Науково-методичний підхід до оптимізації витрат на кібербезпеку підприємства в умовах обмеженості ресурсів

Анотація

У статті наведено результати дослідження, спрямованого на створення науково-методичного підходу до економічно обґрунтованого формування витрат на кібербезпеку підприємства в умовах обмеженості ресурсів та зростання кількості багатопрофільних загроз нульового дня. Особливу увагу надано поєднанню багаторівневого технологічного захисту (Defense-in-Depth) з кількісною оцінкою виробничих та фінансових втрат від кібератак, що дає змогу оптимізувати структуру інвестицій у кіберзахист.

Мета статті. Розробленння науково-методичного підходу до оптимізації витрат на кібербезпеку підприємства в умовах зростання загроз нульового дня, що дає змогу визначити оптимальну структуру інвестицій у кібербезпеку, забезпечити раціональний розподіл бюджету та мінімізувати потенційні збитки від кіберінцидентів

Методи дослідження. У дослідженні застосовано методи економіко-математичного моделювання, порівняльного аналізу інструментів кіберзахисту, елементи ризик-орієнтованого підходу, а також кількісну оцінку прямих і непрямих втрат від простою виробництва. Для ілюстрації запропонованого підходу використано умовний приклад невеликого виробництва електронних комплектуючих подвійного призначення із розрахунком втрат від простою та показника окупності витрат на кібербезпеку (ROICC).

Отримані результати дослідження. Побудовано узагальнену таблицю інструментів кіберзахисту від загроз нульового дня із визначенням їх ефективності, недоліків, платформ реалізації та орієнтовної вартості за фіксованої кількості серверних хостів. Сформовано структуру річних витрат на кібербезпеку підприємства з урахуванням технологічних рішень і витрат на кваліфікований персонал. Запропоновано підхід до розрахунку загальних втрат від простою виробництва внаслідок успішної кібератаки, який охоплює прямі та непрямі складові (downtime losses, ремонт обладнання, штрафи, втрачені замовлення). Доведено, що вже за кілька діб простою сукупні збитки можуть перевищувати річні видатки на кібербезпеку, що обґрунтовує економічну доцільність превентивних інвестицій. На основі цього сформульовано показник окупності витрат на кібербезпеку (ROICC) як інструмент прийняття управлінських рішень щодо масштабу та структури захисних заходів.

Теоретичне та практичне значення викладеного у статті полягає в подальшому розвитку підходів до економічної оцінки кіберризиків шляхом інтеграції моделей оцінки загроз нульового дня, ризик-орієнтованої логіки та аналізу витрат у єдиний науково-методичний підхід до оптимізації кіберзахисту підприємства. Практичне значення полягає в можливості використання запропонованого підходу керівниками підприємств (особливо виробничих та критично важливих технологічних об’єктів) для обґрунтування бюджетів на кібербезпеку, ранжування та комплектації інструментів захисту, а також для оцінки ефекту від реалізації заходів у вигляді скорочення ймовірних втрат від кібератак.