Процедура ОРВ широко используется для обоснования способа регулирования тех или иных общественных отношений на основе анализа возможных положительных и отрицательных последствий введения рассматриваемого регулирования и их дальнейшего сопоставления сопоставлении. Ввиду относительно небольшого опыта функционирования института ОРВ существует несколько наиболее применяемых методик экономической оценки последствий, среди них принято выделять следующие:

· Анализ издержек и выгод;

· Анализ издержек и эффективности;

· Мультикритериальный анализПобедин А. А., Федулов Д. В. Экономические методы оценки регулирующего воздействия нормативно-правовых актов //Вопросы управления. - 2016. - №. 4 (22)..

На основании результатов ОРВ мер кибербезопасности КИ для России будут выделены ключевые факторы, препятствующие внедрению данных мер,сформулированы причины невозможности внедрения мер в России при наличии такового заключения по итогам процедуры ОРВ, а также обобщенные рекомендации по снижению экономического бремени, возлагаемого на акторов посредством регулирования.

Анализ выгод и издержек

В данной работе в основу ОРВ ляжет анализ выгод и издержек (cost-benefitanalysis) ключевых стейкхолдеров в стоимостном выражении при установлении государственного регулирования как в детальном виде в зависимости от анализируемой отрасли и типа стейкхолдера, так и в общем виде в соответствии с распределением издержек по группам экономических акторов в рамках модели «государство-бизнес-общество», так как одной из поставленных задач проводимого исследования является расчет баланса «издержки-выгоды» регулирования, который возможен посредством анализа исключительно монетизируемых последствий, которые, по предположению автора, превалируют при анализе выбранных мер. Тем не менее в практической части работы будут отражены и немонетизируемые (квантифицируемые и качественные) последствия, а также предприняты попытки их сведения их к косвенным экономическим величинам, в связи с чем используемая методика имеет также элементы мультикритериального анализа Regulatory Impact Analysis: A Tool for Policy Coherence // OECD [Электронныйресурс] URL: http://www.oecd.org/gov/regulatory-policy/ria-tool-for-policy-coherence.htm (Датаобращения: 16.02.2018). Стоит отметить, что в данной работе государство в целом, как и отдельные государственные структуры, рассматривается исключительно в качестве регулятора. Государственные компании и общества с участием государства в рамках разделения считаются исключительно представителями бизнеса.

Под издержками регулирования в данной работе подразумеваются прямые расходы стейкхолдеров по реализации и контроля за соблюдением анализируемых мер государственного регулирования. При их расчете для каждой анализируемой меры будет составлена карта стейкхолдеров, в соответствии с которой в индивидуальном порядке для каждого вида стейкхолдера будут посчитаны издержки. Далее издержкам будут присвоены значения «низкие-средние-высокие» в соответствии со шкалой (Табл.1), в результате чего уже составленные карты стейкхолдеров будут модифицированы, а типы стейкхолдеров будет ранжированы в зависимости от величины регуляторной нагрузки.

Табл. 1. Распределение стейкхолдеров по шкале в соответствии с размером экономического бремени, возложенного анализируемым регулированием

Категория стейкхолдеров	Группа стейкхолдеров	Описание издержек	Размер издержек	Суммарные издержки
Актор 1	…	…	(высокие)
Актор 2	…	…	(средние)
Актор 3	…	…	(низкие)

На следующем этапе подсчету будут подвергнуты выгоды регулирования. В рамках проводимого исследования выгоды регулирования тождественны издержкам стейкхолдеров при наступлении рискового события, которое планируется избежать посредством анализируемых мер, то есть ввиду отсутствия регулирования. Для этого будет использована процедура анализа риска (riskassessment).

По итогам расчетов для каждой анализируемой меры государственного регулирования будет составлен баланс «выгоды-издержки» регулирования, на основании которого предполагается оценить перспективы внедрения мер по обеспечению кибербезопасности критической инфраструктуры в конкретных областях, сравнить последствия регулирования между Россией и государством-разработчиком анализируемой меры, что в дальнейшем поможет судить о возможности в Российской Федерации мер кибербезопасности в зависимости от жесткости/мягкости текущего регулирования в отрасли.

Оценка риска

Как правило, последствия нарушения работы объектов критической инфраструктуры колоссальны, в связи с чем, с одной стороны, обосновано «жесткое» регулирование безопасности данных объектов со стороны государств. Однако нередко исполнение данных мер и предписаний ложится тяжелым бременем, в первую очередь, на частные компании, владеющие объектами критической инфраструктуры и управляющие ими, в то же время дополнительные издержки ложатся на государство и общество. С другой же стороны, вероятность компьютерной атаки (cyberattacklikelihood) на объекты критической инфраструктуры не столь велика, как и вероятность наступления неблагоприятного исхода данной атаки, что снижает необходимость «жесткого» государственного регулирования, действие которого негативно отражаются на дополнительных издержках всех экономических акторов.Чтобы учесть данную особенность, в работе при оценке регулирующего воздействия анализируемых мер будет использована процедура оценки риска (riskassessment). Использование данного инструмента поможет оценить экономический ущерб от нарушения работы объекта критической инфраструктуры путем его корректировки на вероятность наступления риска, в частности, проведения успешной кибератаки компьютерные системы данного объекта.

Важно отметить, что при расчете будет использоваться не частотность самого инцидента, а именно статистика успешной кибератаки, то есть случаев использования уязвимости компьютерной системы, даже если оно не привело к наступлению неблагоприятных последствий.

Согласно рекомендациям Совета ОЭСР анализ риска (riskassessment) или анализ возникновения рисковых ситуаций - это «методология определения характера и степени риска путем анализа потенциальных опасностей и оценки существующих условий уязвимости, которые вместе могут потенциально нанести вред людям, имуществу, услугам, средствам к существованию и окружающей среде». Recommendation of the Council on the Government of Critical Risks / OECD. May 2014 [Электронный ресурс] URL: http://www.oecd.org/gov/risk/Critical-Risks-Recommendation.pdf (Дата обращения: 16.02.2018)

В рамках международных стандартов алгоритм проведения анализа риска состоит из 3 ключевых этапов ISO/IEC, "Information technology -- Security techniques-Information security risk management" ISO/IEC FIDIS 27005:2008:

· Определениериска (Risk Identification)

· Расчетриска (Risk Estimation)

· Постаналитическая оценка риска (RiskEvaluation)

Определение риска.На этапе определения риска формируются сценарии последствий наступления неблагоприятного события. Для формирования полноценного сценария, характерного для IT-отрасли, необходимо определить следующие элементы:

· Первичные активы и их поддержка (бизнес-процессы и связанная с ними информация)

· Угрозы

· Существующие и запланированные меры безопасности

· Уязвимости

· Последствия

· Связанные бизнес-процессы.

