Экономика ИБ

Кривая убывающей отдачи

В экономике безопасности давно известен принцип убывающей отдачи: каждый следующий рубль, вложенный в защиту, приносит все меньше снижения риска. Первые 20% бюджета закрывают 80% наиболее критичных уязвимостей. Оставшиеся 80% бюджета борются с оставшимися 20% - часто экзотическими угрозами с низкой вероятностью реализации.

Это не означает, что нужно экономить на всем. Это означает, что приоритизация критичнее объема.

Три категории затрат на ИБ

Весь бюджет службы безопасности делится на три компоненты:

Заметим, что компании недофинансируют превентивные и детектирующие меры — и переплачивают за корректирующие. Восстановление после инцидента в 5−10 раз дороже предотвращения.

Формула оценки риска в деньгах (ALE)

Фундаментальный принцип: стоимость защиты не должна превышать стоимость защищаемого актива, умноженную на вероятность угрозы. Для расчета используется метрика годового ожидаемого ущерба (ALE −Annual Loss Expectancy):

Пример: утечка клиентской базы = 30 млн руб. × 10% вероятность = ALE = 3 млн руб./год. Вывод: тратить на защиту от этой угрозы более 3 млн/год – экономически нецелесообразно.

Метрики, которые реально работают

Традиционный показатель возврата инвестиций (ROI − Return on Investment) плохо применим к ИБ — сложно «продать» предотвращенный ущерб. Более рабочие метрики:

По данным IBM Cost of a Data Breach Report, наличие выделенной команды реагирования снижает среднюю стоимость инцидента на 1,49 млн долларов. Это конкретная, измеримая окупаемость.

Сколько стоит не защищаться?

Мировая стоимость инцидента в 2024–2025 годах

Данные IBM Cost of a Data Breach Report фиксируют рост среднего ущерба от утечки данных с 4,45 млн долларов в 2023 году до 4,88 млн долларов в 2024 году — самый большой годовой скачок с эпохи пандемии. В 2025 году показатель скорректировался до 4,44 млн долларов на фоне распространения инструментов автоматизации защиты.

Примечательно: 70% организаций сообщили о значительных нарушениях бизнес-процессов после атаки, и только 12% полностью восстановились в разумные сроки. Остальные продолжают работать с последствиями.

Российская специфика: штрафы и нормативное регулирование

С 2025 года ландшафт нормативных рисков в России кардинально изменился. Принятые поправки к законодательству о персональных данных предусматривают:

Российский рынок ИБ в цифрах

По данным CNews Analytics, более 62% российских ИТ-компаний запланировали рост бюджета на ИБ в 2025 году. Тенденция сохраняется: по данным исследования Кода Безопасности, 64% российских организаций не планируют сокращать инвестиции в ИБ в 2026 году, а 32% намерены их увеличить. По прогнозу Центра стратегических разработок, российский рынок ИБ вырастет в 2026 году на 12% − до 448 млрд рублей, а к 2030 году достигнет 968 млрд рублей. Главные драйверы роста: увеличение числа и сложности атак, ужесточение нормативного регулирования, кадровый дефицит, импортозамещение.

Человеческий фактор: главная уязвимость

По данным Verizon DBIR, более 68% нарушений ИБ происходило из-за случайных действий пользователей. По российской статистике СерчИнформ, 67% инцидентов в российских компаниях сотрудники совершали случайно.

При этом IBM фиксирует три главных фактора, снижающих среднюю стоимость инцидента — обучение сотрудников, использование инструментов искусственного интеллекта и машинного обучения (AI/ML) и применение систем управления событиями безопасности (SIEM). Вложения в осведомленность дают один из лучших показателей возврата инвестиций в безопасность (ROSI).

Практика: как оптимизировать без потери качества

Риск-ориентированный подход: защищать то, что важно

Главная ошибка при формировании бюджета ИБ — попытка защитить все одинаково. На практике это означает защищать все плохо.

Риск-ориентированный подход требует последовательных шагов:

1. Инвентаризация активов — что именно нужно защищать? Данные клиентов, финансовые системы, производственные процессы?

