ЦРКБ · Экспертиза

Калькулятор ущерба
от инцидентов ИБ.

Оценка финансовых, материальных и операционных последствий нарушений кибербезопасности: прямой, косвенный и стратегический ущерб, уровни доказательности, интервальная оценка, итоговый уровень последствий, индексы NSI, GSCI, TSI, HSI и интегральный показатель CII, а также ALE/ROSI и веса значимости активов.

По Методике оценки и расчётов ущерба (проект, Астана, 2026). Все суммы в тенге; МРП 2026 = 4 325 ₸, МЗП 2026 = 85 000 ₸. Расчёт выполняется в браузере, введённые данные никуда не отправляются и не сохраняются. Для официальной оценки ущерба обратитесь к экспертам института.

Общие сведения об организации и оценке

Эти значения используются во многих формулах сразу и заполняются один раз.

Тип организации / объекта

Статус Государственный орган (применяется U_{gov_recovery}, п. 4.7.1) Субъект / объект КВЦО (веса CII для КВЦО/ГО, расчёт NSI и TSI обязателен)

Вид оценки Каскадный ущерб U_cascade и компонента CE рассчитываются только в сводной оценке (п. 2.6.4).

База сравнения B_base (₸)

Тип базы сравнения CII и F_rel сопоставимы только в пределах одного типа базы (п. 6.1, гл. 7).

Потоковая база для справки (₸) При стоимостной базе F_rel к потоковой базе приводится дополнительно (п. 6.1).

МРП на год инцидента (₸) Используется только в абсолютном критерии п. 6.1 (10 000 и 100 000 МРП).

МЗП на год инцидента (₸) Для C_time физических лиц (п. 4.4.2).

H_month – рабочих часов в месяц По производственному календарю года инцидента.

Период недоступности и операционное воздействие

Если уровень деградации менялся, разбейте период на интервалы с постоянным K_degradation (п. 4.2, 4.7.2). T_down = сумма интервалов.

T_down – суммарная длительность недоступности–

Справка: K_degradation (п. 4.2, прил. В)

Характер недоступности	K_degradation
Незначительное ограничение отдельных функций	0,25
Частичная деградация функциональности	0,50
Существенное ограничение ключевых функций	0,75
Полная недоступность системы, сервиса или процесса	1,00

Критерии операционного воздействия (п. 6.2)

Доля затронутых процессов / пользователей / операций, %Берётся наибольшая из долей.

RTO / максимально допустимое время недоступности по SLA, чДля критерия остановки ключевой функции и условия расчёта U_social.

Остановка ключевой функции / сервиса / производства Ключевая функция была остановлена Были работоспособные резервные / ручные / альтернативные процедуры Остановка сверх RTO или без резервных процедур – критический уровень; в пределах RTO при резервных процедурах – высокий.

Характер операционного влияния (иные обстоятельства) Для КВЦО, АСУ ТП, госуслуг, финсектора допускается повышение до высокого/критического (п. 6.2).

Нарушение конфиденциальности

Нарушение целостности

Блок 1. Прямые финансовые затраты (п. 4.1)

U_financial = C_loss + C_recovery + C_response + C_legal

C_loss – прямые потери денежных средств (₸)Хищение, несанкционированные транзакции, недополученные обязательные платежи.

C_recovery – восстановление систем, данных, инфраструктуры (₸)

C_response – реагирование, внешние специалисты, уведомление субъектов (₸)

C_legal – юридические, судебные расходы, штрафы, компенсации пострадавшим (₸)

Для госорганов, госцифровых систем и сервисов цифрового правительства C_recovery и C_response не применяются: эти расходы учитываются в U_{gov_recovery} (п. 4.7.1, вкладка «Исходные данные», блок 8.1).

Выкуп, уплаченный злоумышленникам (₸) – справочноВ ущерб не включается, выводится отдельной справочной строкой. Восстановление после выкупа – в C_recovery.

Страховое возмещение и иные компенсации от третьих лиц (₸)Ущерб приводится до и после учёта возмещения. Для нацстатистики – до учёта.

НДС, подлежащий зачёту или возмещению, в ущерб не включается. Стоимость замены оборудования перенесена в материальный ущерб (блок 2).

Блок 2. Материальный ущерб (п. 4.1)

U_material = C_replace + C_repair + C_goods

C_replace – стоимость замещения уничтоженных активов за вычетом физического износа (₸)Стоимость улучшения характеристик не включается.

C_repair – фактическая стоимость ремонта восстанавливаемых активов (₸)

C_goods – сырьё, материалы, продукция, не учтённые в C_hour и ΣC_tech (₸)

Остаточная (балансовая) стоимость уничтоженных активов (₸) – справочноКак мера ущерба не применяется, но приводится в отчёте.

