Однажды при категорировании возникла непростая ситуация, которая, не углубляясь в подробности, выражалась противоречием.

С одной стороны, эксперты владельца объекта КИИ настаивали, что учёт распределения пользователей по часовым зонам приводит к ущербу менее расчетного.

С другой стороны, эксперты комиссии по категорированию, по тем же причинам настаивали на ущербе выше расчётного.

Оппонирующие стороны не смогли аргументировать свою позицию:

• данными, полученными от технических средств мониторинга и контроля о количестве пользователей, выполнявших свои обязанности в период времени с использованием аналогичного объекта КИИ;
• данными о количестве пользователей проектируемого объекта КИИ или аналогичного проектируемому в разрезе адресных данных головной, дочерних организаций, и обособленных структурных подразделений;
• данными о средней заработной плате в разрезе адресных данных в головной, дочерних организациях и в обособленных структурных подразделениях.

Несмотря на противоречие и отсутствие аргументов автор этой публикации, сделавший неудобный для сторон расчёт, «был назначен» виновником затянувшегося категорирования.

Суть расчёта сводилась к тому, что в связи с высокой значимостью информационных технологий для бизнеса, характеризующейся значением 40%, результаты деятельности автоматизируемой с использованием объекта КИИ будут зависеть от 40% всего количества пользователей. Или более просто – из 100 000 пользователей объекта КИИ будут создавать доход только 40%:

100 000 * 0,4 = 40 000 пользователей

Соответственно, отсутствие 60% «расходных» пользователей не причинит ущерб организации в виде уменьшения дохода.

Из оставшихся 40 000 пользователей в период нарушения функционирования объекта КИИ минимум 30% будут отсутствовать на работе по причине командировок, отпусков и больничных:

40 000 * (100 – 30) = 40 000 * 0,7 = 28 000 пользователей.

Время простоя – 8 часов в расчете количества пользователей не использовалось.

В связи с тем, что результаты расчёта не устроили ни экспертов владельца объекта КИИ, ни экспертов комиссии по категорированию автору публикации требовалось решить почти что классическое противоречие ТРИЗ Генриха Альтшуллера (Теория Решения Изобретательских Задач):

• «должно быть меньше, но должно быть больше»;
• «должно быть аргументированным, но не должно быть аргументированным».

Оказалось, что противоречие может быть не только разрешено, но разрешено красиво. В чём читатель, не отвлекаясь от рассуждений автора, сможет убедиться в конце публикации.

Итак, сформулируем задачу:

Требуется определить наибольшее количество пользователей, которые будут использовать объект КИИ в течение рабочего дня, находясь в разных часовых зонах.

1. Пользователи объекта КИИ распределены по часовым зонам, от которых зависит начало и конец рабочего дня.
   Делаем допуск и принимаем:

• что количество пользователей каждой часовой зоны относится к общему количеству пользователей объекта КИИ так, как количество населения в субъектах Российской Федерации конкретной часовой зоны ко всему населению Российской Федерации;
• что рабочий день всех пользователей с учетом часового перерыва на обед длится 9 часов;
• что обед начинается через 4 часа рабочего времени.

Читатель, не согласный с подобным допуском, может самостоятельно устранить погрешность, вооружившись данными Росстата о численности трудоспособного населения в субъектах Российской Федерации, указанных в следующем пункте.

2. В Российской Федерации 11 часовых зон. Субъекты Российской Федерации распределены по часовым зонам следующим образом:

Зона 1. Часовой пояс MSK UTC+2 (-1 час к Москве):
Калининградская область.

Зона 2. Часовой пояс MSK UTC+3 Московское время (+0 часов к Москве):
Республика Дагестан, Республика Ингушетия, Кабардино-Балкарская Республика, Карачаево-Черкесская Республика, Республика Карелия, Республика Коми, Республика Марий Эл, Республика Мордовия, Республика Северная Осетия-Алания, Республика Татарстан, Чеченская Республика, Чувашская Республика, Ставропольский край, Архангельская область, Белгородская область, Брянская область, Владимирская область, Вологодская область, Воронежская область, Ивановская область, Калужская область, Кировская область, Костромская область, Курская область, Ленинградская область, Липецкая область, Московская область, Мурманская область, Нижегородская область, Новгородская область, Орловская область, Пензенская область, Псковская область, Рязанская область, Смоленская область, Тамбовская область, Тверская область, Тульская область, Ярославская область, Москва, Санкт-Петербург, Ненецкий автономный округ, Краснодарский край, Республика Адыгея, Республика Калмыкия, Республика Крым, Ростовская область, Севастополь.

Зона 3. Часовой пояс MSK UTC+4 (+1 час к Москве):
Удмуртская Республика, Астраханская область, Волгоградская область, Самарская область, Саратовская область, Ульяновская область.