По своей сути большинство кибератак не способно нанести физический урон непосредственно компьютерным системам, за исключением компьютерного червя Stuxnet, первого и единственного вируса, способного физически разрушить инфраструктуру и предназначенного для приостановки ядерной программы в Иране. В связи низкой распространенностью и узостью примененияStuxnet не будет учитываться в данной работе, следовательно, необходимость определения первичных активов (компьютерных систем) для оценки нанесения им ущерба в ходе последующих этапов анализа риска в рамках данной работы перестает быть актуальной.

Одной из целей использования методики riskassessment в данной работе является оценка регулирующего воздействия уже существующих мер обеспечения безопасности, в связи с чем данный раздел не будет рассматриваться в ходе построения сценариев на этапе идентификации риска.

Таким образом, в данном исследовании ввиду описанной специфики критической инфраструктуры и характера угроз для идентификации риска необходимо определить ключевые угрозы для отдельно взятых компьютерных систем, связанные с ними бизнес-процессы, уязвимости и угрозы, а также последствия.

При анализе последствий в рамках использования riskassessment непосредственно для критической инфраструктуры производится оценка влияния угрозы на население, экономику, окружающую среду, безопасность территории, репутацию государства и его влиятельность, общество All Hazards Risk Assessment Methodology Guidelines 2012-2013 / Government of Canada [Электронныйресурс] URL: https://www.publicsafety.gc.ca/cnt/rsrcs/pblctns/ll-hzrds-ssssmnt/index-en.aspx (Датаобращения: 16.02.2018). Однако вданной работе будет исключен анализ влияния на репутацию и влиятельность государства, а также общество в целом в связи с относительностью данных категорий и трудностями измерения при экономической оценке ущерба, вызванного последствиями наступления неблагоприятного исхода. Помимо этого, из анализа будет исключена безопасность территории в качестве отдельной категории, однако частично она будет рассмотрена при анализе других категорий.

Таким образом, в качестве результата на данном этапе должны быть сформированы таблицы со сценариями последствий успешной кибератаки (Табл. 2).

Табл. 2. Форма представления информации по угрозам в соответствии с методикой исследования

Уязвимость, цель кибератаки (комп. система)	Угроза	Связанные бизнес-процессы	Сценарий последствий	Последствия успешной кибератаки

Расчет риска. На стадии оценки риска непосредственно производится оценка последствий наступления неблагоприятного исхода. Различают 2 подхода к оценке риска: качественный и количественный. Качественный подход к оценке риска подразумевает проведение интервью для сбора информации, на основе которой производится дальнейшая оценка риска. Данный подход используется для проведения быстрой и довольно поверхностной оценки. Количественный метод, который будет использован непосредственно в данной работе, основан на использовании статистических данных и подразумевает довольно точную (при наличии соответствующих данных) экономическую оценку ущерба.

В рамках использования riskassessment в качестве убытка от возникновения риска рассчитывается годовой ожидаемый убыток, основанный на данных о количестве случаев неблагоприятного исхода (успешных кибератак) в год и убытка от одного случая наступления рискового события и описываемый следующей формулой:

(1),

где ALE (AnnualizedLossExpectancy) - годовой ожидаемый убыток, ARO (AnnualRateofOccurrence) - годовая интенсивность потока событий, а SLE (SingleLossExpectancy) - ожидание единичной потери Vacca J. R. Computer and information security handbook. - Newnes, 2012..

В свою очередь, ожидание единичной потери рассчитывается на основе цены актива при учете коэффициента воздействия на этот актив в соответствии с со стандартом ISO 27005 ISO/IEC, "Information technology -- Security techniques-Information security risk management" ISO/IEC FIDIS 27005:2008.

(2),

где AV (AssetValue) - цена актива, а EF (ExposureFactor) - фактор воздействия.

Под фактором воздействия в данном случае подразумевается коэффициент, отображающий долю потери актива, вызванной наступлением рискового события.

Ввиду того, что непосредственно самому активу, то есть компьютерной системе, на которую совершается кибератака, урон не может быть нанесен, но наносится ущерб связанным с данной системой бизнес-процессам, а также категориям, не являющимся составными элементами анализируемого объекта критической инфраструктуры, в данной работе ожидание единичной потери будет рассчитано в качестве суммы ущерба, нанесенного категориям, перечисленных ранее.

n (3)

Для каждого последствия, выявленного на стадии определения риска, экономический ущерб будет вычислен в индивидуальном порядке.

Стоит отметить, что вирус Stuxnet может разрушать физически инфраструктуру, однако его узконаправленное применение (объекты ядерной промышленности) позволяет исключить его из данного исследования и ввести ограничение невозможности нанесения физического урона компьютерным системам посредством кибератаки в рамках данной работы.

Постаналитическая оценка риска. На заключительном этапе экономический ущерб, выявленный в ходе каждого сценария, будет распределен в соответствии со стейкхолдерами для подсчета их суммарных прямых издержек от отсутствия регулирования, по итогам которого все стейкхолдеры будут распределены по шкале издержек отсутствия регулирования. Помимо этого, всем рассмотренным угрозам будут присвоены категории в зависимости от частотности кибератаки и величины суммарных издержек стейкхолдеров для обозначения их приоритетности для последующего управления рисками.

2. ПРАКТИЧЕСКАЯ ЧАСТЬ

2.1 «Жесткое» регулирование кибербезопасности КИ. Гражданскаяавиация

Аэронавигационная система нового поколения

Регуляторы в США осознают масштабы угрозы безопасности гражданской авиации в киберпространстве ввиду многочисленных обнаруженных уязвимостей ее компьютерных систем, в связи с чем было принято решение об использовании комплексного подхода для ликвидации данных чувствительных к атакам пробелов в безопасности путем реализации масштабной программы модернизации гражданской авиации NextGen в Соединенных Штатах. Данная программа направлена на техническое улучшение различных составляющих гражданской авиации, однако, в первую очередь, они призваны повысить уровень кибербезопасности в отрасли.

