosta. Jos esimerkiksi ehkäisevien kontrollien arviot ovat 4, 4 ja 3, ryhmätehokkuudeksi muodostuu (4 + 4 + 3) / 3 = 3,67 / 5.

Kun kaikki yhdeksän kontrollia on arvioitu, muodostetaan painotettu kokonaistehokkuus:

ehkäisevien keskiarvo × 0,60 + ilmaisevien keskiarvo × 0,10 + lieventävien keskiarvo × 0,30.

Jos ehkäisevien tehokkuus olisi 4,0, ilmaisevien 3,0 ja lieventävien 4,5, kokonaistehokkuudeksi muodostuisi:

4,0 × 0,60 + 3,0 × 0,10 + 4,5 × 0,30 = 4,05 / 5.

Sovellus ei muodosta lopullista tehokkuustulosta keskeneräisestä arvioinnista. Kaikki yhdeksän kohtaa on arvioitava.

Tämä on olennainen ero verrattuna malliin, jossa turvallisuusvaikutukselle vain annettaisiin oletettu prosentuaalinen ”riskin alenema”. SecMeter Investment Profitability Analysis ei tee tällaista oletusta.

Hankintakelpoisuus on oma päätösulottuvuutensa

Hyvä tekninen turvallisuustehokkuuskaan ei vielä yksin riitä investointipäätökseen. Sovelluksessa jokaiselle vaihtoehdolle arvioidaan erikseen toimittajan luotettavuus, tuotteen luotettavuus, tarkoituksenmukaisuus, huollettavuus ja ylläpidettävyys sekä elinkaaren jatkuvuus. Myös nämä arvioidaan 0–5-asteikolla ja jokaiselle arvolle edellytetään kirjallista perustelua tai näyttöä.

Toimittajan luotettavuuden arvio voi perustua esimerkiksi referensseihin, toimitushistoriaan, taloudelliseen asemaan, palvelukykyyn ja tukijärjestelyihin. Tuotteen luotettavuudessa voidaan puolestaan tarkastella testituloksia, käytettävyyttä, sertifiointeja, häiriöhistoriaa ja valmistajan dokumentaatiota.

Tarkoituksenmukaisuus on turvallisuusinvestoinnissa erityisen tärkeä tekijä. Teknologisesti hyvä ja hinnaltaan edullinen tuote ei ole hyvä investointi, jos se ei ratkaise juuri sitä turvallisuusongelmaa, jota varten hankinta tehdään.

Pakolliset vaatimukset arvioidaan erikseen

Arvioinnin alussa kuvataan yhteinen turvallisuustarve sekä pakolliset turvallisuus- ja toimintavaatimukset. Jokaisesta A-, B- ja C-vaihtoehdosta arvioidaan tämän jälkeen erikseen, täyttääkö se nämä vaatimukset. Valinta ei perustu pisteiden keskiarvoon vaan nimenomaiseen vaatimusvertailuun, jonka perustelu tai näyttö kirjataan sovellukseen. Tällä estetään tilanne, jossa kokonaisuutena hyvältä näyttävä pistemäärä peittäisi yhden olennaisen puutteen.

Jos esimerkiksi vaihtoehto ei tue turvallisuustoiminnan kannalta välttämätöntä varajärjestelyä, sitä ei voida pitää vaatimukset täyttävänä vain siksi, että se on halpa tai sen muut ominaisuudet saavat hyviä pisteitä.

Elinkaarikustannus on hankintahintaa tärkeämpi vertailutieto

Turvallisuustuotteen hankintahinta on vain yksi osa investoinnin kokonaiskustannuksesta. SecMeter Investment Profitability Analysis huomioi muun muassa hankintahinnan, käyttöönoton ja integraation, lisenssi- ja palvelukulut, huollon ja ylläpidon, organisaation oman käyttö- ja henkilöstötyön, koulutuksen ja muun jatkuvan tuen, käytöstäpoiston kustannukset sekä jäännösarvon. Näistä muodostetaan ratkaisun diskontattu elinkaarikustannus.

Tämä mahdollistaa esimerkiksi tilanteen, jossa 200 000 euroa maksavaa ratkaisua voidaan verrata 300 000 euroa maksavaan tuotteeseen tavalla, jossa huomioidaan myös seitsemän tai kymmenen vuoden käyttö-, lisenssi-, ylläpito- ja tukikustannukset. Hankintahinnaltaan halvempi vaihtoehto ei välttämättä ole elinkaarikustannuksiltaan halvin.

NPV ja IRR ovat osa arviointia, eivät turvallisuuden mittareita

Sovellus laskee myös perinteisiä investointien taloudellisia tunnuslukuja, kuten nettonykyarvon eli NPV:n, sisäisen korkokannan eli IRR:n sekä nimellisen takaisinmaksuajan. Niiden käyttöön liittyy kuitenkin turvallisuusinvestoinneissa tärkeä rajaus. Sovellus ei muuta kontrollien tehokkuuspisteitä, turvallisuuden paranemista tai oletettua riskin pienentymistä euroiksi.

Rahallinen hyöty voidaan ottaa mukaan laskelmaan vain silloin, kun käyttäjä pystyy määrittämään sille dokumentoidun laskentaperusteen. Esimerkiksi nykyisen ulkoisen palvelun poistuminen, työmäärän todellinen väheneminen tai olemassa olevan sopimuskustannuksen poistuminen voidaan käsitellä rahallisena hyötynä, jos arvo voidaan osoittaa.

