Оценка экономического ущерба при категорировании КИИ: показатели № 8, № 9, № 10 и проект методики ФСТЭК
Как субъекту КИИ оценить экономический ущерб при категорировании: показатели экономической значимости № 8 (ущерб субъекту КИИ), № 9 (ущерб бюджетам РФ) и № 10 (прекращение финансовых операций) перечня ПП-127, расчётные соотношения проекта методического документа ФСТЭК, наихудший сценарий и составляющие ущерба, экспертный метод и состав экспертной группы. Почему методика ФСТЭК остаётся проектом, чем руководствоваться до её утверждения и как комиссия по категорированию может правомерно применить расчётные соотношения проекта.
При категорировании объекта КИИКритическая информационная инфраструктура — Информационные системы и сети госорганов и организаций ключевых отраслей; режим защиты установлен 187-ФЗ. комиссия оценивает возможные последствия компьютерной атаки по показателям критериев значимости. Помимо социальных, политических, экологических и оборонных показателей перечень включает три экономических: ущерб субъекту КИИ (показатель № 8), ущерб бюджетам Российской Федерации (показатель № 9) и прекращение финансовых операций (показатель № 10). Они установлены перечнем показателей критериев значимости, утверждённым постановлением Правительства РФ от 08.02.2018 № 127 (ПП-127). Проблема в том, что перечень задаёт пороговые значения (проценты, миллионы единиц), но не объясняет, как получить эти числа в рублях. Эту методическую задачу закрывает проект документа ФСТЭКФедеральная служба по техническому и экспортному контролю — Регулятор технической защиты информации (ИСПДн, ГИС, КИИ); ведёт реестр сертифицированных СЗИ. России.
Материал продолжает статью о пошаговом категорировании объектов КИИ и посвящён именно экономической части оценки. Прикинуть ущерб по показателю № 8 можно в калькуляторе экономического ущерба КИИ, а итоговую категорию по всем показателям — в калькуляторе категорирования КИИ.
Важно: методика ФСТЭК остаётся проектом
Документ «Рекомендации по оценке показателей критериев экономической значимости объектов критической информационной инфраструктуры Российской Федерации» подготовлен ФСТЭК России, но остаётся проектом и официально не утверждён — в шапке стоит гриф «УТВЕРЖДАЮ… „__“ февраля 2021 г.» без подписи и даты. Обязательной силы нормативного правового акта он не имеет. Ниже разобрано, чем руководствоваться до его утверждения и как правомерно применить предложенные в нём расчёты.
Три экономических показателя перечня ПП-127
Экономические показатели применяются не ко всем субъектам сразу — каждый привязан к определённому типу организации:
| Показатель | Что измеряет | Кому применим | Пороги К3 / К2 / К1 |
|---|---|---|---|
| № 8 — ущерб субъекту КИИ | Снижение уровня дохода, % от годового дохода, усреднённого за 5 лет | Госкорпорации, ГУП, госкомпании, стратегические АО и предприятия (перечень Указа № 1009) | 1–10 % / более 10, но не более 20 % / более 20 % |
| № 9 — ущерб бюджетам РФ | Снижение выплат (отчислений) в бюджеты, % прогнозного годового дохода федерального бюджета за 3 года | Субъекты КИИ, осуществляющие выплаты (отчисления) в бюджеты: госорганы, госучреждения, российские юридические лица | более 0,0003 %, но не более 0,0006 % / более 0,0006 %, но не более 0,001 % / более 0,001 % |
| № 10 — прекращение финансовых операций | Среднедневное количество операций, млн единиц | Системно значимые кредитные организации, операторы услуг платёжной инфраструктуры значимых платёжных систем, системно значимые инфраструктурные организации финансового рынка | по типу субъекта (см. перечень ПП-127) |
Круг субъектов КИИ приведён по действующей редакции статьи 2 187-ФЗ: это государственные органы, государственные учреждения и российские юридические лица. Индивидуальные предприниматели исключены из числа субъектов КИИ Федеральным законом от 07.04.2025 № 58-ФЗ с 1 сентября 2025 года.
Правило перечня: если по одному из показателей объект отнесён к первой категории, расчёт по остальным можно не проводить. И наоборот — неприменимость экономического показателя нужно обосновать (например, субъект не относится к типам организаций показателя № 8 или не осуществляет выплат в бюджеты по показателю № 9).
