Калькулятор экономического ущерба при категорировании КИИ
Ориентировочная оценка показателя № 8 — ущерба субъекту КИИ (снижение дохода) — по расчётным соотношениям проекта методики ФСТЭК России. Введите затраты и потери по наихудшему сценарию компьютерной атаки — калькулятор посчитает суммарный ущерб, долю от среднего дохода за пять лет и категорию значимости по этому показателю.
Расчёт ведётся по проекту методики ФСТЭК. «Рекомендации по оценке показателей критериев экономической значимости объектов КИИ» остаются проектом и официально не утверждены (в шапке документа — «УТВЕРЖДАЮ… „__“ февраля 2021 г.» без подписи и даты). Обязательного статуса нормативного акта они не имеют.
Перечень ПП-127 обязывает оценить показатели экономической значимости, но методику расчёта в рублях не задаёт. Субъект КИИ вправе применять отраслевые методики, а по согласованию с ФСТЭК — разрабатывать собственные подходы с учётом отраслевой специфики (п. 1.6 проекта).
Чтобы применить расчётные соотношения проекта на практике, субъект КИИ может решением комиссии по категорированию сформировать экспертную группу (проект прямо предусматривает это в п. 4.3) и принять расчётные соотношения проекта ФСТЭК за методическую основу — это не делает проект обязательным нормативным актом, но даёт правомерное основание применить его формулы для конкретного категорирования и зафиксировать обоснование в акте.
Как считается показатель № 8
Показатель № 8 перечня ПП-127 — возникновение ущерба субъекту КИИ (государственной корпорации, ГУП, государственной компании, стратегическому акционерному обществу или предприятию), оцениваемое снижением уровня дохода в процентах от годового объёма доходов, усреднённого за пять лет. Ущерб определяется по наихудшему сценарию компьютерной атаки, приводящему к максимально возможным потерям:
Показатель № 8 = ΔD / Дср × 100 %, где ΔD = Σ (единовременные затраты и потери) + (потери за час простоя) × T
ΔD — суммарный ущерб от прекращения или нарушения критических процессов, обеспечиваемых объектом; Дср — средний годовой доход субъекта КИИ за пять лет; T — время простоя в часах. Составляющие ущерба (формула 3 проекта) — затраты на лечение и возмещение вреда людям, ликвидацию аварии, ущерб имуществу третьих лиц, простой и восстановление производства, неустойки и потери по договорам, репутационные потери, уничтожение ТМЦ, прямые финансовые потери. Если одно и то же последствие возникает от нарушения нескольких процессов — оно учитывается один раз.
| Снижение дохода (показатель № 8) | Категория значимости |
|---|---|
| более 20 % | К1 — первая (высшая) категория |
| более 10 %, но не более 20 % | К2 — вторая категория |
| от 1 % до 10 % | К3 — третья категория |
| менее 1 % | по этому показателю категория не достигается |
Кому применим показатель № 8. Только субъектам КИИ, которые являются государственной корпорацией, государственным унитарным предприятием, государственной компанией, стратегическим акционерным обществом или стратегическим предприятием (по перечню Указа Президента РФ № 1009). Для остальных субъектов ущерб оценивается по показателю № 9 (снижение выплат в бюджеты РФ), а для системно значимых организаций финансового рынка — по показателю № 10 (прекращение финансовых операций).
Итоговая категория объекта — наивысшая среди достигнутых по всем показателям значимости. Прикинуть её по всем критериям поможет калькулятор категорирования КИИ, а порядок процедуры разобран в статье «Оценка экономического ущерба при категорировании КИИ».
Калькулятор носит справочный характер и реализует укрупнённый расчёт показателя № 8 по проекту методического документа ФСТЭК России, который официально не утверждён. Точная оценка проводится комиссией по категорированию (при необходимости — с привлечением экспертной группы) с раздельным учётом каждого критического процесса и обосновывается в акте категорирования.