Методики оценки ущерба от киберинцидентов: сравнительный обзор

Аннотация

Количественная оценка ущерба от инцидентов кибербезопасности остаётся распределённой между четырьмя практически независимыми направлениями - процессными стандартами управления рисками, денежными моделями потерь, регуляторными схемами классификации значимости и эмпирическими исследованиями стоимости инцидентов. Ни одно из них не создавалось под последствия, которые становятся определяющими, когда затронута государственная цифровая платформа или критически важный цифровой объект. Цель обзора - установить, как существующие подходы измеряют ущерб и где они оказываются неприменимы. Шестьдесят восемь источников из Scopus, Web of Science, IEEE Xplore и ScienceDirect, дополненных нормативными документами ISO, IEC, NIST, ENISA, CISA, OECD и Европейского союза, отраслевыми отчётами и национальной правовой базой Республики Казахстан, были закодированы по девяти измерениям ущерба и четырём методологическим критериям. Процессные стандарты задают цикл оценки, но не сопоставимые формулы. Денежные модели FAIR, ALE и CyVaR дают результат в валюте, но требуют статистики потерь, которая в большинстве юрисдикций не собирается. Регуляторные схемы классифицируют значимость инцидента, но не измеряют его стоимость. Четыре измерения охвачены слабо либо не охвачены вовсе: каскадные межотраслевые эффекты, непрерывность государственных услуг, технологический суверенитет и безопасность людей. Выявлены три повторяющихся дефекта: неконтролируемый двойной учёт, умножение безразмерных индексов на финансовые базы и несогласованность баз сравнения. Затем анализируется проект национальной методики Казахстана как один из ответов на эти пробелы и формулируется программа её калибровки и валидации.