Блок 3. Потери от недоступности и простоя (п. 4.2)

(4.10) U_downtime = Σ T_k × K_deg,k × (C_оп × K_irrec + C_расх) + ΣC_tech (4.11) U_downtime = Σ T_k × C_hour × K_deg,k + ΣC_tech

Способ задания C_hour Резервный способ даёт нижнюю границу потерь, уровень доказательности не выше «Р».

Состав C_hour Выделены части C_оп (невыполненные операции) и C_расх (понесённые расходы) – формула (4.10)

C_hour – совокупная стоимость часа простоя (₸/ч)Потери выручки – по маржинальному доходу, не по валовой выручке.

ΣC_tech – разовые технологические затраты (₸)Безопасная остановка, повторный запуск, восстановление режима, потери сырья и продукции – если не учтены в C_hour.

Уровень доказательности U_downtime

C_hour может уже включать потери выручки, штрафы по SLA, простой персонала и расходы на восстановление. Такие элементы не дублируются в U_productivity, U_financial, U_{service_continuity} и U_cascade. Состав C_hour фиксируется в матрице (п. 8.2).

Блок 4. Потери производительности труда (п. 4.3)

U_productivity = N × H × C_h × K

Простой персонала уже включён в C_hour – отдельно не рассчитывается

N – количество затронутых сотрудников

H – потерянное рабочее время, ч

C_h – стоимость рабочего часа сотрудника (₸/ч)Если задана, поля ФОТ можно не заполнять.

ФОТ подразделения за месяц, включая обязательные отчисления работодателя (₸)

N_staff – сотрудников в подразделенииH_month берётся из общих сведений.

K – коэффициент снижения эффективности По умолчанию – середина диапазона; отклонение обосновывается (п. 4.3).

Уровень доказательности U_productivity

Отраслевой коэффициент S_sector в новой редакции не применяется. Сверхурочные и привлечённые специалисты учитываются в C_response или C_{extra_staff}.

Блок 5. Репутационный ущерб (п. 4.4.1)

U_rep = R_avg × P_churn × T_recovery × M

R_avg – среднемесячная выручка за 12 мес. до инцидента (₸)

P_churn – доля потери клиентов / выручки (0–1) Это пиковое значение (в расчёт берётся P_churn / 2)

T_recovery – период восстановления репутации, мес.

M – коэффициент маржинальности (0–1)Обязателен: ущерб – утраченный маржинальный доход, не оборот.

Ставка дисконтирования, % годовыхБазовая ставка НБ РК на дату оценки или WACC. Применяется к месяцам после 12-го.

Уровень доказательности U_rep

Сценарии: P_churn мин / макс

Сценарии: T_recovery мин / макс, мес.

Справка: P_churn и T_recovery (п. 4.4.1)

Тип инцидента	P_churn
Локальный без утечки и без публичного раскрытия	0,005–0,015
Недоступность сервиса до 24 ч	0,01–0,03
Недоступность сервиса более 24 ч	0,02–0,05
Утечка ПДн ограниченного масштаба	0,02–0,04
Массовая утечка ПДн	0,04–0,07
Компрометация финансовых, платёжных или критичных клиентских данных	0,05–0,10
Публично значимый инцидент с широким медийным освещением	0,07–0,12
Повторный инцидент в течение 12 мес.	+0,02–0,04

Значения выше верхней границы строки допускаются только при фактических данных о клиентской базе.

Категория организации	T_recovery, мес.
Малый бизнес	3–6
Средний бизнес	6–12
Крупный бизнес	12–18
Финансы, телеком, e-commerce, цифровые платформы	12–24
Повторный или публично значимый инцидент	18–36

Блок 6. Потеря потенциальных контрактов (п. 4.4.3)

U_contracts = N_potential × V_avg × (P_before − P_after) × M, P_after = max(0; P_before − ΔP)

N_potential – контрактов / тендеров в работе

V_avg – средняя стоимость контракта (₸)

P_before – историческая конверсия за ≥ 12 мес. (0–1)

ΔP – снижение вероятности заключения (0–1)

M – маржинальность / доля выгоды (0–1)Если не определить даже по отраслевой статистике – оставьте пустым: расчёт по (4.18) идёт справочно как верхняя граница и в ущерб не включается.

