Как оценить риски в кибербезопасности. Лучшие инструменты и практики

Разложение может считаться информативным и в случае, когда в результате его проведения диапазон расширяется, но только при условии, что это ставит под сомнение предполагаемый изначальный диапазон. Например, пусть требуется оценить воздействие нарушения работоспособности системы, при котором в течение ограниченного времени будет недоступно приложение, задействованное в каком-либо ключевом процессе (скажем, принятии заказов). Допустим, изначально воздействие оценили в диапазоне от 150 000 до 7 млн долл., что показалось слишком неопределенным, и было решено разложить его дальше на длительность отключения системы и стоимость одного часа простоя. Предположим, что, согласно оценкам, отключение продлится от 15 минут до 4 часов, а стоимость одного часа простоя составляет от 200 000 до 5 млн долл. Укажем также, что речь идет о логнормальном распределении для каждого фактора (как отмечалось в главе 3, оно часто применяется в тех случаях, когда значение не может быть меньше нуля, но может оказаться очень большим). Снизится ли в итоге неопределенность? Удивительно, но нет, если под «снижением неопределенности» понималось сужение диапазона воздействия, поскольку при произведении этих двух логнормальных распределений получается более широкий 90 %-ный ДИ от 100 000 до 8 млн долл. Но, даже несмотря на это, новый диапазон может считаться полезным, так как, вероятно, будет точнее отражать возможное воздействие, чем первоначальный диапазон.

Здесь стоит добавить небольшое примечание: если вы решили, что диапазон произведений находится путем перемножения нижних пределов и перемножения верхних пределов, то нет, для получения двух независимых случайных величин расчеты проводятся иначе. А если сделать, как указано, то получится диапазон от 50 000 до 20 млн долл. (0,25 часа умножить на 200 000 долл. в час для нижнего предела и 4 часа умножить на 5 млн в час для верхнего предела). Такой вариант мог быть верным, только если бы две переменные идеально коррелировали друг с другом, а это очевидно не наш случай.

Итак, разложение на составляющие может пригодиться хотя бы просто в качестве проверки реалистичности начального диапазона. Оно также может потребоваться при выполнении симуляций со множеством отдельных событий, складывающихся в риск на уровне портфеля, как показано в табл. 6.1. Когда аналитики оценивают большое количество отдельных событий, не всегда понятно, каковы последствия этих отдельных оценок на уровне портфеля. В нашей практике однажды был случай, когда профильные специалисты оценили вероятности примерно сотни отдельных событий в диапазоне от 2 до 35 %. После чего выяснилось, что, согласно симуляции, в год происходит около дюжины значимых событий. Одному из менеджеров подобные риски показались нереалистичными, ведь ни одно из этих значимых событий не случалось ни разу за последние пять лет. Все бы встало на свои места, если бы эксперты предположили, что стоит ожидать резкого увеличения частоты событий (оценка проводилась более двух лет назад, и мы можем уверенно сказать, что роста не произошло). Но вместо этого оценщики решили иначе взглянуть на вероятности, чтобы они не так сильно расходились с наблюдаемой реальностью.

Резюмируя правила разложения на составляющие

Суть разобранных примеров можно свести к двум фундаментальным правилам разложения на составляющие.

• Правило разложения № 1. Для разложения следует использовать факторы, которые лучше поддаются оценке, или данные, которые можно получить (т. е. не выделять величины еще более умозрительные, чем исходные).

• Правило разложения № 2. Результат разложения стоит сравнивать с прямой оценкой, выполняя симуляцию, как только что было показано в примере с отключением. Возможно, это приведет к отказу от разложения, если полученные результаты покажутся абсурдными, или же к решению скорректировать первоначальный диапазон.

На практике, чтобы применяемая стратегия разложения на составляющие оставалась информативной, нужно помнить еще несколько моментов. Разложение имеет определенные математические последствия, которые необходимо учитывать, чтобы определить, стал ли уровень неопределенности меньше, чем раньше.

• Если вы рассчитываете уменьшить неопределенность, перемножив две переменные, полученные при разложении, то эти переменные должны обладать не просто меньшей неопределенностью, чем начальный диапазон, а желательно намного меньшей. Как правило, соотношение верхнего и нижнего пределов переменных должно быть намного меньше трети соотношения между верхним и нижним пределами исходного диапазона. В примере из предыдущего раздела отношение пределов исходного диапазона было около 47 (7 млн долл. / 150 000 долл.), в то время как два других диапазона имели соотношения пределов 16 и 25 соответственно.