Количественная оценка киберрисков: переход от интуиции к цифрам

Количественная оценка киберрисков, это попытка превратить неопределённость в цифры. Не для того чтобы получить точный ответ, а чтобы задать вопрос: а что мы считаем допустимым риском? Это разговор с бизнесом на языке денег и вероятностей, где «вероятно» и «мы опасаемся» превращаются в «это может стоить нам X рублей с вероятностью Y% https://seberd.ru/5279

От интуиции к цифрам: почему выросла потребность в CRQ

Традиционные методы управления рисками в IT-безопасности часто опираются на экспертные оценки: «риск высокий», «угроза значительная», «нужно усилить защиту». Такие формулировки плохо переводятся в бюджеты, планы развития или приоритеты для руководства. Когда речь заходит о инвестициях в безопасность, CFO спрашивает не о уровне угрозы, а о том, сколько компания может потерять, если не инвестировать, и как эти инвестиции снизят потенциальные убытки.

Количественная оценка киберрисков (Cyber Risk Quantification, CRQ), это подход, который переводит риски из категорий «высокий/средний/низкий» в финансовые показатели: ожидаемые убытки в рублях, вероятности реализации угроз в процентах, финансовый эффект от внедрения мер защиты. Это позволяет:

Сравнивать риски между собой не абстрактно, а по конкретному финансовому воздействию.
Обосновать бюджет на безопасность, показав, какие риски он покрывает и как снижает потенциальные потери.
Интегрировать управление киберрисками в общие бизнес-процессы управления рисками компании.
Сделать безопасность частью экономических расчетов, а не отдельной «технической» областью.

Как работает CRQ: от модели до числа

Количественная оценка не является единым стандартным методом. Разные подходы и frameworks предлагают свои модели, но общая логика обычно включает несколько шагов.

1. Определение угроз и сценариев риска

Вместо абстрактных «угроз» модели строятся на конкретных сценариях: что произойдет, если произойдет событие X? Например, сценарий «утечка данных клиентов через уязвимость в CRM», «отказ сервиса из-за DDoS», «финансовые потери из-за компрометации платежной системы». Каждый сценарий описывается в терминах его триггеров, воздействия на бизнес-процессы и потенциальных последствий.

2. Оценка вероятностей

На этом этапе оценивается, как часто может произойти событие. Вероятности могут быть основаны на исторических данных инцидентов в компании или в отрасли, на данных угрозовых ландшафтов, на экспертных оценках с учетом текущего уровня защиты. Например, вероятность успешной эксплуатации конкретной уязвимости в системе может быть оценена как 2% в год при текущих условиях.

3. Расчет финансового воздействия

Для каждого сценария определяются потенциальные финансовые убытки. Они разбиваются на категории:

Прямые финансовые убытки: штрафы регуляторов (например, по 152-ФЗ), стоимость восстановления систем, выплаты по страхованию или судебным искам.
Операционные убытки: потеря доходов из-за остановки сервиса, затраты на дополнительную поддержку клиентов.
Репутационные убытки: снижение стоимости бизнеса, потеря клиентов, которые сложно оценить точно, но можно приблизить через модели.
Стратегические убытки: влияние на долгосрочные планы компании, отток ключевых сотрудников.

Для многих категорий используются не точные цифры, но диапазоны или распределения — например, «убытки от утечки данных могут составлять от 5 до 50 млн рублей с наиболее вероятным значением около 20 млн».

4. Агрегирование и моделирование

Когда есть вероятности и диапазоны убытков для каждого сценария, их объединяют в модель. Часто используется метод Monte Carlo simulation — тысячи случайных прогонов модели, где каждый раз случайно выбираются значения убытков из заданных распределений и происходит или не происходит событие согласно вероятности. Результат — распределение возможных совокупных убытков компании от киберрисков за год.

Из такого распределения можно получить ключевые метрики:

Ожидаемые убытки (Expected Loss): среднее значение убытков по всем прогонам модели.
Убытки при экстремальных событиях (Tail Risk): например, максимальные убытки при худшем сценарии с вероятностью 5%.
Вероятность превышения определенного уровня убытков: какова вероятность, что совокупные убытки превысят, например, 100 млн рублей?

Ключевые frameworks и подходы

Существует несколько известных методик и frameworks для CRQ. Они различаются по сложности, требуемым данным и целям.

Метод/Фramework	Ключевая идея	Применимость в российском контексте
FAIR (Factor Analysis of Information Risk)	Разложение риска на факторы: частота угроз, вероятность успеха контроля, степень воздействия. Позволяет строить количественные модели на основе этих факторов.	Подход универсален, но требует адаптации данных о угрозах и убытках под российскую правовую и экономическую среду (штрафы ФСТЭК, 152-ФЗ).
Open FAIR	Открытая стандартизация на основе FAIR, предоставляет модель и терминологию.	Может использоваться как основа для внутренних моделей, особенно в компаниях, стремящихся к стандартизации оценок.
Quantitative Risk Analysis (в рамках ISO 27005)	Общий подход к количественной оценке рисков в рамках стандарта ISO 27001. Часто менее детализирован, чем FAIR, но интегрирован в процессы ISMS.	Уже знаком многим компаниям, внедряющим ISO 27001, но требует дополнительных методик для конкретных расчетов.
Собственные модели на основе данных инцидентов	Компании строят модели, основываясь на собственной истории инцидентов, их частоте и финансовом воздействии.	Может быть наиболее точным, если есть достаточная история, но требует значительных внутренних данных и аналитических ресурсов.