Уровень доказательности U_contracts

Сценарии: ΔP мин / макс

Справка: снижение вероятности ΔP (п. 4.4.3)

Характер инцидента	ΔP
Локальный непубличный инцидент	0,01–0,03
Публичный инцидент без утечки данных	0,03–0,07
Утечка ПДн или клиентской информации	0,07–0,15
Компрометация финансовых, коммерческих или конфиденциальных данных	0,10–0,20
Критический инцидент с остановкой ключевых сервисов	0,15–0,25
Повторный инцидент в течение 12 мес.	+0,03–0,07

Блок 7. Иные отложенные финансовые последствия (п. 4.4.4)

U_deferred = Σ max(0; V_баз − V_факт)_доходы + Σ max(0; V_факт − V_баз)_{затраты} + ΣC_trust

Доходные показатели (выручка, иные поступления)

Затратные показатели (страховые премии, стоимость заёмного финансирования)

ΣC_trust – затраты на восстановление доверия (₸)Информкампании, компенсационные программы, доп. аудит по требованию контрагентов.

Уровень доказательности U_deferred

Горизонт свыше 12 мес. вводите в приведённой (дисконтированной) стоимости. Снижение капитализации не включается. Не дублируйте суммы из U_rep и U_contracts.

Блок 8. Стратегический ущерб – исходные данные (п. 4.7)

8.1 Восстановление государственных функций (п. 4.7.1)

U_{gov_recovery} = C_restore + C_{extra_staff} + C_emergency + C_audit

C_restore – восстановление госцифровых систем, данных, интеграций (₸)

C_{extra_staff} – персонал, эксперты, подрядчики (₸)

C_emergency – временные, резервные, аварийные механизмы (₸)

C_audit – аудит, расследование, экспертиза (₸)

U_{gov_recovery} применяется только для государственных органов (п. 4.7.1). Отметьте «Государственный орган» в общих сведениях, если это так.

8.2 Непрерывность государственных услуг (п. 4.7.2)

U_{service_continuity} = Σ T_k × C_{service_hour} × K_deg,k, C_{service_hour} = B_annual / H_annual

Стоимость простоя госсервиса уже включена в C_hour – повторно не рассчитывается

B_annual – годовой бюджет эксплуатации и предоставления сервиса (₸)

H_annual – нормативных часов работы сервиса в годКруглосуточно = 8760.

C_{service_hour} (₸/ч)

Уровень доказательности U_{service_continuity}

8.3 Замещение критических технологий (п. 4.7.3)

U_{tech_replacement} = C_substitution + C_migration + C_integration + C_retraining + C_dependency

C_substitution – альтернативная технология (₸)

C_migration – миграция данных и процессов (₸)

C_integration – интеграция решения (₸)

C_retraining – обучение персонала (₸)

C_dependency – временное сохранение зависимости (₸)

8.4 Ущерб общественным интересам (п. 4.4.2)

U_social = N_affected × R_repeat × T_user × C_time

N_affected – затронутые физические лица

C_time физлиц = МЗП / H_month (₸/ч)Заполняется автоматически (округление до тенге), можно изменить.

N_affected – затронутые юрлица и ИП

C_time юрлиц – стоимость рабочего часа (₸/ч)По п. 4.3 или среднеотраслевая по официальной статистике.

R_repeat – доля повторных обращений

T_user – доп. время одного субъекта, ч

Сценарии: R_repeat мин / макс

Сценарии: T_user мин / макс, ч

МРП как база общественного воздействия не применяется. U_social не превышает 20 % B_base и не рассчитывается, если недоступность не превысила RTO / SLA без нарушения конфиденциальности и целостности. Уровень «Р» при фактических R_repeat и T_user, иначе «Н».

8.5 Каскадный межотраслевой ущерб (п. 2.6.4, 4.5) – только сводная оценка

U_cascade = Σ_i Σ_j≠i Loss_i × C_ij C_ij = 0,4·D_proc + 0,3·D_infra + 0,3·D_service Σ_jC_ij ≤ 1, иначе пропорциональная нормировка.

Источник Loss_i Включайте только отрасли и организации, не представившие собственных отчётов.

В отчёте пострадавшей организации U_cascade = 0 (п. 2.6.4). Каскадный ущерб считает уполномоченный орган в сводной оценке.

Прямой ущерб (формула 4.2)

U_direct = U_financial + U_material + U_downtime + U_productivity

U_financial – прямые финансовые затраты Д–

U_material – материальный ущерб Д–

U_downtime – потери от простоя –

U_productivity – потери производительности труда –

U_direct – итого прямой ущерб–

Детализация

Применённая формула U_downtime–

C_hour применённая (₸/ч)–

C_h стоимость рабочего часа (₸/ч)–

Остаточная (балансовая) стоимость уничтоженных активов – справочно–

Косвенный ущерб (формула 4.3)

U_indirect = U_rep + U_contracts + U_deferred

U_rep – репутационный ущерб (коммерческий сектор) –

U_contracts – потеря потенциальных контрактов –

U_deferred – иные отложенные последствия –

U_indirect – итого косвенный ущерб–

U_contracts по упрощённой формуле (4.18) – справочно, верхняя граница, «Н», в ущерб не входит–

Ущерб общественным интересам (п. 4.4.2) в косвенный ущерб не входит: он учитывается в стратегическом ущербе (формула 4.5).

