Цена кибербезопасности интересует собственника обычно после того, как получил первое коммерческое предложение. Многие компании приходят к крупному вендору, видят сумму с семью-восемью нулями и откладывают тему до лучших времён. Лучшие времена обычно наступают в виде письма от шифровальщика. Ниже объясняем, почему классическая защита стоит так дорого, как посчитать собственный бюджет и что можно получить за разумные деньги.
Начните с оценки потерь, а не с прайс-листа
Стоимость информационной безопасности бессмысленно обсуждать в отрыве от того, что вы защищаете. Поэтому первый шаг не покупка антивируса и не запрос коммерческих предложений. Первый шаг это список недопустимых событий и честная оценка, сколько каждое из них стоит.
Недопустимое событие это то, что не должно случиться ни при каких обстоятельствах. Например, остановка учёта и отгрузок, утечка базы клиентов, платёж на чужой счёт из клиент-банка. Для каждого события посчитайте несколько составляющих.
- Простой. Сколько выручки компания теряет за день без учёта и отгрузок. По опыту 4sec, после шифрования такой простой длится около недели.
- Восстановление. Работа специалистов, новое оборудование, сверхурочные сотрудников.
- Ушедшие клиенты. Те, кто за неделю простоя нашёл другого поставщика и не вернулся.
- Штрафы. Если утекли персональные данные, по статье 13.11 КоАП РФ штраф для юридического лица начинается от 3 млн ₽ (Право.ру).
Для ориентира, по нашему опыту средний ущерб малого и среднего бизнеса от одного инцидента составляет 2-5 млн ₽. Для вашей компании цифра может быть и больше, особенно если день простоя стоит сотни тысяч рублей.
Как посчитать бюджет на информационную безопасность
Когда потери оценены, бюджет удобно сравнивать не с прибылью и не с бюджетом ИТ, а с ценой одного инцидента. Годовая стоимость защиты должна быть заметно меньше того, во что обойдётся одна неделя простоя. Если защита стоит как пара дней остановки, решение обычно принимается быстро.
Условный пример. Компания с выручкой 300 млн ₽ в год теряет около 1 млн ₽ за каждый рабочий день простоя. Неделя после шифровальщика с учётом восстановления и ушедших клиентов обойдётся в 5-7 млн ₽. Защита за 25-50 тыс. ₽ в месяц стоит в год меньше одного такого дня. Тратить ноль значит молча соглашаться оплатить потери целиком.
Ту часть потерь, которую не закрывает защита, можно передать страховщику. Как это устроено, мы разобрали в статье про киберстрахование в России.
Почему классическая кибербезопасность стоит так дорого
Подумайте о бронированном автомобиле. Большинству он не нужен, и если вы не владелец бизнеса с оборотом в миллиарды, покупать его не стоит. Рынок кибербезопасности десятилетиями был устроен так же. Дорогую защиту покупали банки и госкорпорации, а малые компании злоумышленникам были неинтересны, потому что брать нечего, а возни много. Дешёвые решения просто никому не были нужны.
Потом угрозы изменились. Автоматизация и искусственный интеллект сделали поиск уязвимостей быстрым и дешёвым, и атака на маленькую компанию стала выгодной. А модель продаж в ИБ осталась прежней. Из чего складывается цена классического подхода, видно по цифрам.
- Специалисты. Аналитик первой линии стоит 100-200 тыс. ₽ в месяц, а дефицит ИБ-специалистов в России около 60 000 человек. Чтобы дежурить круглосуточно, нужен не один человек, а смена.
- Собственный SOC. Центр мониторинга обходится в 30-50 млн ₽ в год, и до запуска проходит 6-12 месяцев.
- SOC как сервис. Дешевле, 5-10 млн ₽ в год, но реагирование остаётся на заказчике. Вам сообщат об атаке, а останавливать её будете сами.
- Разовые проверки. Пентест стоит около 1 млн ₽, занимает от 6 недель, и устранение найденного снова ложится на компанию.
К этому добавляются лицензии, внедрение и настройка систем сбора событий. Неудивительно, что итог получается с большим количеством нулей. Почему одного антивируса при этом мало, мы объясняли в статье почему антивируса недостаточно.
Цена кибербезопасности в готовых решениях
Хорошая новость в том, что защита как сервис стоит в разы меньше. Вот ориентиры по решениям 4sec.
- 1С под защитой. Агент Tessera на сервере 1С против шифровальщика с помощью в восстановлении, 8 900 ₽ в месяц. Самый доступный вход, если главный риск это остановка учёта.
- Кибер.Дозор. Безопасность под ключ для компании без своего ИТ, до 3 агентов, контроль периметра, облачные копии и финансовая гарантия 1 млн ₽, 24 900 ₽ в месяц.
- Кибер.Радар. Непрерывный контроль внешнего периметра с инструкциями по устранению уязвимостей, 25 000 ₽ в месяц.
- Кибер.Сейф. Защищённое резервное копирование, которое нельзя изменить даже администратору, от 20 000 ₽ в месяц.
- Платформа 4sec. Для ИТ-команды без отдела ИБ, тариф Оптимум 50 000 ₽ в месяц с периметром, 5 агентами, копиями, восстановлением за 48 часов и гарантией 1,5 млн ₽.
Для сравнения с примером выше, даже тариф Оптимум за год стоит меньше одного дня простоя такой компании.
Если не уверены, что подходит именно вам, ответьте на один вопрос в блоке подбора защиты на главной странице. Он подскажет решение по тому, кто у вас отвечает за безопасность.
Порядок трат при ограниченном бюджете
Если денег мало, важнее всего правильная очерёдность. Мы рекомендуем такую.
- Резервные копии и восстановление. Это нужно в любом случае. Диски ломаются без всякого хакера, сотрудники ошибаются, а защищённая копия вне основной сети превращает шифровальщика из катастрофы в неприятность.
- Внешний периметр. Это недорого. Закройте удалённый рабочий стол, обновите то, что смотрит в интернет, и следите за новыми дырами постоянно.
- Защита самого ценного. Серверы, через которые наступают недопустимые события, например сервер 1С, нужно изолировать и защитить так, чтобы атака останавливалась на них автоматически.
- Доступы и обучение. Права сотрудников, двухфакторная защита почты, понятные правила для бухгалтерии.
Каждый следующий шаг имеет смысл только после предыдущего. Защищать периметр без копий значит надеяться, что никто не найдёт другую дверь. Покупать дорогие системы без закрытого периметра значит платить за наблюдение за открытым входом.
Что запомнить
Разумная цена кибербезопасности начинается с цифры потерь, а не с коммерческого предложения. Оцените недопустимые события, прикиньте верхнюю границу бюджета и тратьте в правильном порядке. Для большинства небольших компаний первые шаги стоят десятки тысяч рублей в месяц, а не десятки миллионов в год.