Как понять, что безопасность окупается: считаем ROI в ИБ

Посчитать окупаемость ИБ-решения почти всегда сложнее, чем внедрить само решение. Инцидент, который не произошел, не видно в отчетах, а снижение рисков не всегда просто перевести в деньги. Из-за этого бюджеты на безопасность часто обсуждаются вслепую: без цифр, без сравнимых показателей, без понимания, что работает, а что нет. Специально для Кибер Медиа менеджер направления «Услуги ИБ от Контур.Эгиды» Екатерина Рудая рассказывает, как оценивать риски, считать выгоду и показывать ROI так, чтобы он был понятен.

Почему ROI в ИБ сложно посчитать

Измерение эффективности вложений в ИБ чаще всего упирается в две проблемы.

Сложно оцифровать предотвращенные инциденты

Представим возможный инцидент: фишинговое письмо, компрометация учетной записи, остановка части сервисов. Если этого не произошло, как объяснить, сколько компания сэкономила? Ущерб существует только в сценарии «что было бы, если». Поэтому расчет ROI всегда опирается на вероятности, анализ процессов и честную модель рисков.

Эффект распределен между десятками процессов

Один инструмент может сокращать время реакции на инцидент, другой — снижать вероятность фишинговых атак, третий — помогать быстрее проходить проверки. Все эти эффекты суммируются, но не всегда с ходу очевидны.

Чтобы расчеты были реалистичны, важно понимать, из каких компонентов складывается ROI в ИБ. Здесь помогает такая формула:

ROI = (Предотвращенный ущерб + Экономия за счет оптимизации процессов – Стоимость владения) / Стоимость владения

Формула понятная, но ключевой вопрос — как определить, что именно предотвращено и сколько эти инциденты могли бы стоить компании?

Что в ИБ можно измерить: опорные точки

Чтобы считать ROI, нужно понимать, какие данные вообще поддаются оцифровке. Это вполне конкретные параметры.

Вот основные категории, которые поддаются измерению.

Риски и их стоимость

Любая компания может описать, какие угрозы для нее наиболее вероятны — они должны быть описаны в модели угроз вместе с последствиями, которые они за собой влекут. Например: простои интернет-магазина в сезон, атаки на бухгалтерские системы перед отчетными датами, фишинговые атаки на отдел продаж. Далее оценивается, во что выливается каждый такой сценарий: потерянные платежи, несданная отчетность, остановка переговоров, штрафы, репутационные последствия. Это и есть основа расчета стоимости риска.

Примеры возможных последствий атаки:

Стоимость инцидента

Если компания хотя бы раз сталкивалась с инцидентом в сфере информационной безопасности, у нее уже есть опорные цифры: сколько времени заняло восстановление, какие системы пострадали, сколько специалистов участвовали в устранении последствий, были ли убытки или санкции. Даже если точных расчетов нет, постфактум можно собрать данные и извлечь из них модель для будущих оценок.

Стоимость владения ИБ-решениями

Важная часть расчета ROI — не только потенциальная экономия, но и реальные расходы на ИБ-систему. Они включают в себя: лицензию, работу по внедрению решений, время ИБ-специалистов (затраченное и на внедрение, и на поддержку), инфраструктуру и ее обслуживание, обучение сотрудников, регулярные проверки. В сумме это зачастую больше, чем просто ценник продукта.

Изменения в процессах

Внедрение ИБ-решений влияет на операционные процессы: ускоряет расследования, снижает нагрузку на команду, уменьшает число ложных тревог, упрощает взаимодействие с регуляторами. Все эти «нефинансовые» эффекты можно превратить в цифры, если понять, сколько часов и ресурсов команда тратила до и после внедрения решений.

Метрики, которые показывают динамику

Примеры:

Хорошая практика — связать каждую метрику с бизнес-процессами и влиянием на финансовые показатели. Например, «снижение MTTR» можно перевести в экономию через сокращение времени простоя сервисов и систем.

Как подойти к расчету ROI: пошаговая схема

В отличие от финансовых моделей, ROI в ИБ невозможно посчитать «в лоб». Но можно выстроить систему, которая делает расчет прозрачным, обоснованным и подходящим для принятия решений.

Шаг 1. Зафиксировать актуальные сценарии рисков

Для расчета ROI не обязательно нужна формальная модель угроз с классификациями. Достаточно зафиксировать несколько сценариев, которые для вашей компании реально возможны и болезненны сейчас. Это может быть простой ключевого сервиса, компрометация учетной записи администратора, утечка данных через фишинг или отказ критичной системы в пиковый период.

Такой список не обязан быть полным или по ГОСТу. Его задача — дать точку отсчета: от каких именно событий вы хотите защититься и какие последствия они повлекут для бизнеса.