Зона 4. Часовой пояс MSK UTC+5 (+2 часа к Москве):
Курганская область, Свердловская область, Тюменская область, Ханты-Мансийский автономный округ, Челябинская область, Ямало-Ненецкий автономный округ, Оренбургская область, Пермский край, Республика Башкортостан.

Зона 5. Часовой пояс MSK UTC+6 (+3 часа к Москве):
Омская обл.

Зона 6. Часовой пояс MSK UTC+7 (+4 часа к Москве):
Алтайский край, Кемеровская область, Томская область, Красноярский край, Новосибирская область, Республика Алтай, Республика Тыва, Республика Хакасия.

Зона 7. Часовой пояс MSK UTC+8 (+5 часов к Москве):
Республика Бурятия, Иркутская область.

Зона 8. Часовой пояс MSK UTC+9 (+6 часов к Москве):
Амурская область, Забайкальский край, Якутск и Республика Саха-Якутия: Алданский, Амгинский, Анабарский, Булунский, Верхневилюйский, Вилюйский, Горный, Жиганский национальный эвенкийский, Кобяйский, Ленский, Мегино-Кангаласский, Мирнинский, Намский, Нерюнгринский, Нюрбинский, Олекминский, Оленекский эвенкийский национальный, Сунтарский, Таттинский, Томпонский, Усть-Алданский, Усть-Майский, Хангаласский, Чурапчинский и Эвено-Бытантайский районы.

Зона 9. Часовой пояс MSK UTC+10 (+7 часов к Москве):
Еврейская автономная область, Приморский край, Хабаровский край, Республика Саха-Якутия: Верхоянский, Оймяконский и Усть-Янский районы.

Зона 10. Часовой пояс MSK UTC+11 (+8 часов к Москве):
Магаданская область, Сахалинская область, Республика Саха-Якутия: Абыйский, Аллаиховский, Верхнеколымский, Момский, Нижнеколымский и Среднеколымский район.

Зона 11. Часовой пояс MSK UTC+12 (+9 часов к Москве)
Камчатский край, Чукотский автономный округ.

3. Представим графически рабочий день пользователей в каждой часовой зоне, взяв за начало рабочего дня 8.00 утра в 11 часовой зоне.

Визуально определяем, что в течение 9-и часов 1-го рабочего дня наибольшее количество пользователей будет использовать объект КИИ с 12.00 до 20.00 часов по времени 11 часовой зоны.

Для удобства дальнейшего анализа выделим это множество значений красной рамкой.

4. Примем за коэффициент распределённости «Крз» отношение количества населения в субъектах Российской Федерации, находящихся в конкретной часовой зоне, ко всему населению Российской Федерации.

Внесем в таблицу номера часовых зон, соответствующее им количество населения, и вычислим значение Крз для каждой часовой зоны по формуле:

Крз = Nзоны / Nрф, где
Nзоны – количество населения субъектов Российской Федерации в часовой зоне, млн чел.;
Nрф – количество населения Российской Федерации, млн чел.

Пересчитаем по вертикали количество рабочих часов в течение «очерченного красным» рабочего дня и внесем значения в таблицу.

Определим среднее арифметическое значение суммы часов в каждой часовой зоне для рабочего дня:

(4 + 5 + 6 + 7 + 8 + 7 + 7 + 6 + 5 + 4 + 4) / 11 = 7 часов

Сделаем вывод о том, что в каждой часовой зоне (прим. – по вертикали) наибольшее количество пользователей в течение «очерченного красным» рабочего дня будет использовать объект КИИ в среднем 7 рабочих часов.

Обратимся к сделанному допуску о том, что количество пользователей каждой часовой зоны относится к общему количеству пользователей объекта КИИ так, как количество населения в субъектах Российской Федерации конкретной часовой зоны ко всему населению Российской Федерации.

Определим среднее арифметическое значение суммы коэффициентов распределённности пользователей для каждой часовой зоны:

(0,0095 + 0,0220 + 0,1423 + 0,1233 + 0,1843 + 0,5928 + 0,0854 + 0,8537 + 0,3150 + 2,4797 + 0,3333) / 11 = 5,1413 / 11 = 0,4674

Сделаем вывод о том, что среднее значение коэффициента распределённости пользователей составляет 0,4674.

5. Примем, что:

• «Х» – среднее количество пользователей, которые работают в каждой часовой зоне в течение 1 рабочего часа;
• «Nис» – общее количество пользователей объекта КИИ;
• за 9 часов рабочего времени объект КИИ должно использовать наибольшее количество пользователей во всех часовых зонах с учётом среднего значения коэффициента распределённости.