Программа модернизации Национальной системы управления воздушным движением (National Airspace System) Next Generation Air Transportation System (Next Gen) была разработана Федеральным агентством воздушного транспорта (Federal Aviation Administration) еще в 2007 году, однако окончание ее реализации намечено на 2025 год, в то время как большинство требований, содержащихся в ней, вступят в силу уже в 2020 году.

Фактически NextGen является не единой программой, а комплексом программ, систем и процедур по усовершенствованию организации воздушного трафика и его управления. В общем виде она содержит 5 крупных программ FAA FY 2019 Budget Estimates // U.S. Department of Transportation [Электронныйресурс] URL: https://www.transportation.gov/mission/budget/faa-fy-2019-budget-estimates (Датаобращения: 13.04.2018):

· Automatic dependent surveillance-broadcast (ADS-B)

· En Route Automation Modernization (ERAM) Technology Refresh

· Data Communications

· 2-йсегментSystem Wide Information Management (SWIM)

· National Airspace System (NAS) Voice System

NextGen была разработана с целью снижения издержек в отрасли и уменьшению негативного воздействия на окружающую среду посредством перехода существующей системы УВД наземного базирования к использованию более точных спутниковых технологий, то есть посредством ростом цифровизации операционных процессов. В работе будет оценена обоснованность данной программы непосредственно в рамках повышения уровня кибербезопасности гражданской авиации.

Несмотря на тот факт, что данное работа рассматривает только одну сферу, затрагиваемую NextGen, для повышения компьютерной безопасности отрасли необходима реализация всех составляющих элементов данной комплексной программы модернизации, так как их корректное функционирование взаимосвязано между собой, что значительно упрощает процедуру расчетов издержек регулирования.

Как уже было отмечено ранее, программа является первым этапом перехода к использованию спутниковых технологий в авиации, в связи с чем основные издержки по ее реализации завязаны на тестировании необходимого нового оборудования и его приобретением ключевыми отраслевыми стейкхолдерами к 2020 году, когда вступает в силу требование по его обязательному использованию операторами воздушного движения.

Примечательно, что для реализации данной программы FAA были привлечены партнеры самого различного характера: авиакомпании, аэропорты, производители авиационного оборудования, государственные органы США и других стран, отраслевые организации и вузы. В целом же всех стейкхолдеров, интересы которых затрагивает NextGen, можно условно разделить на 8 групп (Приложение5):

· Государственные органы

· Ассоциации

· Производители и поставщики оборудования

· Авиакомпании

· Аэропорты

· Пользователи аэропортов

· Общественность

· Некоммерческие организации.

Широкий круг представленных стейкхолдеров во многом объясняется разносторонностью программы и охватываемых ею сфер жизнедеятельности человека. В рамках данного исследования будут рассмотрены лишь несколько из них, ключевых экономических агентов, затронутых сферой кибербезопасности в части издержек и выгод устанавливаемого регулирования: FAA (государство), авиакомпании и страховые компании (бизнес), пассажиры (население).Вторая группа (страховые компании) введена исключительно для дальнейшего проведения оценки риска.

Внедрение программы в США

Для проведения оценки регулирующего воздействия сперва необходимо обозначить роль каждого стейкхолдера через призму издержек регулирования и оценить их совокупную величину для оценки экономического бремени, возлагаемого рассматриваемыми регуляторными мерами на протяжении всего срока реализации NextGen.

На основании заявленных расходов бюджета в рамках NextGenFAA планирует потратить порядка $20,600 млн на реализацию программы (см. Приложение6), при этом часть данных расходов будет направлена на деятельность Технического центра Уильяма Дж. Хьюса (WJHTC), который является единственной в своем роде базой FAA для исследования, тестирования, оценки и развития NAS с условиями, максимально приближенными к реальным (Pre-Implementation Stage, см. Приложение6).Остальная сумма бюджетных расходов будет направлена на переустройство основной инфраструктуры и развитие информационно-коммуникационных систем. Тем не менее, внушительные издержки по непосредственной реализации NextGen возложены на негосударственных экономических агентов.

Табл. 3. Издержки авиаперевозчиков по переоборудованию ВС, в $млрд Update to the Business Case of NextGen // U.S. Department of Transportation [Электронныйресурс] URL: https://www.transportation.gov/mission/budget/faa-fy-2019-budget-estimates (Датаобращения: 13.04.2018)

OperatorType	BaselinedImprovements	AnticipatedImprovements	TotalImprovements
CommercialAviation	4.5	0.8	5.3
GeneralAviation	4.6	5.2	9.8
Total	9.1	6.0	15.1

По оценке Министерства транспорта США, покупка и установка нового оборудования обойдется американским авиакомпаниям более, чем в $15 млрд. Если распределить данные издержки среди 10 крупнейших по пассажиропотоку американских авиакомпаний (при учете того, что 3 из них контролируют 80% всех авиаперевозок США), то издержки на оборудование одного воздушного судна необходимой техникой в краткосрочном периоде составят $3,6 млн.

Ожидается, что авиакомпании попробуют в среднесрочном периоде переложить экономическое бремя на пользователей услуг авиаперевозок - пассажиров. Если полагать, что авиакомпании предпочтут окупить оборудование к окончанию реализации программы NextGen при объеме пассажиро оборота авиалиний США, приближенного к значениям 2015 года (798,4 млн чел.), то стоимость авиабилетов в среднем возрастет минимум на $1,89, что не ударит по потребительскому кошельку.

В соответствии с проанализированными данными наибольшие издержки несут государство и бизнес, в тоже время издержки населения невелики при условии их распределения между пассажирами.

Табл.4. Издержки регулирования по стейкхолдерам (NextGen)

Категория стейкхолдеров	Группа стейкхолдеров	Описание издержек	Размер издержек ($ млрд)
Государство	FAA	Заявленные бюджетные расходы по реализации программ	20.6
Бизнес	Авиакомпании	Переоборудование ВС (краткосрочный период)	15.1
Население	Пассажиры	Повышение стоимости авиабилетов (среднесрочный период)	15.1

Далее на основе процедуры оценки рискарассчитаем издержки отсутствия регулирования (выгоды регулирования).

