Сколько должна стоить информационная безопасность: считаем риски и бюджет

Защита должна быть соразмерна последствиям — как это понимать

Правильный вопрос звучит так: «Какой ущерб вероятен в нашей ситуации и насколько выбранные меры его уменьшают?» Если предлагается дорогая система ради малозначимого сценария, стоит искать более простой способ. Иногда достаточно сократить доступ, убрать ненужную копию или изменить процесс вместо покупки нового продукта.

Обратная ситуация: компания считает данные «недорогими», но без них не может отгружать товар или начислять зарплату. Потеря доступности может обойтись дороже предполагаемой стоимости самой базы. Копия прайс-листа и актуальные заказы — оба файла, но для бизнеса они неравнозначны.

Подход с оценкой последствий и приоритетов используется в NIST CSF 2.0. Это методический ориентир, а не подтверждение соответствия российским требованиям и не обязательный для всех компаний перечень покупок.

Что именно защищаем: раскрытие, изменение и недоступность

Одна мера не решает все три задачи. Резервная копия помогает вернуть данные после потери или повреждения, но не возвращает секретность уже опубликованного документа. Контроль отправки файлов не заменяет проверенное восстановление. Поэтому бюджет строят по сценариям, а не по числу установленных средств защиты.

Начните с короткого списка: какие процессы остановятся, кому нельзя раскрывать информацию, что опасно изменить и сколько времени компания может обходиться без сервиса. Для каждого процесса нужен владелец, который подтвердит последствия и допустимый перерыв.

Из чего складывается ущерб: считать деньги без двойного учёта

• Восстановление: внешние работы, переустановка, возврат данных, сверхурочные и привлечение специалистов.
• Потеря результата бизнеса: сорванные отгрузки, потерянная маржа, отменённые заказы. Оборот не следует автоматически записывать в убыток целиком.
• Ручная обработка: повторный ввод документов, сверка, поиск неверных операций и обслуживание накопившейся очереди.
• Последствия для клиентов и обязательств: обоснованные компенсации, разбор претензий, уведомления и работа с контрагентами — когда они действительно применимы.
• Длительные последствия: утраченные клиенты, раскрытие коммерческих условий, потеря конкурентного преимущества. Такие оценки лучше задавать диапазоном с объяснением.

Не складывайте все возможные максимумы. Если потерянная маржа уже включает определённые расходы, повторно добавлять их нельзя. Ушедший клиент и потерянный по той же причине заказ также могут описывать один результат. Отложенная отгрузка не всегда потерянная: часть операций удастся выполнить позже.

Удобный способ проверки — попросить финансового и операционного руководителей отдельно подтвердить каждую строку: что считается, за какой период и почему. Если точного значения нет, записывают диапазон и источник предположения, а не создают видимость точности.

Три ситуации: одинаковый бюджет защиты не подойдёт всем

Это модельные ситуации, а не истории клиентов. Их задача — помочь составить собственный перечень рисков и увидеть, почему одинаковый набор лицензий не всегда даёт одинаковую пользу.

Вирус-шифровальщик: считать не только потерю файлов

В ущерб включают: простой, восстановление инфраструктуры, проверку и повторный ввод документов, расследование и устранение пути проникновения. Если перед шифрованием данные похитили, отдельно оценивают последствия раскрытия — наличие хорошей копии их не отменяет. Такой сценарий описан в рекомендациях Microsoft по защите от ransomware.

На что направлять бюджет:

• Защита конечных устройств, обновления и ограничение административных прав.
• Защищённый удалённый доступ и разделение сети, чтобы компрометация одного компьютера не открывала всё сразу.
• Отдельные права на резервирование, недоступная из обычной рабочей среды или неизменяемая копия и контроль её сохранности.
• Учение по восстановлению на чистой площадке, проверка нужной точки данных и готовности лицензий.
• Наблюдение за событиями и согласованный порядок изоляции, расследования и возврата к работе.

Как проверить результат: восстановить выбранную базу и файловый ресурс в изолированной среде, измерить полный срок до рабочего процесса и проверить, может ли обычная или скомпрометированная рабочая учётная запись удалить защищённые копии. Сам факт успешного задания копирования этого не доказывает.

