Главное правило бюджета безопасности простое: вложения в защиту от риска не должны превышать ущерб от его реализации. Сложность в том, чтобы этот ущерб посчитать, и считать его приходится вместе с другими руководителями компании.
Ущерб считают вместе
Оценка рисков — большая работа, в которую должны быть вовлечены все ключевые руководители бизнеса. Финансовый директор знает цену дня простоя, коммерческий — цену потерянного клиента, юрист — размер возможных штрафов.
Исходные данные дают свой сегмент рынка: какие инциденты случались у компаний вашей отрасли — утечки, шифрование инфраструктуры, остановки деятельности. Сравнивать себя с соседом можно, помня, что злоумышленнику интересны все компании, и защищённые, и нет.
Проще всего посчитать штрафы. С 30 мая 2025 года утечка персональных данных стоит юридическому лицу от 3 до 15 млн рублей в зависимости от числа затронутых людей, утечка биометрии — до 20 млн. Повторная утечка — оборотный штраф от 1 до 3% годовой выручки, но не меньше 20 млн и не больше 500 млн рублей.
Стабильность как результат
Самый простой показатель эффективности вложений в ИБ — стабильная работа бизнеса: процессы не останавливаются, взломов и утечек нет. С финансовым директором продуктивнее всего говорить именно на языке стабильности: когда почти все процессы компании цифровые, безопасность становится условием того, что они работают без остановок.
Вложения в стабильность — стратегическое преимущество: они снижают риск простоев и тем самым повышают стоимость актива. Есть и прямой коммерческий эффект. Внешний аудит ИБ и сертификат соответствия стандарту ISO/IEC 27001 повышают привлекательность компании для клиентов и заказчиков и помогают выделиться среди конкурентов.
Какую модель взять
Методик оценки рисков несколько, но не все умеют работать с киберрисками. CORAS не позволяет оценить эффективность вложений в меры защиты. CRAMM даёт количественную и качественную оценку ИТ-рисков, но не учитывает осведомлённость сотрудников, хотя сегодня это один из важнейших факторов. OCTAVE, на мой взгляд, полнее всех отвечает задаче: оценивает эффективность мер, даёт структурированный подход к управлению рисками и адаптируется под размер компании, вид бизнеса, требования закона и отраслевых стандартов. Для промышленности, где онлайн-взаимодействия меньше, чем в финансах, и важные сегменты можно изолировать, OCTAVE — самый простой выбор.
Если бюджет ограничен
Ограниченный бюджет — самая обычная ситуация. Здесь всё решают приоритеты: сначала закрывать проблемы и уязвимости, которые несут самый высокий риск для инфраструктуры. Главное условие оптимизации — грамотное управление ИБ и правильная командная работа.
Отправная цифра
Задайте себе вопрос: «Как бы вы оценили зрелость информационной безопасности в вашей организации?» Честный ответ подскажет, с каких рисков начинать расчёт вместе с финансовым директором. На интенсиве каждый участник получает по своей компании карту рисков, список первоочередных мер и план развития ИБ.