Поделитесь опытом о том как считаете время по тем критериям значимости где необходимо определять, к примеру количество людей, для которых могут быть недоступны транспортные услуги?
При недоступности услуг в течении одного дня может быть присвоена 3-я категория, а если это происходит в течении месяца то там возможна и 1-я категория.
Сейчас нет соответствующих рекомендаций или методик, поэтому субъект решает сам.
С моей точки зрения оптимальный вариант по оценке времени, в течение которого нужно рассчитывать ущерб - это оценка времени, которое необходимо организации для восстановления функционирования объекта. То есть:
1. Вы формируете верхнеуровневый перечень угроз и инцидентов (например рассматриваете возможность заражения вредоносным ПО и нарушение работоспособности из-за несанкционированного изменения уставок/конфигурации).
2. Определяете последствия инцидентов - из-за чего и какие нарушения могут быть. Скажем из-за одного инцидента транспортное сообщение будет невозможно, а из-за другого будет функционировать, но будут сбои или будет работать, но нужно будет часть функций управления как-то иначе делать или будет нарушена только отчетность/уведомление какое-то
3. Для тех сценариев, где нарушен процесс (скажем, остановлено предоставление транспортных услуг) вы должны оценить время, которое необходимо вам для пресечения инцидента и восстановления функционирования. Это может быть уже готовый BIA и DRP, если есть, иные инструкции, опробованные сценарии восстановления из резервных копий, включения ЗИП, перезапуска АСУ и т.д. Если есть планы с оценками - идеально. Если нет - можете оформить в виде оценки комиссией по категорированию с привлечением ответственных лиц. Это нужно для обоснования ущерба, которое будете во ФСТЭК направлять.
4. Оцениваете наихудший сценарий восстановления - скажем макс сутки на восстановление работы или взрывается агрегат и нужно новый поставлять - месяц. Берете эту максимальную оценку временную и по ней оцениваете соответствующий ущерб.
