Квантование киберрисков

Международные организации, такие как Международная организация по стандартизации (ISO) и Национальный институт стандартов и технологий США (NIST), не предписывают единой математической модели для количественной оценки киберрисков. Вместо этого они предоставляют общие рамочные структуры и руководства, в рамках которых могут применяться различные методологии^[4].^[5][6] Для управления киберрисками используется структура NIST CSF 2.0, которая позволяет интегрировать количественные методы. При этом NIST ссылается на независимую модель FAIR (Factor Analysis of Information Risk), предназначенную для количественной оценки киберрисков в финансовых терминах^[4]. В рамках стандартов ISO применяется ISO/IEC 27005:2022 — руководство по управлению рисками информационной безопасности. Этот стандарт не навязывает единый подход, позволяя организациям использовать количественные методы анализа наряду с качественными и полуколичественными^[6].^[5]

Математическое определение киберриска может быть дано следующим образом:

• Киберриск = 1 — Уверенность в кибербезопасности

Уверенность в кибербезопасности — это фактическая доля успешно проведённых тестов. Эту величину можно интерпретировать как вероятность и вычислить соответствующий киберриск:

• Пример 1: проведено и успешно пройдено определённое количество тестов: получена дефектная «уверенность» в 97,43 %. Ответ: киберриск = 2,57 %.
• Пример 2: подтверждено, что все 65 536 TCP-портов и 65 536 UDP-портов на активе не используются или неактивны. Какова стойкость к проникновению? Ответ: уверенность в кибербезопасности = 99,83 %, киберриск = 0,17 %.

Как правило, такая оценка уверенности и/или киберриска называется тестимейт, поскольку:

• позволяет оценить необходимое число тестов для достижения заданного уровня уверенности в кибербезопасности;
• позволяет по количеству реально проведённых и успешно пройденных тестов оценить уровень уверенности и величину киберриска.

Квантование киберрисков используется во множестве практических областей, включая:

Квантование киберрисков активно применяется в сфере киберстрахования^[7]. Для объективной оценки уровня защищённости потенциальных клиентов страховщики требуют проведения превентивных IT-аудитов^[8]. При этом для расчёта страховых премий и определения лимитов покрытия используются скоринговые модели и экосистемный подход.

Квантование киберрисков применяется для оценки возврата инвестиций в кибербезопасность^[9][10]. Этот подход позволяет перевести технические угрозы в понятные для бизнеса финансовые показатели, что актуально для обоснования затрат на защиту сложных распределённых облачных сред^[11].^[12][13] Для расчёта экономического эффекта используется показатель ожидаемой годовой убыточности (ALE), который вычисляется как произведение годовой частоты реализации угрозы на величину убытка от единичного инцидента. На основе ALE рассчитывается возврат инвестиций в безопасность (ROSI): вычисляется отношение разности между снижением ALE и стоимостью защитного решения к стоимости самого решения^[11].^[14] Например, при оценке риска утечки данных из-за неправильной конфигурации облачного хранилища потенциальный годовой убыток (ALE) может составлять 10 млн условных единиц. Внедрение решения класса Cloud Security Posture Management (CSPM) стоимостью 1,5 млн условных единиц способно снизить ожидаемый убыток до 1 млн. В таком случае снижение ALE составит 9 млн, а показатель ROSI достигнет 500 %, что наглядно демонстрирует высокую окупаемость инвестиций в облачную безопасность^[15].^[13]

Квантование киберрисков применяется для оценки стоимости программных мер и смягчения угроз, а также при оценке киберрисков и аудите информационной безопасности^[16]. Количественная оценка является частью технологического аудита (due diligence) при сделках по слиянию и поглощению (M&A). В этом процессе CRQ используется для выявления скрытых затрат, таких как расходы на устранение уязвимостей и интеграцию систем, а также для обоснования стоимости приобретаемого актива^[17]. Кроме того, методы квантования применяются для приоритизации рисков информационной безопасности в цепочках поставок, позволяя выявлять поставщиков и сценарии атак, несущие наибольший потенциальный финансовый ущерб^[18].

Квантование киберрисков играет важную роль в корпоративном управлении при подготовке отчётности для совета директоров. Использование количественной оценки позволяет переводить технические риски на язык бизнеса, демонстрируя потенциальный экономический ущерб вместо обсуждения отдельных уязвимостей. Такой подход даёт возможность руководству принимать обоснованные решения, сопоставлять киберриски с другими видами бизнес-рисков, аргументировать выделение бюджетов на информационную безопасность и приоритизировать меры защиты в зависимости от их финансового влияния^[19].

В контексте развития квантовых вычислений выделяется угроза «Q-Day» — гипотетический момент, когда квантовые компьютеры достигнут мощности, достаточной для взлома широко используемых алгоритмов асимметричной криптографии (таких как RSA и ECC) с помощью алгоритма Шора^[20].^[21]

Количественная оценка данного риска включает моделирование необходимых вычислительных ресурсов, в частности расчёт требуемого количества логических кубитов для успешной атаки. На основе этих данных оценивается вероятность и возможные сроки наступления события^[22].^[23]

Важным этапом является оценка величины потенциального ущерба. При этом учитывается стратегия «собери сейчас — расшифруй позже» (англ. Harvest Now, Decrypt Later), в рамках которой злоумышленники могут перехватывать и сохранять зашифрованные данные уже сегодня с целью их расшифровки в будущем при появлении соответствующих квантовых мощностей^[24].^[25]

Кроме того, комплексная оценка квантовой угрозы включает расчёт финансовых затрат и операционных рисков, связанных с миграцией инфраструктуры на постквантовую криптографию (PQC). Этот процесс требует учёта расходов на обновление уязвимых систем, а также возможных технических сложностей, таких как снижение производительности из-за увеличения размеров криптографических ключей^[26].