NPV muodostuu alkuinvestoinnista ja tulevien nettokassavirtojen diskontatuista nykyarvoista. IRR puolestaan ilmaisee koron, jolla kyseisen kassavirtasarjan NPV on nolla. Sovellus ilmoittaa IRR:n vain silloin, kun kassavirtasarjasta voidaan muodostaa yksikäsitteinen tulos. Takaisinmaksuaika kertoo nimellisesti, missä vaiheessa kumulatiiviset nettokassavirrat kattavat alkuinvestoinnin. Nämä mittarit kuvaavat taloutta, eivät turvallisuustehokkuutta.

Yksi kokonaispistemäärä olisi harhaanjohtava

Turvallisuusinvestoinnin päätöksenteossa houkutteleva ratkaisu olisi laskea turvallisuus, toimittaja, elinkaari ja hinta yhdeksi kokonaispistemääräksi ja nimetä korkein pistemäärä automaattisesti parhaaksi. SecMeter Investment Profitability Analysis ei tee näin.

Esimerkiksi toimittajan luotettavuuden arvo 4/5, kontrollien tehokkuus 4,1/5 ja elinkaarikustannus 470 000 euroa mittaavat täysin eri asioita. Niiden mekaaninen yhdistäminen yhdeksi luvuksi edellyttäisi yritykseltä arvovalintoja ja painotuksia, joita sovellus ei voi tehdä yleispätevästi.

Sen sijaan sovellus näyttää päätöksentekijälle eri näkökulmat rinnakkain. Näin voidaan nähdä esimerkiksi, että A on selvästi halvin mutta ei täytä pakollisia vaatimuksia, B täyttää vaatimukset ja tarjoaa hyvän turvallisuustehokkuuden kohtuullisella elinkaarikustannuksella ja C tuottaa korkeimman turvallisuustehokkuuden mutta myös huomattavasti suuremman kokonaiskustannuksen. Tämän jälkeen kyse on aidosta päätöksenteosta.

Graafinen vertailu tukee päätöksentekoa

A/B/C-vertailun grafiikassa turvallisuuteen ja hankintakelpoisuuteen liittyvät tekijät esitetään samalla 0–5-asteikolla. Vertailussa voidaan nähdä rinnakkain kontrollien painotettu tehokkuus, toimittajan luotettavuus, tuotteen luotettavuus, tarkoituksenmukaisuus, ylläpidettävyys ja elinkaaren jatkuvuus.

Taloudelliset luvut esitetään erikseen vertailutaulukossa. Tämä on tarkoituksellista: euroja ei yhdistetä laadullisiin 0–5-arvioihin. Päätöksentekijä voi siten nähdä samasta aineistosta sekä turvallisuuserot että kustannuserot ilman, että toinen peittää toista.

Päätös jää päätöksentekijälle

Sovelluksen yksi tärkeimmistä periaatteista on, ettei se ilmoita automaattisesti esimerkiksi “Suositus: vaihtoehto B”. Lopullinen valinta tehdään erillisessä päätösosiossa. Päätöksen tilaksi voidaan kirjata vaihtoehdon A, B tai C valinta, hankinnasta luopuminen tai asian palauttaminen valmisteluun. Lisäksi kirjataan päätöspäivä ja päätöksen perustelu. Näin investointilaskelma muuttuu pelkästä laskurista dokumentoiduksi päätösaineistoksi.

Raportointi ja laskelman säilyttäminen

SecMeter Investment Profitability Analysis tuottaa sekä yhteisen A/B/C-vertailuraportin että jokaisen vaihtoehdon oman yksilöllisen raportin. Vaihtoehtokohtaisessa raportissa näkyvät muun muassa kontrollien tehokkuus, 60/10/30-painotus, hankintakelpoisuuden arvioinnit perusteluineen sekä elinkaaritalouden tunnusluvut. Vertailuraportti kokoaa vaihtoehdot samaan päätösaineistoon.

Laskelma voidaan tallentaa JSON-tiedostoksi myöhempää jatkamista tai siirtämistä varten. Lisäksi sovelluksessa on paikallinen laskelma-arkisto. Selainarkisto ei kuitenkaan korvaa organisaation omaa asiakirjahallintaa tai erillistä JSON-varmistusta.

Turvallisuusinvestoinnin kannattavuus on tarkoituksenmukaisuutta

Turvallisuusinvestoinnin kannattavuuden ydinkysymys ei lopulta ole:

• Mikä vaihtoehto maksaa vähiten?
• Millä vaihtoehdolla on korkein NPV?

Parempi kysymys on:

• Mikä vaihtoehto vastaa turvallisuustarpeeseen riittävän tehokkaasti ja luotettavasti koko suunnitellun elinkaarensa ajan ja millä kokonaiskustannuksella?

SecMeter Investment Profitability Analysis on rakennettu tämän kysymyksen ympärille. Sen tavoitteena on tuoda samaan päätöksentekoon turvallisuustarve, kontrollien tehokkuus, tuotteen ja toimittajan laatu, ylläpidettävyys, elinkaari ja investoinnin talous ilman, että mitään näistä yritetään keinotekoisesti korvata yhdellä numerolla.

Tällöin investoinnin kannattavuus ei tarkoita pelkästään sitä, paljonko ratkaisu maksaa, vaan ennen kaikkea sitä, saadaanko investoinnilla turvallisuustarpeeseen tarkoituksenmukainen, luotettava ja elinkaarensa aikana perusteltu ratkaisu.