Правовой статус: чем руководствоваться до утверждения методики
Пока рекомендации ФСТЭК не утверждены, у субъекта КИИ есть три опоры для оценки экономического ущерба:
- Отраслевые методики. Для ряда сфер (энергетика, связь, банковская сфера, промышленность) действуют ведомственные и отраслевые методики оценки ущерба и последствий аварий — их применение обоснованно и не противоречит ПП-127.
- Собственные подходы по согласованию с ФСТЭК. Сам проект в пункте 1.6 допускает, что субъекты КИИ по согласованию с ФСТЭК России могут разрабатывать собственные подходы к оценке показателей экономической значимости с учётом отраслевой специфики функционирования объектов.
- Проект методики ФСТЭК как основа. Расчётные соотношения проекта можно взять за основу — при условии, что решение об этом принято уполномоченным органом субъекта (см. ниже).
Как правомерно применить расчёты проекта через комиссию по категорированию
Оценка показателей экономической значимости — компетенция комиссии по категорированию (пункт 2.4 проекта). Чтобы правомерно применить формулы проекта, комиссия может:
- своим решением сформировать экспертную группу — проект прямо предусматривает это в пункте 4.3 для оценок, в основе которых лежат экспертные методы;
- принять проект методического документа ФСТЭК (или его расчётные соотношения) за основу оценки экономического ущерба и зафиксировать это протоколом;
- провести расчёт по принятым формулам и отразить обоснование в акте категорирования.
Такой порядок не превращает проект ФСТЭК в обязательный нормативный акт, но даёт правомерное основание применить его расчётные соотношения: субъект использует не «неутверждённый документ ФСТЭК», а методический подход, принятый решением собственной комиссии для конкретного категорирования и зафиксированный в его материалах. В состав экспертной группы для расчёта экономического ущерба проект рекомендует включать специалистов по основной деятельности и по эксплуатации технологического оборудования, работников по обеспечению безопасности (информационной безопасности) объектов КИИ и работников финансово-экономического подразделения.
Показатель № 8: ущерб субъекту КИИ
Показатель № 8 определяется снижением уровня дохода субъекта КИИ, наступающим в результате компьютерной атаки на объект. Оценка ведётся по наихудшему сценарию целенаправленной атаки, приводящему к прекращению или нарушению критических процессов и максимально возможному ущербу. Компенсирующими мерами защиты, снижающими ущерб, разрешено считать только те, реализация которых не может быть нарушена самой атакой.
Численное значение показателя — это доля снижения дохода в среднем годовом доходе за пять лет:
Показатель № 8 = ΔD / Дср × 100 %
где ΔD — суммарный ущерб (снижение дохода) от прекращения или нарушения всех критических процессов, обеспечиваемых объектом, а Дср — объём доходов субъекта (с НДС, акцизами и иными обязательными платежами), усреднённый за прошедший пятилетний период по данным бухгалтерской отчётности. Если субъект существует менее пяти лет, усреднение проводится за годы существования.
Из чего складывается суммарный ущерб
Ущерб от нарушения каждого критического процесса (формула 3 проекта) суммирует единовременные составляющие и почасовые, растущие пропорционально времени простоя. В расчёт входят, в частности:
- затраты на медицинское лечение пострадавших и возмещение вреда людям (пенсии, пособия, компенсации);
- затраты на ликвидацию аварии и устранение её последствий, возмещение ущерба имуществу третьих лиц;
- затраты на зарплату и условно-постоянные расходы за время простоя, содержание и эксплуатацию простаивающего оборудования, ресурсы на остановку и запуск производства (почасовые составляющие);
- затраты на устранение недостатков продукции и оплату сверхурочного труда персонала, привлекаемого для ликвидации последствий;
- потери от неустоек, штрафов и пеней за невыполнение договоров, от срыва предварительных контрактов и отказа контрагентов, репутационные потери;
- потери от уничтожения (повреждения) материально-производственных запасов и товарно-материальных ценностей;
- недополученная прибыль за время простоя и прямые финансовые потери, связанные с хищением или необратимой утратой средств.
Два практических правила: если прекращение нескольких процессов приводит к одному и тому же последствию, эти затраты учитываются один раз; если составляющая ущерба возникнуть не может — её значение принимается равным нулю.
Пороговые значения категорий
По полученному проценту показатель № 8 даёт категорию: снижение дохода более 20 % — первая (высшая) категория, более 10 %, но не более 20 % — вторая, от 1 % до 10 % — третья; менее 1 % — по этому показателю категория не достигается. Напомним: показатель № 8 применим только к госкорпорациям, ГУП, госкомпаниям, стратегическим АО и предприятиям — для остальных субъектов экономику оценивают по показателям № 9 и № 10.
