Опубликовано: 18.09.2026 | Источник: ComNews

Экономика кибербезопасности в дипломе: расчёт эффекта 1:12 и метрики ROI для защиты ВКР

**Поддомен:** Cybersecurity / Информационная безопасность **Роль:** Специалист по ИБ (Security Architect & Compliance Lead) **Схема структуры:** C — Введение → FAQ → Темы ВКР (карточки) → Основная часть → Чек-лист → Ошибки → CTA → Эксперт → Источник

Введение: почему цифра 1:12 меняет постановку задач в дипломе

Индустрия кибербезопасности России впервые оценила свой вклад в экономику в мультипликативных терминах: каждый вложенный в защиту ИС рубль принёс до 12 рублей совокупного эффекта, а общий вклад оценивается в 3,6–5,3 трлн рублей. Для выпускника это не абстрактная макроэкономика, а готовый каркас для третьей главы ВКР. Комиссия всё чаще спрашивает не «какие уязвимости вы закрыли», а «сколько это стоило бизнесу и что он сэкономил». Умение перевести техническое решение в деньги — тот навык, который отличает защищаемую работу по ИБ от «ещё одного обзора OWASP». Ниже — как встроить эту логику в структуру ВКР, какие метрики считать и где взять данные, если доступа к реальной инфраструктуре нет.

FAQ: 4 вопроса, которые задаёт каждый второй студент-безопасник

Где взять данные для оценки эффекта ИБ, если нет доступа к реальной компании?

Используйте публичные источники: отчёты Positive Technologies об актуальных атаках, Verizon DBIR, статистику ЦБ РФ по ущербу от кибермошенничества, кейсы из обзоров R-Vision и «Лаборатории Касперского». Для ВКР этого достаточно, если вы корректно укажете источник и год. Плюс — собственный стенд на Docker/ВМ, где вы эмулируете инцидент и считаете потери на модели.

Какую метрику ROI использовать — она ведь сильно зависит от допущений?

Берите не одну, а набор: ALE (Annualized Loss Expectancy), ROI по формуле (снижение ущерба — стоимость решения) / стоимость решения, и NPV за 3 года. В приложении обязательно дайте таблицу чувствительности: как меняется ROI при ±20% к стоимости лицензий и к вероятности атаки. Комиссия любит, когда автор честно показывает границы модели.

Обязательно ли делать собственный SOC/SIEM или можно ограничиться моделью?

Можно ограничиться моделью, если вы её проверите. Разверните Wazuh или ELK в Docker, сгенерируйте тестовые события через Atomic Red Team, настройте 3–5 правил детекта по MITRE ATT&CK и покажите, что детект работает. Это займёт вечер, но превратит теоретическую главу 2 в практическую, а вам даст скриншоты для приложений.

Как связать техническую часть с экономической, чтобы не получилось «двух отдельных дипломов»?

Введите промежуточный слой — модель киберриска. Технические меры (WAF, SIEM, EDR) снижают вероятность реализации угроз из ATT&CK; вероятность умножается на стоимость актива из реестра — получаете деньги. Одна таблица на 15 строк связывает обе части. Этот приём часто используют в работах, где нужно заказать диплом с реальной защитой, но и самостоятельно его реализовать вполне по силам.

Три темы ВКР, которые напрямую опираются на статью

• Тема 1. Оценка экономической эффективности корпоративного SOC на базе open-source SIEM.

  Актуальность: статья подтверждает, что инвестиции в защиту дают мультипликативный эффект — значит, SOC нужно уметь обосновывать экономически, а не только технически.

  Цель: разработать методику расчёта ROI и построить прототип SOC с метриками MTTD/MTTR.

  Задачи: 1) обзор SIEM-решений и метрик; 2) развернуть Wazuh/ELK-стенд; 3) настроить детекты по ATT&CK; 4) рассчитать ROI по модели ALE.

  Структура: Гл.1 — анализ рынка и стандартов (ISO/IEC 27001, NIST CSF); Гл.2 — проектирование и развёртывание стенда; Гл.3 — тестирование, замеры и экономическая оценка.

• Тема 2. Количественная модель киберрисков веб-приложения на основе MITRE ATT&CK и FAIR.

  Актуальность: прямой ответ на вопрос «сколько стоит защита» — то, что индустрия впервые измерила в масштабах ВВП.

  Цель: построить модель, переводящую техники ATT&CK в денежные потери через методологию FAIR.

  Задачи: 1) картировать OWASP Top 10 на ATT&CK; 2) собрать реестр активов и вероятности; 3) рассчитать ALE для трёх сценариев; 4) валидировать модель на смоделированных инцидентах.