2. Оценка критичности — какие активы при компрометации приведут к максимальному ущербу?

Матрица рисков — результат оценки — показывает консолидированную картину и позволяет построить дорожную карту, понятную бизнесу: «мы защищаем вот эти активы, потому что их потеря обойдется компании в такую-то сумму». Это существенно упрощает согласование бюджета.

Меры с наилучшим показателем возврата инвестиций в безопасность (ROSI): что дает максимум при минимуме

При ущербе от человеческого фактора в 67−80% инцидентов — это самая дешевая и эффективная инвестиция. Системное обучение снижает количество успешных фишинговых атак в 5−7 раз. При этом годовой бюджет на обучение 100 сотрудников сопоставим со стоимостью одного серьезного инцидента.

2. Многофакторная аутентификация (MFA)

По данным Microsoft, многофакторная аутентификация блокирует более 99% атак на основе скомпрометированных учетных данных. Стоимость внедрения — от нескольких тысяч рублей на пользователя в год. Стоимость инцидента из-за компрометации учетной записи — в разы выше. Это, пожалуй, самая дешевая «страховка» в ИБ.

3. Управление уязвимостями и патч-менеджмент

Большинство успешных атак эксплуатируют уязвимости, для которых патч уже выпущен. Регулярный аудит уязвимостей плюс структурированный процесс патч-менеджмента закрывают целый класс угроз без дорогостоящих инструментов.

4. Резервное копирование по правилу 3−2-1

Три копии данных, на двух разных носителях, одна — вне периметра. Стоимость хранения — копейки относительно стоимости восстановления после атак шифровальщиков. При этом план восстановления нужно регулярно тестировать: неработающий бэкап хуже его отсутствия.

5. Сегментация сети

Грамотная сегментация не требует дорогого оборудования, но существенно ограничивает горизонтальное распространение атаки. «Упавший» сегмент не означает катастрофы для всей инфраструктуры.

Аутсорсинг или собственная команда: экономика выбора

Один из ключевых вопросов при оптимизации бюджета — строить ли собственную ИБ-функцию или передать ее внешнему провайдеру?

По оценкам РАЭК, свыше 70% российских организаций в 2025 году увеличили инвестиции в передачу функций ИБ внешним провайдерам. Дефицит кадров превысил 55 тысяч специалистов по всей стране.

Когда аутсорсинг не подходит: организации с жесткими требованиями к конфиденциальности данных (государственной структуры с государственной тайной), компании с уникальной инфраструктурой, где контекст наработан годами. Отдельную роль играют нормативные требования: в частности, Указ Президента Российской Федерации от 01.05.2022 № 250 «О дополнительных мерах по обеспечению информационной безопасности Российской Федерации» обязывает организации из числа субъектов критической информационной инфраструктуры, государственных органов и госкорпораций иметь штатных ИБ-специалистов и назначать заместителя руководителя, ответственного за ИБ. Для таких организаций полный аутсорсинг ИБ-функции невозможен по закону − внешний провайдер может лишь дополнять штатную команду.

Принцип «Безопасность с самого начала» (Shift Left Security) гласит: безопасность нужно встраивать на этапе проектирования архитектуры, а не «прикручивать» к готовой системе. Ключевые инструменты:

Практические рекомендации для директора по ИБ (CISO)

Как обосновать бюджет перед советом директоров

Язык директора по ИБ (CISO) и язык финансового директора (CFO) — разные языки. Техническая терминология в разговоре с бизнесом не работает. Работает следующее:

Оптимальное распределение бюджета ИБ

Чек-лист: приоритеты при ограниченном бюджете

Сократить риски без увеличения затрат — это не красивый лозунг и не невозможная задача. Это результат системного подхода: понимания того, что защищать, от чего защищать и как выстроить защиту с максимальной эффективностью при имеющихся ресурсах.

Мир не станет безопаснее. Атак больше, они сложнее, порог входа для атакующих снижается. В первом полугодии 2025 года российские компании подверглись более чем 63 000 кибератак — на 27% больше, чем годом ранее. Но это не повод паниковать и покупать все подряд. Это повод думать стратегически.