Требование выкупа не следует считать ценой гарантированного восстановления или гарантией неразглашения. В расчёте нужны стоимость самостоятельного возврата и остаточные последствия. Подробнее о проверяемой стороне резервирования — неизменяемые копии и контроль восстановления.

Сотрудник передал коммерческую информацию другой компании

Что оценивать: потерянную маржу по действительно сорванным сделкам, затраты на изменение коммерческих условий, последствия раскрытия технологии, расследование и применимые обязательства перед клиентами. Не нужно автоматически записывать в убыток всю стоимость клиентской базы или весь оборот компании.

Простой пример: если сотрудник передал конкуренту условия предложения по контракту на 12 млн ₽, это ещё не означает ущерб 12 млн ₽. Для одного сценария смотрят на плановую маржу, вероятность потери сделки и подтверждаемые дополнительные расходы. Даже контракт с маржой 2 млн ₽ не доказывает, что вся эта сумма уже потеряна. Долгосрочную утрату клиентов и преимущество конкурента оценивают отдельно, без повторного счёта тех же сделок.

На что направлять бюджет:

• Доступ к документам по рабочей необходимости и учёт прав собственных сотрудников и подрядчиков.
• Правила разрешённой передачи, классификация важных данных и контроль массовых выгрузок.
• DLP и аудит нужных каналов: почта, облака, USB, печать и другие фактически используемые способы передачи.
• Процесс обработки уведомлений, сохранение исходных событий и ответственный за разбор.
• Изменение и отзыв доступов при смене роли или завершении работ, в том числе внешних учётных записей.

Пример класса решений — InfoWatch Traffic Monitor. Выбирают не название продукта, а охват нужных каналов и проверяемые политики. DLP не гарантирует блокировку любой утечки: фотография экрана личным телефоном и передача сведений по памяти требуют иных мер. Возможности контроля проверяют в конкретной среде.

Как проверить результат: провести согласованную тестовую передачу обезличенного документа через выбранные каналы, убедиться в срабатывании нужного правила и прохождении уведомления до ответственного. Аномальная активность — повод разобраться, а не автоматическое доказательство злого умысла. Контроль организуют с учётом применимых требований и принятого порядка компании.

Как сравнить риск и стоимость защиты: простая модель

Дальше сравнивают исходный и остаточный риск: снижение ожидаемых потерь = потери до мер − потери после мер. Экономический результат в выбранном периоде — это снижение минус полная стоимость мер за тот же период. Положительное число зависит от качества вводных и не является гарантией окупаемости.

Не сравнивайте годовую вероятность с расходами за три года, а максимум одного инцидента — с ожидаемыми потерями за год. Разовая цена и периодическое обслуживание тоже требуют общего горизонта. При серьёзном проекте финансовая модель дополнительно учитывает сроки платежей и стоимость денег.

Если вероятности неизвестны, начните с диапазонов и сценариев, а не назначайте точные проценты по ощущениям. Подход к оценке риска изложен в NIST SP 800-30; приведённая здесь формула — упрощённая учебная модель для разговора о бюджете, а не полная методика стандарта.

Пример в рублях: проект за 360 тысяч в годовом расчёте

Условные исходные данные: рассматриваем один сценарий остановки учётной системы на год. Финансовый руководитель оценил ущерб события в 3 млн ₽. Для иллюстрации примем вероятность 20% до мер и 5% после, а ущерб после мер — 1,5 млн ₽. Эти вероятности не получены из статистики и не подтверждают эффективность какого-либо продукта.

Расходы на меры также условные: запуск 180 000 ₽ и эксплуатация 300 000 ₽ в год. На горизонте трёх лет без дисконтирования это 180 000 + 300 000 × 3 = 1 080 000 ₽, или в среднем 360 000 ₽ в год. Реальный денежный расход первого года при такой схеме — 480 000 ₽; среднегодовой показатель не заменяет кассовый план.

Снижение ожидаемых потерь: 600 000 − 75 000 = 525 000 ₽ в год. После учёта мер: 525 000 − 360 000 = 165 000 ₽ в год. При неизменных вводных за три года ожидаемые потери без мер составили бы 1,8 млн ₽, с мерами — 225 тыс. ₽; вместе с расходами — 1,305 млн ₽. Разница — 495 тыс. ₽.

Чего этот пример не доказывает: что пакет за 360 тыс. ₽ даст именно такое снижение. Для проверки нужны состав работ, исходное состояние и свидетельства результата. Один сценарий не следует использовать как оправдание цены защиты всей компании.