Показатель № 9: ущерб бюджетам Российской Федерации
Показатель № 9 в принципе применим к любому субъекту КИИ, но по существу оценивает снижение выплат (отчислений) в бюджеты РФ. Поэтому у субъектов, которые таких выплат не осуществляют, показатель либо неприменим, либо принимает нулевое значение, что необходимо обосновать. Итог выражается в процентах от прогнозируемого годового дохода федерального бюджета, усреднённого за планируемый трёхлетний период (данные Минфина России).
Расчёт заметно сложнее, чем по показателю № 8: снижение выплат складывается из снижения налога на прибыль, налога на добычу полезных ископаемых, выплат от дивидендов по акциям в собственности РФ и налога на дивиденды, а также снижения выплат сторонних организаций и сборов в бюджеты. Каждая составляющая считается через свои коэффициенты по данным налоговой и бухгалтерской отчётности за прошедший год. Пороговые значения — доли процента: более 0,0003 %, но не более 0,0006 % (К3); более 0,0006 %, но не более 0,001 % (К2); более 0,001 % (К1).
Показатель № 10: прекращение финансовых операций
Показатель № 10 применим, если субъект является одним из указанных лиц — системно значимой кредитной организацией, оператором услуг платёжной инфраструктуры системно и (или) социально значимых платёжных систем либо системно значимой инфраструктурной организацией финансового рынка — и при этом обеспечивает проведение клиентами операций по банковским счетам (или без открытия счёта). Он оценивается среднедневным количеством операций (в млн единиц), которые могут быть прекращены или нарушены атакой:
Показатель № 10 = количество операций за год / число календарных дней в году
Для действующих объектов берётся статистика за прошедший год, для создаваемых — прогнозные значения из проектной документации. Неприменимость показателя обосновывается тем, что субъект не относится к перечисленным типам организаций или не проводит клиентских операций.
Экспертный метод и его риски
Величины затрат и потерь, а также время восстановления процессов оцениваются экспертным методом (или методом аналогий — по последствиям произошедших инцидентов с идентичными объектами). Проект отдельно предупреждает о субъективных факторах: занижение экспертами прогнозов может повлечь непрогнозируемый ущерб, а завышение — неоправданные расходы на защиту от неактуальных угроз. Поэтому любое экспертное решение при моделировании угроз должно исходить из принципа гарантированности — предположения, что нарушитель находится в наилучших условиях для реализации угрозы.
Взаимозависимые объекты и процессы
Если работа объекта зависит от другого объекта, ущерб оценивается исходя из предположения о нарушении того объекта, от которого зависит оцениваемый. Если критический процесс зависит от другого критического процесса того же субъекта — учитывается совокупный масштаб последствий всех взаимосвязанных процессов. Если нарушение процесса влияет на процесс другой организации, оценка по возможности проводится с учётом совокупных последствий и для неё.
Что зафиксировать в обосновании
Обоснованием полученного значения экономического показателя в сведениях о результатах категорирования служат: величины затрат и потерь по критическим процессам; значения времени прекращения или нарушения процессов; данные о доходах (для показателя № 8) или о выплатах в бюджеты и отчётности (для показателя № 9); а также краткое описание произведённого расчёта. Эти данные и расчёт прикладываются к акту категорирования и предъявляются при проверке ФСТЭК.
Пометка о статусе расчёта
Приведённые формулы и составляющие ущерба воспроизводят расчётные соотношения проекта методического документа ФСТЭК России, который на дату публикации официально не утверждён. Любой расчёт по ним носит ориентировочный характер, а его применение при категорировании корректно оформлять решением комиссии по категорированию (при необходимости — с привлечением экспертной группы) и обосновывать в акте. При наличии утверждённой отраслевой методики приоритет отдаётся ей.
Главное
Перечень ПП-127 требует оценить экономический ущерб по показателям № 8, № 9 и № 10, но методику расчёта не устанавливает. Проект рекомендаций ФСТЭК даёт готовые формулы, однако остаётся проектом и не обязателен. До его утверждения субъект КИИ руководствуется отраслевыми методиками, а расчётные соотношения проекта применяет правомерно, если комиссия по категорированию приняла их за основу и, при необходимости, сформировала экспертную группу. Ущерб оценивается по наихудшему сценарию и максимально возможным потерям, а результат и обоснование фиксируются в акте категорирования.