Стратегический ущерб

Рассчитывается для государственных органов, субъектов КВЦО, объектов критической инфраструктуры и систем национального значения. Для выбранного типа и статуса организации не применяется.

Стратегический ущерб (формулы 4.4, 4.5)

U_strategic = U_{gov_recovery} + U_{service_continuity} + U_{tech_replacement} + U_cascade + U_social

U_{gov_recovery} – восстановление госфункций Д–

U_{service_continuity} – нарушение непрерывности госуслуг –

U_{tech_replacement} – замещение критических технологий Д–

U_cascade – каскадные межотраслевые эффекты –

U_social – ущерб общественным интересам –

U_strategic – итого стратегический ущерб–

HSI – влияние на жизнь и безопасность людей (п. 2.5.1, 4.9)

HSI = P_scenario × S_human × E_exposure × B_barrier

P_scenario – вероятность сценария

S_human – тяжесть для людей

E_exposure – присутствие людей

B_barrier – независимые защитные барьеры

P_scenario получена по LOPA с учётом IPL – B_barrier принимается = 1,0 (техническое условие, правило «критический при S=1 и B=1» не применяется)

HSI–

Шкала: [0; 0,02) низкий · [0,02; 0,08) средний · [0,08; 0,20) высокий · [0,20; 1] критический. Критический при S_human = 1 и фактическом B_barrier = 1; не ниже высокого при S_human = 1 и E_exposure ≥ 0,5. В денежный ущерб не входит.

NSI – влияние на национальную устойчивость (п. 2.6.1)

NSI = Σ (W_i × I_i)

Перечень направлений закрыт, веса установлены Методикой. Иные веса – только решением уполномоченного органа при ΣW_i = 1.

NSI–

Справка: шкала уровня воздействия I_i

I_i	Характеристика
0	Воздействие по направлению отсутствует
0,25	Ограничено одной организацией, компенсируется штатными мерами
0,50	Отдельные госфункции или сервисы в одном регионе; отраслевое реагирование
0,75	Отрасль либо несколько регионов; межведомственное реагирование
1,00	Национальный масштаб; реагирование на уровне государства

GSCI – непрерывность государственных услуг (п. 2.6.2)

GSCI = α·T_n + β·U_n + γ·F + δ·S, T_n = min(T / T_max; 1), U_n – по ступенчатой шкале

Инцидент затронул государственный сервис – GSCI рассчитывается

T_max – критическая длительность, чПо умолчанию 72 ч. RTO / SLA в качестве T_max не применяются. T = T_down.

U – затронутых пользователей

U_max – пользователей сервиса за отчётный год

F – степень нарушения функциональности

S – нарушение SLA по доступности

α (T_n), ≥ 0,25

β (U_n), ≥ 0,25

γ (F)

δ (S), ≤ 0,10

GSCI–

Справка: ступенчатая шкала U_n

U / U_max	U_n
пользователи не затронуты	0
менее 1 %	0,25
от 1 % до 5 %	0,50
от 5 % до 25 %	0,75
25 % и более	1,00

TSI – влияние на технологический суверенитет (п. 2.6.3, 4.8)

TSI = Σ(K_i × Deg_i) / ΣK_i, Deg_i = max(0; 1 − F_after / F_before)

Только критические технологии объекта, затронутые инцидентом; перечень формируется до инцидента. F – доля функций, выполняемых без внешней зависимости (0–1). Временная недоступность без утраты контроля Deg не увеличивает.

TSI–

Индексы NSI, GSCI и TSI рассчитываются для госорганов, субъектов КВЦО и систем национального значения. Для выбранного типа организации применяется только HSI.

Совокупный ущерб (формула 4.1)

U_total = U_direct + U_indirect + U_strategic

Прямой ущерб U_direct–

Косвенный ущерб U_indirect–

Стратегический ущерб U_strategic–

U_total – совокупный ущерб (все уровни доказательности)–

U_{total_расч} – уровни «Д» + «Р» (управленческие решения, ROSI, CII)–

U_{total_док} – уровень «Д» (страхование, суд, финансовый критерий уровня)–

U_total после учёта страхового возмещения и компенсаций–

Справочно: выкуп, уплаченный злоумышленникам (в ущерб не включается)–

Компоненты и уровни доказательности (п. 8.2)

Интервальная оценка (п. 5.1.1, 8.2)

Варьируются показатели, заданные диапазонами (P_churn, T_recovery, ΔP, R_repeat, T_user). Компоненты «Д» не варьируются.