Как уже было сказано прежде, ядром программы служит переход на спутниковую навигацию, в результате которого будет сокращено число наземных локационных установок, подвергавшихся кибератакам с целью введения в систему коммуникации ложных данных о фактическом местоположении самолета в системе «земля-воздух» и рельефе близлежащих территорий.

Реализация данной комплексной программы модернизации поможет ликвидировать сразу 2 серьезные уязвимости компьютерных систем ГА. Ликвидация первой из них - пробелы в системе безопасности коммуникации с воздушным судном посредством наземных локационных установок, которые могут использоваться хакерами для передачи ложной информации о местоположении ВС - являлась одной из целей NextGenIV Международная конференция «Беспилотная авиация - 2017» //Центр стратегических разработок в гражданской авиации [Электронный ресурс] URL: http://aviacenter.org/d/166600/d/bespilotnyye_aviatsionnyye_sistemy_i_kiberbezopasnost.pdf (Дата обращения: 08.01.2018). Другая же - взаимосвязь бортовых систем с сетью WiFi, раздаваемой на борту для общего пользования - была случайно обнаружена уже после утверждения программы, о ней уже упоминалось прежде. В целом кибератаки, основанные на данных уязвимостях, проводятся с целью тестирования систем безопасности и для целенаправленного нанесения ущерба и приводят к схожим последствиям: к нарушению запланированного маршрута полета с последующим нарушением расписания ряда рейсов и их задержкой, а также к авиакатастрофам.

Вторая уязвимость позволяет целиком контролировать полет, в отличие от первой, что дает возможность злоумышленнику более точно реализовать свой замысел, что повышает вероятность нанесения большего урона. Тем не менее, в целях упрощения проведения расчетов экономических последствий по представленным сценариям, в общем виде совпадающим для обеих обозначенных уязвимостей, данное исследование будет основываться на равенстве оценочных величин данных последствий для указанных уязвимостей.

Существует еще один сценарий развития событий с установлением ряда требований со стороны террористов во избежание совершения террористического акта, однако в рамках данной работы не рассматривается, однако, такой вариант развития события имеет место быть.

В рамках дальнейшего исследования будут рассмотрено 3 общих сценария: задержка рейса, крушение 1 воздушного судна на открытой местности и столкновение нескольких (2) воздушных суден на открытой местности. Ввиду сложности подсчета экономических потерь в случае падения одного/нескольких самолетов на территории населенного пункта, а также отсутствия негативных последствий при тестировании компьютерных систем на уязвимости, данные сценарии исключаются из последующего анализа. Помимо этого, рассматриваются инциденты, произошедшие в воздухе, в связи с чем исключаются потенциальные экономические потери аэропортов.

Согласно сдержанно оптимистичному сценарию кибератаки на наземные системы локации, авиакомпания терпит дополнительные издержки только непосредственно за простой ВС. За среднюю стоимость задержки рейса в США на сутки примем стоимость задержки воздушного суднаAirBusA380, общей вместимость до 400 пассажиров, которая составляет €925,000, что приблизительно соответствует $1087153 (по курсу Forexна 19.05.2018) Во сколько обходится задержка A380? [Электронный ресурс] URL: http://aviakomplekt.ru/skolko-stoit-prostoj-a380/ (Дата обращения: 04.05.2018). В данную стоимость уже включены услуги аэропорта и компенсационные выплаты пассажирам задержанного рейса. Наиболее популярной моделью ВС в США является BoeingB737-800, в частности, самолеты данной модели составляют практически 1/3 авиапарка самой крупной по пассажирообороту американского авиаперевозчика American Airlines (304/951) American Airlines Fleet Details and History [Электронныйресурс] URL: https://www.planespotters.net/airline/American-Airlines (Датаобращения: 12.04.2018). Данная модель вмещает в себя до 160 пассажиров. Условимся, что издержки простоя находятся в прямо пропорциональной зависимости от вместимости ВС, тогда издержки суточной задержки В737-800 составляют порядка $434861.

Издержки же пассажиров можно представить в качестве суммы, тождественной сумме компенсационной выплаты за задержку рейса, то есть не более $700, следовательно, общие издержки данной группы стейкхолдеров от суточной задержки одного рейсаB737-800 составит $112 тысяч Claim compensation for your flight delay or cancellation // AirHelp [Электронныйресурс] URL: https://www.airhelp.com/en/ (Датаобращения: 08.05.2018).

При этом государственные структуры не несут ответственность за задержку рейсов, в связи с чем их издержки в рамках данного сценария равны нулю. Никакого влияния задержка рейса не оказывает и на жителей населенных пунктов, в связи с чем их издержки также равны нулю.

В рамках второго сценария в случае крушения самолета на открытой местности, общие убытки авиакомпании состоят из 2 основных частей: непосредственно потеря самого воздушного судна и выплата компенсации семьям жертв авиакатастрофы.

Заводская стоимость нового B737-800 на 2015 г. составляет $96 млн, однако в авиапарках компаний большинство самолетов не являются новыми, то есть необходимо учесть стоимость самолета за вычетом амортизации. Средний возраст ВС модели B737-800, находящихся в парке авиакомпании American Airlines, насчитывает в среднем 8,3 года Fleet Age American Airlines // Airfleets Aviation [Электронныйресурс] URL: http://www.airfleets.net/ageflotte/American%20Airlines.htm (Датаобращения: 14.04.2018).В самолетах коэффициент амортизации для планера (часть самолета без силовой установки) и для двигателя разнятся. Для первого он составляет 8 % в год, а для второго - 10 %. Тем не менее, отталкиваясь от условного единства конструкции в рамках данной работы следует взять наибольший коэффициент. Таким образом, стоимость ВС при учете износа находится следующим образом:

(4),

Где RA - переоцененная стоимость ВС,FC - первоначальная стоимость ВС,k - коэффициент амортизации, а n - количество лет. В соответствии с данной формулой при расчете износа на полные 8 лет переоцененная стоимость B737-800 составит приблизительно $40.894 млн.

