Калькулятор ROSI (Return on Security Investment)

Порядок работы

• Впишите текущий годовой бюджет ИБ клиента (в млн ₽) — используется для проверки против Gordon-Loeb ceiling сценария.
• Настройте сценарий риска: TEF (частота угрозы в год), Vulnerability (%), и triplet ущерба Min / Most Likely / Max (в млн ₽).
• Можно добавить до 3 инициатив. По каждой считается собственный ROSI (сравнение с baseline, как если бы она была принята одна). По всему пакету активных инициатив вместе считается совокупный ENBIS.
• Ниже — полный количественный отчёт по сценарию: сводка, рейтинг риска, LEC-кривая, ключевые драйверы, интерпретация — по образцу CRQ-отчётов FAIR-класса.

На чём сфокусировать клиента

• ROSI инициативы — (ΔALE − Cost) / Cost относительно baseline. Положительное значение — инициатива окупается.
• ENBIS — совокупная выгода всего пакета инициатив сценария (ΔALE пакета минус его суммарная стоимость), не сумма отдельных ROSI.
• Критерий Риска — сопоставляет P95 (тяжёлый год) с Gordon-Loeb ceiling; удобная сводная метка для нетехнического стейкхолдера, пояснение — в блоке «Критерий Риска» ниже.

• Результаты — оценки модели, полностью зависящие от вводных аналитика. Качество вводных = качество результата.
• Распределения выражают неопределённость, но предполагают, что выбранная форма (PERT, Poisson) разумна. Реальные убытки могут иметь более тяжёлые хвосты, чем в модели.
• Анализ покрывает один сценарий изолированно — не учитывает корреляцию с другими сценариями, каскадные эффекты или общие первопричины в портфеле.
• Эффекты нескольких инициатив в пакете перемножаются (компаундинг Vulnerability), не складываются — это консервативное упрощение, не модель синергии/антагонизма контролей.
• Условия угроз и контролей считаются стабильными на горизонте в 1 год; существенное изменение среды обесценивает оценку.
• Монте-Карло даёт статистический шум; при 10 000 итерациях он невелик, но не равен нулю.
• Floor-механизм (нижняя граница бюджета) не реализован — открытый вопрос методики GRC_Wizard.
• Цифры — снимок на момент расчёта; обновляйте по мере изменения вводных, угроз или контролей.

• FAIR — Factor Analysis of Information Risk, таксономия и метод количественной оценки ИБ-риска в деньгах.
• Loss Event Frequency (LEF) — ожидаемое число убыточных событий в год.
• Threat Event Frequency (TEF) — как часто злоумышленник действует против актива, независимо от исхода.
• Vulnerability — вероятность, что угроза превращается в убыточное событие.
• Loss Magnitude (LM) — финансовый ущерб от одного события.
• Монте-Карло — сэмплирование распределений вводных на множестве симулированных лет для получения распределения исходов.
• Перцентиль (P90/P95/P99) — значение ущерба, ниже которого лежит указанная доля симулированных лет.
• Loss Exceedance Curve (LEC) — график вероятности, что годовой ущерб достигнет или превысит заданную сумму.
• Value at Risk (VaR) — пороговый убыток, не превышаемый с заданной доверительной вероятностью.
• Критерий Риска — сводная метка (Низкий/Средний/Высокий/Критический) на основе P95 относительно Gordon-Loeb ceiling; подробности в блоке «Критерий Риска» ниже.