Для определения значения «Х» составим уравнение:

Nис = 7 * 0,4674 * 9 * Х

Решив уравнение получим:

Х = Nис *1 / (7 * 0,4674 * 9) = 0,034 * Nис

6. В организации с целью выполнения основной деятельности допускается отсутствие до 30%работников. Соответственно, без ущерба для организации к выполнению своих обязанностей должно быть привлечено не менее 70% всех работников организации, являющихся пользователями информационной системы:

Хпр = 0,034 * Nис * 0,7, где
Хпр – среднее количество пользователей, которые работают в каждой часовой зоне в течение 1 рабочего часа с учётом 30% отсутствующих.

7. Снизим погрешность расчёта (исключим противоречие «должно быть меньше, но должно быть больше») и определим среднее значение между «Х» и «Хпр»:

Хср = (Х + Хпр) / 2 = (0,034 * Nис + 0,034 * Nис * 0,7) / 2 = 0,034 * Nис (1 + 0,7) / 2 = 0,017 * 1,7 * Nис = 0,0289 * Nис

Формула (Xср = 0,0289 * Nис) позволяет определить среднее значение количества присутствующих на рабочем месте пользователей в разных часовых зонах, использующих объект КИИ за 1 час работы.

Применение в формуле исключительно одного аргумента Nис, позволяет решить второе противоречие (прим. – «должно быть аргументированным, но не должно быть аргументированным») в условиях отсутствия требуемых данных.

8. Определив значение Xр нетрудно вычислить количество пользователей, оказавшихся в простое в результате нарушения функционирования объекта КИИ, по формуле:

Nп = 0,0289 * Nис * T, где
Nп – количество пользователей в простое, чел.;
Т – время простоя, час

9. Перепроверим расчет, который вызвал нарекание экспертов:

Nп = 0,0289 * 100 000 * 8 = 23120 пользователей.

Сделаем вывод: учёт распределения по часовым зонам привёл к уменьшению расчетного количества пользователей на 100 – 100 * 23 120 / 28 000 = 17,4%

Надеюсь, что первый из трёх секретов категорирования будет воспринят заинтересованным читателем, дошедшим до этого места, «на ура».

А как же второй и третий секреты?

10. Возможно, что на второй и третий секреты читатель просто не обратил внимание.

Внимательно посмотрите на графически изображенный рабочий день пользователей в каждой часовой зоне.

Вывод напрашивается сам собой. С 17.00 по 00.00 (24.00) часов Московского времени пользователи за исключением одиночек-полуночников, которых можно не брать в расчёт, физически не смогут использовать объект КИИ.

Соответственно, оплата простоя пользователей, которые используют объект КИИ из разных часовых зон, не может быть более 24 – 7 = 17 часов в сутки. Аналогично, для 48 часов простоя оплата будет выполняться за 17 * 2 = 34 часа, для 72 часов простоя за 17 * 3 = 51 час.

Знание второго секрета поможет читателю в дальнейшем рассчитать ущерб от оплаты простоя пользователям по формуле:

Упр = W * 2/3 * Nп, где
Упр –ущерб организации от оплаты простоя пользователям, руб.;
W – средняя cтоимость 1 часа работы 1 работника организации, руб./час; 
2/3 – коэффициент оплаты простоя по независящим от работника причинам;
Nп – количество пользователей в простое, чел (Nп = 0,0289 * Nис * T)

11. И ещё раз внимательно посмотрите на графически изображенный рабочий день в каждой часовой зоне.

А ведь это рабочий день не только пользователей, но и администраторов, которые восстанавливают неработоспособный объект КИИ.

Восстановление выполняется в рабочее время, в нерабочее время, в период праздников и выходных.

По будням, в нерабочее время внеурочная работа оплачивается с коэффициентом 1,5. Следует обратить внимание на то, что внеурочная работа в будние дни не может быть более 24 – 8 = 16 часов в сутки.

В период праздников (выходных) работа администраторов оплачивается с коэффициентом 2.

Следует обратить внимание на то, что применение коэффициента 2 приводит к исключению оплаты простоя пользователям, которые в период праздников (выходных) не работают.

Знание третьего секрета поможет читателю в дальнейшем рассчитать ущерб от оплаты внеурочной работы по восстановлению объекта КИИ по формуле:

Уопл.восстановлен = W * 1,5 * Nадм * T
где
W – средняя cтоимость 1 часа работы 1 работника организации, руб./час;
Nадм – количество администраторов, восстанавливающих информационную систему;
T – время неработоспособности объекта КИИ, в часах

Уважаемые читатели, спасибо за то, что дочитали до конца.

Автор, имея 23-летний опыт работы по направлениям ПДИТР и ТЗИ, организации защиты информации, ПДТК, категорирования объектов КИИ, готов ответить на возникшие у вас вопросы.

Михаил Смирнов Главный редактор BISA

Кто готов изучить и дать отзыв на Методику – пишите на xb@bisa.ru, укажите фамилию и имя, направление деятельности (ИБ, СБ, разработка и т.п.), стаж работы в отрасли. И ждём ваш ответ о Методике не позднее 1.11.2025 г.