Что же касается выплат пассажирам, то авиакомпании в соответствии с Монреальской конвенцией, к которой присоединились США, обязана выплатить членам семьи погибшего до $170 тыс. в том случае, если рейс был международным Montreal Convention 1999 // International Air Transport Association [Электронныйресурс] URL: https://www.iata.org/policy/Documents/MC99_en.pdf (Датаобращения: 03.05.2018). По итогам расчетов экономические потери авиакомпании в рамках анализируемого сценария превысят $68 млн.

Помимо этого, определенные выплаты - по обязательному страхованию - осуществляют страховые компании. В среднем максимальная сумма выплаты составляет$221,875 (см. Приложение 9).Следовательно, общая сумма выплат при крушении B737-800 достигает $35.55 млн.

Обязательство по выплате компенсаций ложится и на государственные органы. Во-первых, из бюджета выделяются средства в размере заработной платы погибшего за 5 лет. Медианная заработная плата в США в 2017 году составила $37.69 тыс., то есть сумма выплаты семьям 160 погибших пассажиров за 5 лет составит $30,152 тыс. Bureau of Labour Statistics // U.S. Department of Labour [Электронныйресурс] URL: https://www.bls.gov (Датаобращения: 08.05.2018). Во-вторых, государство компенсирует семьям погибших в авиакатастрофе моральный ущерб в размере $250 тыс. Таким образом, общие издержки государства от авиакатастрофы составят порядка $68 млн.

Существует множество подходов к расчету ценности человеческой жизни, используемых, в том числе, и при расчете экономических потерь при авиакатастрофе. Согласно оценкам Министерства транспорта США, ценность человеческой жизни составляет $9.6 млнRevised Departmental Guidance 2016: Treatment of the Value of Preventing Fatalities and Injuries in Preparing Economic Analyses // U.S. Department of Transportation [Электронныйресурс] URL: https://cms.dot.gov/sites/dot.gov/files/docs/2016%20Revised%20Value%20of%20a%20Statistical%20Life%20Guidance.pdf (Датаобращения: 12.05.2018).Именно данная цифра ложиться в расчеты министерством выгод предотвращения авиакатастрофы. Следовательно, экономические потери пассажиров Boeing B737-800 в общей сложности составят $1.536 млрд.

Соответственно при столкновении двух самолетов издержки стейкхолдеров, рассчитанные для крушения одного самолета на открытой местности и в черте населенного пункта увеличиваются в 2 раза.

В Приложении 10представлены чистые экономические потери стейкхолдеров, в рамках оценки риска эти расчеты необходимо скорректировать годовую частотность наступления рискового события, то есть успешной кибератаки. Однако издержки стейкхолдеров при внедрении программы NextGen были рассчитаны на 10 лет, с момента вступления в силу первых требований программы и до окончания реализации программы, в связи с чем и частотность кибератак в рамках оценки риска будет рассчитана на 10 лет.

В открытом доступе отсутствует статистика кибератак на радиолокационный комплекс, однако публично известен случай кибератаки на компьютерные системы FAA, в результате которого произошли сбои в РЛК по всей стране, включая Атланту, Бостон и Чикаго Computer Problems Causes Flight Delays // The Repository of Industrial Security Incidents [Электронныйресурс] URL http://www.risidata.com/Database/Detail/computer_problems_causes_flight_delays (Датаобращения: 18.05.2018).Итогом данного сбоя стали многочисленные задержки рейсов. Ввиду того, что данный случай является единичным публично известным случаем подобного рода, а количество общее количество отложенных рейсов неизвестно, он будет использован в качестве единственного возможного за 10 лет случая задержки 1 (!) рейса, следовательно, общие экономические потери, представленные в Приложении 10, не нуждаются в корректировке.

Что касается кибератак с использованием связанности сети WiFi с бортовыми системами воздушного судна, то, как уже говорилось в описании кейса в теоретической части, по данным ФБР, хакеру за 4 года удалось 15 раз обойти системы безопасности, воспользовавшись данной уязвимостью. Таким образом, за 10 лет данное количество успешных попыток могло достичь порядка 37 кибератак.В приложении 11 приведены сценарные общие экономические потери стейкхолдеров в США, скорректированные на частотность успешных кибератак.

Для расчета же окончательных экономических потерь, которые будут использованы для определения баланса «выгоды-издержки» регулирования, необходимо сложить общие сценарные издержки. В данном исследовании потери от уязвимости РЛК являются реальными, так как успешная кибератака повлекла за собой негативные последствия, в то время как экономические потери от взлома бортовых систем черезWiFi являются потенциальными, так как хакер не воспользовался возможностью нанести ущерб. В связи с этим необходимо сложить сценарные ЭП первой из-за первой уязвимости с ЭП каждого из 3 сценариев, вызванных второй уязвимостью и в дальнейшем для каждого мегасценария посчитать баланс регулирования (см. Приложение 12).

Табл.5. Балансы регулирования при внедрении комплексной программы NextGenпо группам и категориям стейкхолдеров в США

Мега-сценарий	Группа стейкхолдеров	Издержки регул-я, ($000)	Выгоды регул-я, ($000)	Баланс регул-я, ($000)
				Для группы	Для категории
I	FAA	20,600,000	0	- 20,600,000	- 20,600,000
	Авиакомпании	15,100,000	41,306	- 15,058,640	- 15,058,640
	Страховые компании	0	0	0
	Пассажиры	15,100,000	4,256	- 158,095,144	- 158,095,144
II	FAA	20,600,000	2,595,624	- 18,004,376	- 18,004,376
	Авиакомпании	15,100,000	25,120,565	10,020,565	11,334,065
	Страховые компании	0	1,313,500	1,313,500
	Пассажиры	15100000	56832112	41732112	41732112
III	FAA	20600000	5191248	- 15408752	- 15408752
	Авиакомпании	15100000	50240043	35140043	37767043
	Страховые компании	0	2627000	2627000
	Пассажиры	15100000	113664112	98564112	98564112

На основании результатов расчета баланса регулирования можно сделать вывод, что в двух мегасценариях из трех издержки негосударственных стейкхолдеров обоснованы.Выгоды бизнеса и общества исчисляются миллиардами долларов. Единственными стейкхолдерами, которым выгодна реализация программы модернизации в части кибербезопасности при любом мегасценарии, являются страховые компании. В то же время, к сожалению, главным недостатком Next Gen являются колоссальные расходы бюджета на реализацию, об окупаемости которых не идет и речи.