  Структура: Гл.1 — теория риск-менеджмента и стандарты; Гл.2 — модель и её реализация (Python); Гл.3 — сценарии, симуляция, выводы.

• Тема 3. Защита веб-сервиса по OWASP Top 10 с расчётом экономического эффекта внедрения WAF.

  Актуальность: типовой дипломный проект, в который легко встроить экономический слой из статьи.

  Цель: показать, как снижение поверхности атаки конвертируется в деньги.

  Задачи: 1) аудит учебного приложения; 2) внедрение ModSecurity/CRS и WAF; 3) пентест до/после; 4) расчёт эффекта через CVSS и стоимость активов.

  Структура: Гл.1 — OWASP, CVSS, угрозы; Гл.2 — реализация защиты и конфигурация; Гл.3 — тестирование, метрики, ROI.

Как встроить материал статьи в главы ВКР

Глава 1: превращаем макроэкономику в теоретическую рамку

Не пересказывайте статью — используйте её как источник постановки проблемы. В первом разделе уместно дать таблицу сопоставления: «макротренд из статьи → метрика уровня компании → метрика уровня технического решения». Например: 1:12 на уровне ВВП превращается в ROI проекта, а тот — в снижение ALE. Обязательно добавьте схемы: контекстную диаграмму C4 уровня System Context (компания, SOC, внешние угрозы, регулятор) и диаграмму классов угроз по OWASP Top 10. Так глава 1 перестаёт быть рефератом.

Глава 2: реализация прототипа и сбор технических метрик

Здесь — стенд в Docker: Wazuh Manager, агенты, тестовая ВМ с имитацией атак через Atomic Red Team. Настраиваете детекты и фиксируете MTTD и MTTR. Ниже — пример правила Sigma для детекта подозрительной аутентификации, которое пойдёт и в приложение, и в текст главы.

title: Suspicious Failed Logon Followed by Success
id: 7c3f4d2a-1b3e-4b52-9f2a-9b1c4e77a101
status: experimental
description: Детектирует серию неуспешных входов и последующий успешный — сценарий brute-force
logsource:
  product: windows
  service: security
detection:
  selection_fail:
    EventID: 4625
  selection_success:
    EventID: 4624
  timeframe: 5m
  condition: selection_fail | count() > 5 by IpAddress and selection_success
level: high
tags:
  - attack.credential_access
  - attack.t1110

Отдельно опишите схему потоков данных: агент → менеджер → индексер → дашборд. Простая ASCII-схема сгодится, если под рукой нет инструмента для UML.

[Endpoint] --> [Wazuh Agent] --> [Wazuh Manager] --> [Indexer] --> [Dashboard]
                                         |
                                         v
                                   [Alerting: Email/Telegram]

Глава 3: экономическая оценка и скрипт расчёта ROI

Ключевой раздел. Берём модель ALE = SLE × ARO. SLE — стоимость единичного инцидента, ARO — частота за год. После внедрения защиты ARO падает. Разницу вычитаем из стоимости решения. Ниже — минимальный скрипт для ВКР: его можно положить в приложение и упомянуть в автореферате.

def roi(ale_before: float, ale_after: float, cost: float, years: int = 3) -> dict:
    """
    ale_before - ожидаемые потери в год до внедрения
    ale_after  - ожидаемые потери после внедрения
    cost       - стоимость внедрения и сопровождения за год
    """
    saved = ale_before - ale_after - cost
    roi_pct = saved / cost * 100 if cost else 0
    npv = sum(saved / (1.15 ** t) for t in range(1, years + 1))
    return {"annual_saving": round(saved, 2),
            "roi_percent": round(roi_pct, 2),
            "npv_3y": round(npv, 2)}

# пример: 12 млн до, 3 млн после, 4 млн стоимость
print(roi(ale_before=12_000_000, ale_after=3_000_000, cost=4_000_000))

Такой расчёт — прямая иллюстрация тезиса статьи: если отношение «сэкономленное/затраченное» превышает 1, инвестиция оправдана. У вас появится числовой вывод, который комиссия запомнит.

Чему вы научитесь, пока будете это делать

• Строить модель угроз и переводить CVSS/ATT&CK в денежные потери.
• Разворачивать SIEM-стенд на open-source и настраивать детекты по Sigma.
• Считать ROI, ALE и NPV — и защищать допущения модели перед комиссией.
• Оформлять схемы (C4, BPMN, диаграммы классов) и приложения по ГОСТ 34.601 и ГОСТ 19.402.
• Связывать три главы ВКР единой логикой «угроза → мера → эффект».

Источник: Сектор ИБ на ВВП. Каждый рубль, вложенный в инфобез, дал 12 рублей эффекта (опубликовано 2026-03-24)