Рассчитайте бизнес-эффект программы повышения осведомленности в ИБ

Калькулятор помогает оценить, как программа повышения осведомленности в ИБ может повлиять на ожидаемые потери от инцидентов. Он сравнивает сценарии «без программы» и «после ее внедрения», а затем показывает снижение потерь, чистый эффект, ROI и срок окупаемости.

Отрасль помогает показать, какие сценарии инцидентов и последствия наиболее характерны для компании. Например, в промышленности основной ущерб может быть связан с простоем производства, а в ИТ и телекоме — с восстановлением инфраструктуры и последствиями утечек.

В расчете отрасль влияет на структуру возможного ущерба: какая доля приходится на операционные потери, реагирование и восстановление, юридические расходы и прямой финансовый ущерб.

Структура ущерба по отраслям:

• Финансы: 30% операционный ущерб, 20% реагирование и ИТ, 30% юридические расходы, 20% прямой финансовый ущерб.
• Ритейл: 40% операционный ущерб, 25% реагирование и ИТ, 30% юридические расходы, 5% прямой финансовый ущерб.
• Промышленность: 60% операционный ущерб, 25% реагирование и ИТ, 10% юридические расходы, 5% прямой финансовый ущерб.
• Логистика: 55% операционный ущерб, 25% реагирование и ИТ, 15% юридические расходы, 5% прямой финансовый ущерб.
• ИТ и телеком: 20% операционный ущерб, 40% реагирование и ИТ, 30% юридические расходы, 10% прямой финансовый ущерб.
• Общий профиль: 45% операционный ущерб, 30% реагирование и ИТ, 15% юридические расходы, 10% прямой финансовый ущерб.

Калькулятор берет базовую оценку ущерба и корректирует ее с учетом масштаба компании и влияния инцидента на бизнес:

Ущерб от серьезного инцидента = базовая оценка ущерба × коэффициент масштаба × коэффициент влияния инцидента

Базовая оценка ущерба — исходная сумма в параметрах расчета. Ее можно оставить по умолчанию или заменить на внутреннюю оценку компании.

Коэффициент масштаба учитывает численность сотрудников. Чем крупнее компания, тем выше возможные затраты на простой, восстановление, коммуникации и другие последствия инцидента.

Мы используем такие значения:

• до 250 сотрудников — ×0,65
• от 250 до 1000 — ×1,0
• от 1000 до 3000 — ×1,8
• от 3000 до 5000 — ×3,0
• от 5000 до 10000 — ×4,5
• больше 10000 — ×6,5

Коэффициент влияния инцидента показывает, насколько сильно инцидент может затронуть работу компании: отдельные процессы, ключевые сервисы, производство, клиентов или обязательства перед ними.

Мы используем такие значения:

• стандартное влияние — ×1,0
  Инцидент затрагивает отдельные процессы, но не останавливает ключевые операции.
• повышенное влияние — ×1,25
  Инцидент может повлиять на сервисы, продажи, производство или обязательства перед клиентами.
• критичное влияние — ×1,5
  Инцидент может привести к простою ключевых процессов, штрафам или крупным финансовым потерям.

После расчета ожидаемых потерь без программы и после ее внедрения калькулятор показывает разницу между этими сценариями.

Ожидаемые потери после программы = ущерб от серьезного инцидента × вероятность после учета оценочного эффекта программы

Снижение ожидаемых потерь = ожидаемые потери без программы − ожидаемые потери после программы

Это расчетная разница между двумя сценариями. Она показывает, на сколько могут снизиться ожидаемые потери после учета оценочного эффекта программы.

Годовая стоимость программы = количество сотрудников × средняя стоимость лицензии

В первой версии калькулятора стоимость считается по средней стоимости лицензий. Внедрение, сопровождение и время команды не входят в расчет.

Чистый эффект = снижение ожидаемых потерь − годовая стоимость программы

Так калькулятор показывает эффект после вычета стоимости программы.

ROI = чистый эффект / годовая стоимость программы × 100%

ROI показывает соотношение чистого эффекта и стоимости программы. Это не гарантированная прибыль, а расчетный показатель для сравнения сценариев.

Срок окупаемости = годовая стоимость программы / снижение ожидаемых потерь × 12 месяцев

Так калькулятор показывает, за сколько месяцев расчетное снижение ожидаемых потерь может покрыть стоимость программы.

В модели есть исходное допущение: без программы вероятность серьезного инцидента составляет 10% в год. Это значение используется, чтобы рассчитать ожидаемые потери до внедрения программы:

Ожидаемые потери без программы = ущерб от серьезного инцидента × вероятность инцидента без программы

Например, если ущерб от серьезного инцидента составляет 337 500 000 ₽, а вероятность инцидента без программы — 10%, то ожидаемые потери без программы составят:

337 500 000 × 10% = 33 750 000 ₽

10% — исходная вероятность инцидента до внедрения программы. Оценочный эффект показывает, как эта вероятность меняется после запуска программы.

Расчет носит оценочный характер и не заменяет финансовую модель или аудит рисков. В первой версии калькулятор использует допущения: вероятность инцидента, коэффициенты масштаба, влияние инцидента на бизнес и среднюю стоимость лицензий.

В расчет не входят внедрение, сопровождение, время ИБ-команды и другие дополнительные расходы. Итоговые значения лучше использовать как основу для обсуждения бюджета и сценариев внедрения, а не как точный прогноз или гарантированный финансовый результат.