CRQ и регуляторика: связь с ФСТЭК и 152-ФЗ

В российском регулировании требования к оценке рисков часто формулируются в качественных терминах: «определение уровня угроз», «оценка возможных последствий». Однако количественный подход может стать мощным инструментом для соответствия этим требованиям.

Например, при построении системы защиты информации (СЗИ) в рамках требований ФСТЭК необходимо определить, какие меры защиты необходимы. Если компания может показать, что риск утечки определенных данных оценивается в ожидаемые убытки 30 млн рублей в год, а внедрение конкретной меры снижает этот риск до 5 млн рублей, это дает четкое экономическое обоснование для выбора этой меры. Это идет дальше простого соответствия «рекомендуемым методам защиты».

В контексте 152-ФЗ количественная оценка рисков может помочь в определении уровня защищенности персональных данных. Если компания оценивает риск нарушения безопасности ПДн как финансовый ущерб (включая штрафы), это помогает определить необходимый уровень затрат на защиту и выбрать класс СЗИ не просто по формальным критериям, а по экономической целесообразности.

Практические сложности и ограничения

Количественная оценка киберрисков — не серебряная пуля. Ее внедрение сталкивается с несколькими серьезными сложностями.

Недостаток данных: Для надежных оценок нужны данные о частоте инцидентов и финансовых потерях. В России такие данные часто не публикуются или являются коммерческой тайной. Компании начинают с приближений и экспертных оценок, что снижает точность моделей.
Субъективность в оценках воздействия: Особенно в области репутационных и стратегических убытков оценки сильно зависят от мнений экспертов. Разные специалисты могут давать сильно различающиеся цифры.
Интеграция с бизнес-процессами: CRQ требует вовлечения не только специалистов безопасности, но также финансовых аналитиков, риск-менеджеров, руководителей бизнес-единиц. Без этого модель остается техническим упражнением.
Динамичность угроз: Киберугрозы меняются быстро. Модель, построенная год назад, может уже не отражать текущую реальность, если не обновляется регулярно.

Эти ограничения означают, что результаты CRQ следует рассматривать не как абсолютные точные цифры, а как инструмент для сравнительного анализа и принятия решений. «Риск А выше риска Б в три раза по ожидаемым убыткам» — часто более полезное утверждение, чем «риск А составляет 12,7 млн рублей».

Как начать внедрение CRQ

Для компаний, которые рассматривают внедрение количественной оценки киберрисков, путь обычно начинается с небольших шагов.

Выберите несколько ключевых сценариев риска: Не пытайтесь оценить все сразу. Начните с двух-трех наиболее значимых сценариев, например, утечка данных ключевой системы и остановка основного сервиса.
Соберите базовые данные и экспертные оценки: Для каждого сценария попробуйте оценить вероятность (например, на основе количества прошлых инцидентов или данных из отраслевых отчетов) и диапазон финансовых последствий. Вовлеките в оценку финансовых последствий не только IT-специалистов, но и представителей бизнеса.
Проведите простой расчет: Используйте даже простые таблицы или специализированные инструменты для начального моделирования. Рассчитайте ожидаемые убытки для каждого сценария.
Сравните с затратами на снижение риска: Для каждого сценария рассмотрите меры снижения риска (например, внедрение дополнительного контроля) и оцените, как они снижают вероятность или воздействие. Сравните стоимость меры с сокращением ожидаемых убытков.
Представьте результаты руководству: Обсудите результаты в терминах бизнес-решений: «Внедрение этой меры снижает наш ожидаемый убыток от этого сценария с 15 млн до 3 млн рублей, при стоимости внедрения 2 млн рублей».

По мере развития процесса можно добавлять новые сценарии, улучшать данные, внедрять более сложные модели и интегрировать CRQ в регулярный процесс управления рисками компании.

Инструменты и автоматизация

Существуют коммерческие и открытые инструменты, которые помогают в количественной оценке рисков. Они варьируются от специализированных платформ для моделирования рисков по FAIR до расширений для систем управления рисками и даже библиотек для самостоятельного моделирования в Python или R.

Ключевые возможности таких инструментов:

Структурирование данных по сценариям рисков и факторам.
Встроенные модели для расчета вероятностей и убытков.
Моделирование методом Monte Carlo для агрегирования рисков.
Генерация отчетов и графиков для представления результатов.

В российских компаниях часто начинают с адаптации существующих инструментов управления рисками или даже с построения простых моделей в Excel или специализированных аналитических платформах. Главное — не сложность инструмента, а качество входных данных и понимание модели бизнесом.

Вывод: CRQ как язык для диалога

Количественная оценка киберрисков меняет разговор о безопасности внутри компании. Она превращает его из дискуссии о технических угрозах и контролях в экономический диалог о распределении ресурсов, приоритетах и бизнес-целях.

Этот подход не даёт абсолютной точности — киберриски по своей природе содержат высокую неопределенность. Но он позволяет задавать более конкретные вопросы: «На какие риски мы готовы потратить бюджет?», «Какое снижение убытков мы получаем от этой инвестиции?», «Как наши риски соотносятся с рисками других бизнес-областей?».

В условиях российского регулирования, где требования к безопасности становятся всё более конкретными и связанными с ответственностью, количественный подход может стать не просто методикой оценки, а способом доказать экономическую обоснованность выбранных мер защиты перед регулятором и руководством компании.