ОЦЕНКА И ПРИОРИТИЗАЦИЯ РИСКОВ ИБ: СРАВНЕНИЕ КОЛИЧЕСТВЕННЫХ И КАЧЕСТВЕННЫХ МЕТОДОВ

Аннотация. В статье проведён сравнительный анализ количественных и качественных методов оценки рисков информационной безопасности. Рассматриваются ключевые методологии, их преимущества и ограничения, а также критерии выбора подхода в зависимости от зрелости организации. Предложена гибридная модель, объединяющая достоинства обоих методов.

Ключевые слова: риски информационной безопасности, количественная оценка рисков, качественная оценка рисков, ALE, FAIR, OCTAVE, STRIDE, ISO 27005, управление рисками ИБ.

1. Введение

В условиях нарастания киберугроз оценка рисков информационной безопасности становится стратегическим инструментом управления. Именно от результатов этого процесса зависят инвестиционные решения в области защиты информации, выбор контрмер и распределение бюджета ИБ. Специалист сегодня располагает двумя принципиально различными подходами: количественным — основанным на математических моделях — и качественным — опирающимся на экспертные оценки. Настоящая статья анализирует сильные стороны, ограничения и критерии выбора каждого из них.

2. Количественные методы оценки рисков

Количественный подход выражает риск в денежном эквиваленте, используя такие показатели, как ALE (Annual Loss Expectancy — ожидаемые годовые потери), SLE (потери от единичного инцидента) и ARO (частота возникновения). Пример: сервер стоимостью 10 млн руб. при коэффициенте воздействия 0,8 и частоте атаки 0,3 раза в год даёт ALE = 2,4 млн руб./год — именно эта сумма является порогом экономической целесообразности контрмеры.

Методология FAIR (Factor Analysis of Information Risk) расширяет этот подход, разбивая риск на управляемые факторы и позволяя моделировать сценарии атак. Количественные методы применяются в специализированных инструментах: RiskLens, RSA Archer, ServiceNow GRC.

Ключевые преимущества: убедительное финансовое обоснование для руководства, сопоставимость рисков в единой метрике, основа для оценки ROI защитных мер. Ограничения: высокая зависимость от качества исходных данных, трудоёмкость, слабая применимость для оценки репутационного ущерба и редких угроз без статистической базы.

3. Качественные методы оценки рисков

Качественный подход классифицирует риски по ранговым шкалам («высокий/средний/низкий») с визуализацией на тепловой карте рисков (Risk Heatmap). Ведущие методологии: OCTAVE (ориентирована на бизнес-процессы), STRIDE (классификация угроз: Spoofing, Tampering, Repudiation, Information Disclosure, DoS, Elevation of Privilege), PASTA (семиэтапное моделирование угроз с учётом бизнес-контекста).

Преимущества: быстрота проведения, доступность для организаций без зрелой программы ИБ, широкий охват угроз включая нестандартные, совместимость с ISO 27001, NIST CSF и требованиями ФСТЭК России. Ограничения: субъективность экспертной оценки, отсутствие стандартизированной интерпретации шкал, затруднённое финансовое обоснование инвестиций.

4. Сравнительный анализ методов

Основные характеристики методов систематизированы в таблице 1.

Таблица 1.

Сравнение количественных и качественных методов оценки рисков ИБ

Выбор методологии определяется зрелостью процессов ИБ, доступностью данных об инцидентах, целью оценки и требованиями регуляторов. Количественный подход предпочтителен для обоснования конкретных инвестиций; качественный — для оперативной приоритизации и охвата широкого спектра угроз.

5. Гибридный подход и практические рекомендации

Оптимальная стратегия — интеграция обоих методов: качественный анализ обеспечивает быстрый охват всего ландшафта угроз, а количественный применяется точечно для топ-рисков с целью финансового обоснования контрмер. Такой подход закреплён в ISO/IEC 27005:2022 и NIST RMF, а также совместим с Методикой оценки угроз ФСТЭК России (2021).

Практические рекомендации специалисту по ИБ:

– начинать с качественной оценки — она даёт быстрый результат и не требует исторических данных;

– инвестировать в сбор данных об инцидентах для постепенного перехода к количественному анализу;

– для 5–10 критических рисков выполнять расчёт ALE и обосновывать стоимость защитных мер перед руководством;

– закреплять критерии шкал качественной оценки в регламентах для минимизации субъективности;

– пересматривать оценки не реже одного раза в год и после значимых изменений инфраструктуры.

6. Заключение

Ни количественные, ни качественные методы не являются универсальным решением. Первые обеспечивают точность и финансовую убедительность, но требуют зрелой инфраструктуры данных. Вторые — доступны и гибки, но ограничены в обосновании инвестиций. Гибридный подход, при котором качественный анализ охватывает весь реестр рисков, а количественный углубляет оценку критических из них, позволяет специалисту по ИБ стать стратегическим партнёром бизнеса и принимать обоснованные решения в условиях неопределённости.