Стоимость простоя и базовой системы защиты информации для бизнеса
Введите исходные данные по компании — калькулятор покажет прямой ущерб от простоя, потерю выручки, регуляторные последствия и стоимость базовой системы защиты, которая помогает избежать или смягчить такой инцидент.
Если вы хотите обосновать затраты на ИБ, исходя из базового набора рисков и типовых активов - у нас есть калькулятор для этого сценария
А если вам необходимо разложить риски по доменам безопасности и понять, как контролировать бизнес-процессы, чтобы бизнес не пострадал - у нас есть карта контроля доменов для руководителей и CISO
Сумма прямого ущерба, потери выручки и косвенных потерь при выбранном сценарии.
Годовой бюджет системы защиты, направленной на снижение простоя и ускорение восстановления.
Исходная информация по компании
Эти данные используются для пересчета зарплаты и выручки в стоимость простоя.
Критичные сотрудники — те, чья работа напрямую завязана на ИТ-системы и приносит выручку. Чем выше их доля, тем дороже ошибочный простой.
Эти значения задают допущения модели: в зависимости от отрасли и размера компании вы можете усилить или ослабить сценарий косвенных потерь, а также привязать калькулятор к вашим реальным ценам на обучение, средства защиты и проекты по восстановлению.
Ущерб от простоя
Мы раскладываем простой на три части: зарплату сотрудников, которые не могут работать, упущенную выручку и косвенные коммерческие потери. Это даёт руководителю понятную картину риска.
Прямой ущерб (зарплата при простое)
- пересчёт средней зарплаты в часовую ставку;
- учёт критичных сотрудников, завязанных на ИТ;
- умножение на часы простоя после инцидента.
Потеря выручки
- пересчёт годовой выручки в выручку за час;
- учёт только рабочих часов, а не календарного времени;
- умножение на длительность простоя.
Косвенный коммерческий ущерб
- дополнительные расходы на восстановление и экстренную поддержку;
- штрафы и компенсации по договорам;
- репутационные потери и отток клиентов.
Базовая модель расчёта
Прямой ущерб = зарплата в час × критичные сотрудники × часы простоя Потеря выручки = выручка за год / рабочие часы в году × часы простоя Косвенный ущерб = (Прямой + Потеря выручки) × коэффициент сценария Коэффициент сценария задаётся в настройках модели: консервативный, базовый или жёсткий сценарий. Для отраслей с высокой чувствительностью к простоям (массовое обслуживание клиентов, онлайн‑продажи) его имеет смысл увеличивать.
Регуляторные последствия (ПДн и ЗОКИИ)
Если инцидент затрагивает персональные данные или значимые объекты КИИ, к ущербу добавляются обязательные внешние последствия: штрафы Роскомнадзора и затраты на выполнение требований ГосСОПКА/НКЦКИ.
Персональные данные
Штрафы зависят от масштаба утечки и соблюдения сроков уведомления. Здесь мы считаем диапазон: минимальный, базовый и максимальный сценарий по текущим правилам КоАП для оператора ПДн.
ЗОКИИ / ГосСОПКА
Для КИИ здесь отражён не отдельный штраф НКЦКИ, а усиливающий эффект нарушения обязанностей по взаимодействию с ГосСОПКА и плану реагирования: рост затрат на восстановление и внешних подрядчиков.
Стоимость базовой системы защиты
Этот блок показывает годовой бюджет базовой защиты: обучение сотрудников, средства обнаружения и предотвращения атак, резервное копирование и протестированные процедуры восстановления.
Обучение сотрудников (фишинг и ИБ)
- курс и тестирование по фишингу и базовой гигиене ИБ;
- регулярные проверки через фишинг‑симуляции;
- обновление сценариев по итогам инцидентов.
EDR / антивирус на серверах и рабочих станциях
- EDR/AV на серверах и рабочих станциях;
- централизованный мониторинг и реагирование;
- обновления и контроль покрытия по узлам.
Резервное копирование и хранение
- ПО для резервного копирования ключевых систем;
- локальные диски и облако для хранения копий;
- политики частоты копий и сроков хранения;
- формула расчета: рабочие станции + серверы + хранение данных с учетом глубины хранения;
- рабочие станции считаются по формуле сотрудники × коэффициент устройств на сотрудника;
- серверы оцениваются по числу сотрудников: до 25 — 1, до 100 — 3, до 300 — 6, до 500 — 8, до 1000 — 10, свыше 1000 — 15;
- объем хранения = пользовательские данные на сотрудника + серверные данные на сервер, затем применяется коэффициент глубины хранения.
Разработка и тестирование восстановления
- описание сценариев восстановления и ролей;
- план штабных учений и тестов восстановления;
- корректировки по итогам тестов и инцидентов;
- формула расчета: базовая стоимость + надбавка за серверы + надбавка за критичные системы + сценарии тестирования;
- серверы оцениваются по числу сотрудников: до 25 — 1, до 100 — 3, до 300 — 6, до 500 — 8, до 1000 — 10, свыше 1000 — 15;
- критичные системы оцениваются по числу сотрудников: до 25 — 1, до 100 — 3, до 300 — 4, до 1000 — 6, свыше 1000 — 10;
- сценарии тестирования: минимум 2, далее по формуле max(2, ceil(критичные системы / 2)).
В эту сумму не входят все возможные меры ИБ, только те, которые напрямую сокращают простой, ускоряют восстановление и помогают выполнить требования регуляторов.
Вердикт для руководителя
- Если годовая стоимость защиты ниже стоимости одного вероятного инцидента, инвестиции экономически оправданы уже при одном серьёзном простое.
- Если защита дороже одного инцидента, решение всё равно может быть оправдано при нескольких инцидентах в год или более длительном простое.
- Регуляторные последствия по ПДн и КИИ добавляют к риску не только штрафы, но и обязательные затраты на реагирование.