Почему красивую окупаемость нужно проверить на других вводных

Отрицательное число означает, что в данной упрощённой модели ожидаемое снижение меньше затрат. Оно не разрешает нарушать обязательные требования и не доказывает допустимость редкого катастрофического события. Если потеря 3 млн ₽ остановит компанию, одной средней оценки недостаточно.

Оценку вероятности сложнее подтвердить, чем цену лицензий. Результат учения может доказать срок восстановления, но не точную частоту будущих атак. Поэтому отдельно фиксируют, что измерено, что оценено экспертно и где ещё нет данных. Решение пересматривают после изменения бизнеса, инфраструктуры или существенного инцидента.

Что включить в бюджет кроме покупки лицензий

На листе бюджета должны быть владелец статьи расходов, периодичность и основание расчёта. Полезно отличать уже существующие затраты от дополнительных: если часть работ входит в действующий договор обслуживания, не нужно покупать их второй раз. Но и считать труд инженеров бесплатным нельзя.

Облачное размещение может изменить структуру расходов и распределение обязанностей, однако не снимает ответственность за учётные записи, настройки приложений и данные. Заранее определяют, кто хранит копии, кто проверяет возврат и кто реагирует на событие. Аренда диска сама по себе не является услугой резервного копирования.

С чего начинать, если бюджет ограничен

1. Найти самое опасное для работы. Отгрузка, платежи, учёт, ключевые документы. Уточнить допустимые потери и срок перерыва.
2. Закрыть очевидные зависимости. Один общий пароль администратора, доступ у бывшего сотрудника, копии только на том же узле, неизвестный порядок восстановления.
3. Проверить уже купленное. Работает ли защита на всех нужных узлах, кто получает уведомления, настроены ли права и обновления.
4. Сравнить варианты решения одного риска. Изменение процесса, настройка имеющегося средства, отдельный продукт или услуга сопровождения.
5. Ввести измеримый результат. Например: доступ отзывается по процедуре, выбранная база восстанавливается в согласованный срок, отправка определённых документов фиксируется и разбирается.

Практический подход к небольшому бизнесу описан в руководстве NIST SP 1300. Оно связывает меры с процессами, ответственными и восстановлением. Это полезнее универсального совета тратить одинаковый процент выручки для компаний с разными рисками.

Рекомендация «всем сначала купить DLP» столь же слаба, как «достаточно антивируса». Приоритет определяют исходный сценарий и текущее состояние. Подробности отдельных средств есть в статьях про NGFW, защиту рабочих станций и резервное копирование.

Какие решения есть кроме покупки ещё одной системы

Такие варианты ответа на риск и роль его владельца рассматриваются в NIST IR 8286B, актуализация 2025 года. Приоритет зависит не только от среднего денежного показателя, но и от целей и способности организации пережить последствия.

«Мы ничего не купили» не означает автоматического принятия риска. Нужна запись: какой сценарий рассмотрели, почему выбранный остаток допустим, какие базовые меры остаются и когда вернутся к вопросу. Аналогично купленная лицензия без настройки не является свидетельством уменьшения риска.

Что спросить у подрядчика перед согласованием сметы

• Какой именно сценарий закрывает каждая строка предложения?
• Что входит в запуск и регулярное обслуживание, а что оплачивается отдельно?
• Какие данные и доступы потребуются, кто отвечает за их хранение?
• Как будет доказано, что средство работает в нашей инфраструктуре?
• Кто и в какое время разбирает уведомления и реагирует на отказ?
• Какие ограничения и остаточные риски сохраняются после проекта?
• Что потребуется при росте числа сотрудников или смене системы?

Сравнивайте предложения по одинаковому охвату: число пользователей и узлов, приложения, каналы передачи, хранение журналов, реакция и восстановление. Лицензия на 50 рабочих мест и услуга полного сопровождения не становятся сопоставимыми только потому, что обе названы «защитой».

Для итогового решения руководителю нужны краткая карта рисков, варианты, полная стоимость, ожидаемый результат и ограничения. Сами финансовые вводные должны оставаться данными компании, а не цифрами из рекламной презентации.

Памятки: карта риска и проверка бюджета

Составить план защиты под задачи компании

Частые вопросы о стоимости информационной безопасности