Внедрение программы в России.

Теперь оценим перспективы внедрения программы NextGenв российских условиях при том же наборе сценариев.В рамках первого из анализируемых сценария развития событий издержки, по своей сути идентичные уже ранее рассчитанным для Соединенных Штатов, несут только авиаперевозчики и пассажиры.

Для оценки средней стоимости суточной задержки рейса для российских авиакомпаний необходимо найти средневзвешенную вместимость воздушного судна каждой из компаний и помножить на стоимость 1 суток простоя самолета пассажиро-вместимостью 1 человек. По итогам проведенных расчетов в среднем российским авиакомпаниям подобная задержка обойдется в €380406, что составляет $447,814по курсу Forex на 19.05.2018 (см. Приложение 4).

Что касается издержек пассажиров, то они также будут тождественны компенсационным выплатам за суточную задержку рейса. России компенсация за отложенный рейс рассчитывается 2 способами:

1) в размере 25 % от МРОТ за каждый час задержки;

2) в размере 3 % от стоимости билета за каждый час опоздания.

Для поведения расчетов наиболее удобен первый способ, так как данные о МРОТ находятся в открытом доступе. С 1 мая 2018 года МРОТ в Российской Федерации составляет ?11,163,следовательно, выплаты на одного пассажира за 24 часа задержки рейса составят $1,083.4, а на 164 пассажира (средняя вместимость российского самолета) -$177.7 тыс. (по курсу ЦБ России на 18.05.2018) Федеральный закон от 07.03.2018 N 41-ФЗ "О внесении изменения в статью 1 Федерального закона "О минимальном размере оплаты труда".

В рамках второго сценария - крушения самолета на открытой местности - необходимо вычислить экономический ущерб авиаперевозчиков при потере самолета и при выплате компенсаций, издержки страховых компаний, а также рассчитать экономический ущерб, нанесенный пассажирам (семьям пассажиров, погибших в авиакатастрофе).

Для расчетов данного вида издержек от потери воздушного судна российского авиаперевозчика, как и для американского будет взят B737-800, так как он шире всего представлен среди отечественных авиакомпаний. По исследованиям издательства РБК, средний возраст самолетов поколения Boeing 737 Next Generation, представителем которого является B737-800 на ноябрь 2015 года составляла 9,1 года, следовательно, сейчас он достиг 11 лет Исследование РБК: на чем летает Россия // РБК [Электронный ресурс] URL: https://www.rbc.ru/research/society/27/11/2015/564de81a9a79472dab71463a (Дата обращения: 12.05.2018). Следовательно, при учете износа по тем же коэффициентам, что были использованы прежде, стоимость данного ВС ориентировочно составляет $29,812 тыс.

Что же касается компенсационных выплат, то законодательно в России ответственность авиакомпании за гибель пассажира в результате авиакатастрофы достигает до ?2 млн на человека, однако в связи с тем, что в апреле 2017 года Россия присоединилась к Монреальской конвенции, ближайшее время ожидается увеличение суммы компенсации погибшим пассажирам международных рейсов до $170 тыс.Так как средняя вместимость самолета российского авиапарка составляет 164 пассажира, то итоговые экономические потери пассажиров составят $27,880 тыс.

Сумма выплаты при обязательном страховании жизни в России эквивалентна сумме 120 МРОТ, значит, сумма страховой выплаты за одного пассажира составит ?1,339,569 тыс. или $21.668 тыс. и $3,466 тыс. за всей пассажиров рейса, потерпевшего крушение (по курсу ЦБ России на 18.05.2018).

Государство периодически выплачивает семьям погибших определенные суммы, однако делает это исключительно на добровольной основе (обязательство и порядок законодательно не установлены) в рамках распоряжений Президента, в связи с чем данные выплаты не будут учитываться в издержках.

Стоимость же человеческой жизни в 2016 году, по данным РОСГОССТРАХ, составила 4.5 млн. или $76,025 (по курсу ЦБ России на 18.05.2018) Стоимость человеческой жизни в России в 2015 году составила 4,5 млн. рублей // РОСГОССТРАХ [Электронный ресурс] URL: http://www.rgs.ru/media/CSR/on_startup/Life_value_2015.pdf (Дата обращения: 04.05.2018). На основе средней вместимости ВС в России (см. Приложение4) суммарные издержки данной группы стейкхолдеров составят порядка $12,468 (см. Приложение 13).

Теперь также необходимо скорректировать экономические потери по категориям и группам стейкхолдеров на частоту успешных кибератак. При проведении оценки риска для России будут использованы те же данные по частотности успешных атак на компьютерные системы ГА, что и для США, ввиду отсутствия актуальных для России данных у отраслевого регулятора. В приложении 14 представлены результаты вычисления сценарных издержек для уязвимости бортовых систем воздушного судна, в то время как мегасценарные издержки отражены в приложении 15.

Далее необходимо рассчитать издержки стейкхолдеров по внедрениюNextGen в России. Так как данная программа обладает высокой структурированностью, в части издержек авиакомпании для упрощения вычислений можно скорректировать издержки на разницу между размерами авиапарка топ-10 авиакомпаний США (4187 ВС) и России (586 ВС). Таким образом, расходы российских авиаперевозчиков в общей сумме составят $2,116,967 млн, идентичными будут и издержки пассажиров. В связи с тем, что органы власти, участвующие в реализации программы, не имеют выгод регулирования, то есть в любом случае для них баланс регулирования окажется отрицательным, условно для расчетов возьмем государственные расходы FAA.