Неопределённость прочих компонентов «Р» и «Н» без диапазонов, ±%U_downtime, U_productivity, U_{service_continuity}, U_deferred, U_cascade, если им присвоен «Р» или «Н».

Минимальный сценарий–

Базовый сценарий–

Максимальный сценарий–

Уровень последствий инцидента (гл. 6)

Итоговый уровень – наивысший из уровней по финансовому критерию, операционному воздействию и индексам NSI, GSCI, TSI, HSI. Граница диапазона относится к более высокому уровню.

Финансовый (F_rel от U_{total_док})

Операционное воздействие, К/Ц

NSI

GSCI

TSI

HSI

ИТОГОВЫЙ УРОВЕНЬ ПОСЛЕДСТВИЙ–

Справочно: F_rel от U_{total_расч} / от U_total–

Справочно: F_rel от U_{total_док} к потоковой базе–

Справка: шкала уровней последствий (п. 6.3)

Уровень	Фин. ущерб к базе (от U_{total_док})	Операционное воздействие	NSI / GSCI / TSI	HSI
Низкий	< 0,1 %	< 2 ч или < 5 %	[0; 0,25)	[0; 0,02)
Средний	0,1–1 %	2–24 ч или 5–25 %	[0,25; 0,50)	[0,02; 0,08)
Высокий	1–5 %	24–72 ч или 25–50 %; остановка ключевой функции в пределах RTO при резервных процедурах	[0,50; 0,75)	[0,08; 0,20)
Критический	≥ 5 %	≥ 72 ч или ≥ 50 %; остановка ключевой функции сверх RTO или без резервных процедур	[0,75; 1]	[0,20; 1]

Абсолютный критерий: U_{total_док} > 10 000 МРП – не ниже среднего, > 100 000 МРП – не ниже высокого.

CII – интегральный показатель (гл. 7)

CII = w₁·F + w₂·O + w₃·M + w₄·R + w₅·NS + w₆·GS + w₇·TS + w₈·HS + w₉·CE

Денежные компоненты – из U_{total_расч} («Д» + «Р»), нормируются по ступенчато-линейной шкале от p = 100·U_comp/B_base. Неприменимые компоненты исключаются с перенормировкой весов; отсутствующие по существу = 0 без перенормировки.

w₁ – финансовое (F)

w₂ – операционное (O)

w₃ – материальное (M)

w₄ – репутационное (R)

w₅ – нац. устойчивость (NS)

w₆ – непрерывность госуслуг (GS)

w₇ – техсуверенитет (TS)

w₈ – жизнь и безопасность (HS)

w₉ – каскадные эффекты (CE)

CII–

Весовые коэффициенты значимости активов (п. 2.6.5)

A_i = 0,5·C_i + 0,3·B_i + 0,2·R_i A'_i = A_i / ΣA_k – для распределения компонентов, рассчитанных по организации в целом.

Сумма к распределению по активам (₸)

Справка: шкалы C_i, B_i, R_i

Знач.	C_i – критичность	B_i – непрерывность	R_i – регуляторная значимость
0,25	Вспомогательный, есть замена	Существенных нарушений нет ранее 72 ч	Спецтребований нет, общедоступная / внутренняя информация
0,50	Отдельные основные процессы одного подразделения	Нарушение при недоступности 24–72 ч	ПДн, отраслевые / договорные требования, SLA с госорганами
0,75	Ключевые процессы, несколько систем зависят	Нарушение при недоступности 2–24 ч	ПДн в значительном объёме, ДСП, требования отраслевого регулятора
1,00	Единая точка отказа ключевой функции или КВЦО	Остановка ключевой функции менее чем за 2 ч	КВЦО, объекты э-правительства, госсекреты

Показатели киберриска ALE и ROSI (п. 5.2.1)

ALE = SLE × ARO ROSI = (ALE_до − ALE_после − C_measure) / C_measure В совокупный ущерб не входят; до накопления нацстатистики применяются добровольно.

SLE (₸)По умолчанию U_{total_расч} текущего расчёта.

ARO до внедрения меры, раз в год

ARO после внедрения меры, раз в год

C_measure – годовые затраты на меру (₸)

ALE_до–

ALE_после–

ROSI–