Табл. 6. Балансы регулирования при внедрении комплексной программы NextGen по группам и категориям стейкхолдеров в РФ

Мега-сценарий	Группа стейкхолдеров	Издержки регул-я, ($000)	Выгоды регул-я, ($000)	Баланс регул-я, ($000)
				Для группы	Для категории
I	ФОИВ	20600000	0	-20600000	- 20600000
	Авиакомпании	2116967	17016,932	- 415035	- 415035
	Страховые компании	0	0	0
	Пассажиры	2116967	4532	-2112435	-2112435
II	ФОИВ	20600000	0	- 20600000	- 20600000
	Авиакомпании	2116967	173523,814	- 1943443.186	- 1930619,186
	Страховые компании	0	12824	12824
	Пассажиры	2116967	461497,4	-1655469,6	-1655469,6
III	ФОИВ	20600000	0	- 20600000	- 20600000
	Авиакомпании	2116967	36599,814	- 2080367.186	- 1823883,186
	Страховые компании	0	256484	256484
	Пассажиры	2116967	922817,1	- 1194150	- 1194150

В ходе анализа было выявлено, что баланс регулирования для всех рассмотренных групп стейкхолдеров отрицателен, что говорит об отсутствии актуальности данной программы в текущих российских условиях.

Сравнительная оценка обоснованности регулирования

При выдвижении гипотезы и выборе отрасли с жестким государственным регулированием ожидалось, что высокая интегрированность гражданской авиации в процесс глобализации, функционирование на международном уровне и наличие «сильных» наднациональных регуляторов, оказывающих внушительное влияние на национальную отраслевую политику государств, выступят в качестве гарантов установления на национальном уровне ежели не схожих, то близких условий для осуществления деятельности ключевых стейкхолдеров (национального регулятора и адресатов регулирования), в результате чего выгоды и издержки регулирования для ключевых стейкхолдеров будут близкими по значению.

Тем не менее результаты проведенного анализа выгод и издержек при внедрении мер кибербезопасности на примере комплексной программы модернизации NextGen опровергло сформулированную гипотезу. Единственным экономическим актором, имеющим положительный баланс, является стейкхолдер, по сути не являющийся адресатом анализируемых мер регулирования, а именно страховые компании.

Различие баланса «издержки-выгоды» между государствами стран как ключевыми акторами, во многом объясняется различной социальной ответственностью за факт авиакатастрофы, возложенной на себя государственными структурами. Так, в США выплаты семьям жертв авиакатастрофы в США закреплены законодательно и совершаются на постоянной основе, в то время как в России они назначаются указом Президента от случая к случаю, так как законодательно не закреплены выплаты компенсаций на постоянной основе.

Разницу балансов российских и американских авиакомпаний можно объяснить меньшими издержками российских авиаперевозчиков при наступлении рискового события в рамках каждого из трех рассматриваемых сценариев. В связи с относительно более возрастным авиафлотом, ущерб авиакомпаний от потери воздушного судна в России практически в 2 раза ниже, чем в Соединенных Штатах, как и ниже стоимость суточного простоя воздушного судна в аэропорту. Выше в США и компенсация за задержку рейса, в отличии от России, где суммы компенсации во много ничтожны.

Особо стоит отметить колоссальную разницу в оценке стоимости человеческой жизни в США и России, которая приводит к такому же разрыву баланса регулирования.

2.2 «Мягкое» регулирование кибербезопасности КИ. Телекоммуникации

Сертификация дата-центров

Как уже было сказано ранее, наиболее признанным в мире является сертификат ЦОД, подтверждающий соответствие стандартам Tier. Данные стандарты были разработаныUptimeInstitute и состоят из 3 программ:

1. Проектная документация ЦОД (Tier Certification of Data Center Design Documents);

2. Возведенное сооружение ЦОД (Tier Certification of Constructed Data Center Facility);

3. Операционная самоокупаемость ЦОД (Tier Certification of Data Center Operational Sustainability) Tier Certification // Uptime Institute [Электронныйресурс] URL: https://uptimeinstitute.com/tier-certification (Датаобращения: 08.05.2018).

Данные программы дополняют друг друга, прохождение сертификации в рамках последующей программы невозможно без предварительного получения сертификата предыдущей (программы представлены в порядке последовательности получения).

Кибератака на оборудование Cisco показала, что данной уязвимости подвержены в большинстве своем небольшие дата-центры, предположительно не проходившие процедуру сертификации ввиду ее относительной дороговизны (в среднем $200 тыс. за сертификацию по каждой программе), в то время как операторы «большой четверки», утверждающие свое соответствие стандартам Tier, по данным, предоставленным Роскомнадзору, практически не пострадали от атаки на дата-центры Дата-центры // МегаФон [Электронный ресурс] URL: http://moscow.megafon.ru/operators/resheniya/data_centers/ (Дата обращения: 13.05.2018). Атака на Cisco обошлась без жертв // КоммерсантЪ [Электронный ресурс] URL: https://www.kommersant.ru/doc/3622455?query=Явных%20проблем%20в связи%20с атакой%20на оборудование%20Cisco%20у компании%20не было (Дата обращения: 13.05.2018). Данный факт дает основание для выдвижения в рамках данной работы предположения о том, что успешное прохождение сертификации является гарантом защиты от кибератак, в качестве аксиомы.

Внедрение сертификации в России

Ожидается, что при реализации требований «пакета Яровой» в России операторы мобильной связи будут следовать следующим стратегиям:

1. крупные операторы мобильной связи предпочтут инвестировать в собственные ЦОДы для соответствия требованиям безопасности;

2. малые и средние провайдеры предпочтут воспользоваться услугами виртуальных систем хранения данных на основе модели Storage-as-a-Service (StaaS), которые продемонстрировали гораздо большую уязвимость в ходе апрельской кибератаки на Cisco.

Наибольший интерес для данного исследования составляет последствия кибератаки именно на первую группу стейкхолдеров, так как они владеют большей частью рынка мобильной связи и, следовательно, атаки именно на дата-центры данных компаний приведут к наибольшему ущербу. Помимо этого, при совмещении инфраструктуры для хранения информации об абонентах и их звонках/переписках с инфраструктурой, обеспечивающей предоставление услуг связи абонентам, в рамках одного дата-центра, неминуемо образуется взаимосвязь между инфраструктурами, в результате чего кибератака на базы данных может нарушить и основную деятельность оператора, что также способно привести к серьезным негативным последствиям.

В России большая часть рынка мобильной связи принадлежит операторам «большой четверки» (МТС - 31%, МегаФон - 29 %, Вымпелком - 23% и Теле2 - 16%). В общей сумме им принадлежит 34 дата-центра (Табл. 7). По данным, размещенным на официальных сайтах данных операторов, все эксплуатируемые ими ЦОДы соответствуют стандартам Tier, однако де-факто в соответствии опубликованным списком выданных сертификатов, лишь 3 из представленных центров обработки информации действительно его имеют: новгородский ЦОД МТС, ярославский ЦОД Вымпелкома и самарский ЦОД МегаФона - причем данные дата-центры на данный момент обладают лишь сертификатом первой программы (Tier Certificationof Data Center Design Documents) Tier Certifications List // Uptime Institute [Электронныйресурс] URL: https://uptimeinstitute.com/TierCertification/ (Датаобращения: 22.05.2018). Все же остальные дата-центры, возможно, соответствую требованиям стандарта, однако не имеют документа, подтверждающего факт соответствия.



Табл. 7. Средняя загруженность ЦОДов 4 крупнейших российских мобильных операторов

Мобильный оператор	Кол-во абонентов, млн чел.	Кол-во дата-центров	Кол-во абонентов на ЦОД, млн чел.
МТС Отчет в области устойчивого развития Группы МТС 2015 // МТС [Электронный ресурс] URL: http://our2015.mts.ru/ru/telecommunication.html (Дата обращения: 15.05.2018)	77.3	6	12.9
Мегафон О компании // МегаФон [Электронный ресурс] URL: http://corp.megafon.ru/about/?_ga=2.73951698.1787083021.1527154721-1738834822.1527154721 (Дата обращения: 15.05.2018)	77	18	4.3
Вымпелком Годовой отчет ПАО «ВымпелКом» за 2016 год // Вымпелком [Электронный ресурс] URL: https://moskva.beeline.ru/about/about-beeline/disclosure/annual-reports/ (Дата обращения: 15.05.2018)	58	8	7.25
Tele2 О компании // Tele2 [Электронный ресурс] URL: https://msk.tele2.ru/about(Дата обращения: 15.05.2018)	40,6	2	20.3
Среднее значение	7.43

В связи с этим для расчета издержек регулирования для операторов мобильной связи необходимо рассчитать общую стоимость всех программ для данных ЦОДов. При учете того, что 3 программы уже имеют сертификаты первой ступени, общие издержки операторов «большой четверки» составят $19.8 млн (см. Приложение 16).

Подразумевается, что операторы переложат в среднесрочной перспективе экономическое бремя сертификации на своих абонентов, в результате чего тарифы на услуги связи возрастут, в связи с чем мы может считать, что издержки абонентов также составят $19.8 млн.

Что же касается государства, то на него будут возложены обязанности по мониторингу исполнения требований регуляторных норм, издержки которого неясны, в связи с чем в рамках данной работы они будут приняты за нулевые.

Результаты оценки издержек регулирования при введении требования по обязательной сертификации дата-центров, эксплуатируемых операторами связи, отображены в Таблице 8.

Табл. 8. Издержки регулирования по стейкхолдерам в РФ(ЦОДы)

Категория стейкхолдеров	Группа стейкхолдеров	Описание издержек	Размер издержек ($ тыс.)
Государство	ФОИВы	-	-
Бизнес	Операторы мобильной связи	Прохождение сертификации ЦОДов (краткосрочный период)	19,800
Население	Абоненты	Повышение стоимости услуг мобильных операторов (среднесрочный период)	19,800

Далее необходимо рассчитать выгоды регулировния, под которыми подразумеваются экономические потери при проведении успешной кибератаки.

Выгоды регулирования кибербезопасности ЦОДов, в отличие от внедрения программы NextGen, будут рассчитаны на основании не средних величин (ввиду сложности их подсчета), а реальных показателей последствий ряда кейсов (case-study).Помимо этого, для представления полной картины возможных последствий кибератаки в рамках процедуры riskassessment экономические потери стейкхолдеров будутрассчитаны для случаев тотального блэкаута (blackout)с целью демонстрации экономических потерь при наиболее пессимистичном сценарии развития событий (Табл. 9).

В дополнение к пессимистичному сценарию в Таблице 9 отображен и сдержанно оптимистичный, в рамках которого результатом кибератаки является нарушение доступа только к некоторым ресурсам, однако в рамках исследования данный сценарий подлежит исключению в связи с неясностью и сложностью оценки экономических потерь ключевых стейкхолдеров.



Табл.9. Уязвимости ЦОДов и сценарии развития последствий кибератаки

Уязвимость, (комп. система)	Угроза	Связанные бизнес-процессы	Сценарий последствий	Последствия успешной кибератаки
Незащищенность оборудования при удаленной настройке систем дата-центра (информ. инфраструктура)	Блокировка деятельности (функцион-я) центра	Блокировка функцион-я связанных систем (блокировка услуг оператора)	Сдержанно оптимистичный	1. Нарушение работы ЦОДа
			Пессимистичный	2. Тотальный блэкаут систем ЦОДа

На примере последствий апрельской кибератаки на оборудование Cisco, используемое ЦОДами, можно проследить экономические потери ключевых стейкхолдеров (выгоды регулирования).

Имели место быть экономические потери производителей уязвимого оборудования, связанные с падением акций компании на фондовом рынке. В соответствии с данными фондовой биржи NASDAQ, специализирующейся на акциях компаний IT-отрасли, 6 апреля, в день публикации информации об успешной массированной кибератаке на «железо» Cisco, стоимость акции данной компании упала на 2,6 %, достигнув минимума ($40.73 за акцию) с середины февраля 2018 года (см. Приложение 17).При учете того, что в обращении у компании находится более 5 млрд акций, общие потери компании от данного инцидента превысили $5.45 млрд.

Меньшие потери в рамках пессимистичного сценария понесут мобильные операторы. В соответствии с Правилами оказания телематических услуг связи при нарушении сроков предоставления доступа к сети абонент имеет право обратиться к мобильному оператору за компенсацией в размере 3% от стоимости тарифного плана. По данным исследования NeoAnalytics, средняя стоимость пакетных тарифов на связь в России составила 258.3 в месяц, следовательно, затраты оператора связипо выплате компенсации составят $934,743 (по курсу ЦБ России на 24.05.2018). Ту же сумму можно засчитать и абонентам связи ввиду отсутствия полной информации о реально понесенных ими экономических потерях.

...