Шаг 2. Определить защитные меры, которые воздействуют на риски

Здесь важно смотреть не на категории решений, а на то, как они меняют картину именно в вашей компании в соответствии с вашей моделью угроз.

Например:

• Системы антифишинга уменьшают вероятность успешных атак на сотрудников.
• Системы контроля привилегированных доступов (PAM) предотвращают злоупотребления и помогают вовремя отреагировать, даже если учетная запись уже попала к злоумышленнику.
• Системы обнаружения угроз сокращают время между моментом взлома и моментом реагирования.

Каждая защитная мера должна рассматриваться с точки зрения того, какую часть риска она снижает: уменьшает вероятность инцидента, ограничивает его масштаб или сокращает последствия. Это помогает увидеть, какие вложения приносят реальную пользу, а какие — закрывают только формальные требования.

Шаг 3. Посчитать стоимость владения

В расчете стоимости владения важно учесть:

• стоимость лицензии и подписки;
• инфраструктурные затраты;
• затраты на внедрение и настройку;
• регулярное сопровождение;
• обучение сотрудников;
• трудозатраты специалистов.

Компании часто считают стоимостью владения только цену лицензии, из-за чего ROI выглядит завышенным или заниженным — в обе стороны это искажает реальность.

Шаг 4. Оценить эффекты

Последствия внедрения ИБ-средств могут быть заметными уже через два-три месяца. Наиболее понятные эффекты:

• снижение числа инцидентов определенного класса;
• снижение времени простоя при атаках;
• уменьшение числа ложных тревог;
• ускорение прохождения аудитов и проверок;
• повышение прозрачности инфраструктуры.

Важно: какие-то эффекты (такие, как снижение нагрузки на команду) проявляются постепенно, а некоторые — только в критических ситуациях. Например, если расследование инцидента раньше занимало неделю, а теперь — один рабочий день, компания получает измеряемую экономию: высвобождаются рабочие часы, уменьшается вероятность пропуска атак, снижается давление на сотрудников.

Шаг 5. Перевести эффекты в деньги

Чтобы результаты были сопоставимы, каждый эффект нужно выразить в деньгах.

Например, простой публичного сервиса обходится компании в среднем в 300 000 рублей за час. До внедрения защиты от DDoS сервис регулярно становился недоступным в пиковые периоды — в среднем на один-два часа за инцидент.

После внедрения анти-DDoS вероятность таких простоев существенно снизилась: атаки перестали приводить к недоступности сервиса. В результате компания не столько «сократила время простоя», сколько перестала регулярно его получать.

Экономический эффект в этом случае считается как предотвращенные простои за период — и именно они формируют ROI защитной меры.

Такие расчеты можно проводить для всех ключевых процессов.

Шаг 6. Посчитать ROI

После того как известно TCO и предотвращенный ущерб, ROI можно посчитать в диапазонах:

ROI = (Предотвращенный ущерб – Стоимость владения) / Стоимость владения

Нормальные значения ROI для ИБ — это как раз диапазоны, а не точные числа.

Где могут возникать ошибки

Частая ошибка — оценивать только стоимость самих решений и игнорировать стоимость рисков. В такой модели ИБ-система всегда выглядит дорогой. Но если компания хотя бы раз сталкивалась с инцидентом, становится понятно, что один простой может иногда обойтись дороже годовой лицензии на ИБ-систему.

Вторая возможная проблема — попытка считать ROI для каждого компонента ИБ-системы в отдельности, а не для всей системы. Безопасность работает комплексно: если поставить только PAM или только систему обнаружения угроз, эффект будет ограниченным. Ценность проявляется тогда, когда инструменты связаны между собой и поддерживают процессы в целом.

Третья ошибка — короткий горизонт оценки. Меры информационной безопасности не всегда дают эффект за первый месяц; многие из них работают на долгосрочное снижение рисков.

С чего начать: пошаговый план

Если модель расчета ROI еще не выстроена, начать можно с малого.

Опишите реальные риски

Начать можно с короткого списка ситуаций, которые действительно могут случиться в вашей компании: простой сервиса, компрометация учетной записи, заражение рабочих станций, недоступность критичной системы. Для каждого сценария определите, если это возможно, какие процессы остановятся и сколько времени потребуется на восстановление. Это даст рабочее понимание того, что именно в вашей инфраструктуре уязвимо и насколько серьезными могут быть последствия.

Определите критичные бизнес-процессы

Когда риски описаны, расставьте приоритеты: какие из них повлияют на финансовый контур, на выполнение обязательств перед клиентами или на репутацию. Этого может быть достаточно, чтобы увидеть, какие угрозы действительно критичны. Такая приоритизация помогает не распыляться и понимать, где защита даст наибольший эффект.

Оцените диапазон возможных последствий инцидента

В реальной жизни ИБ-инциденты сильно различаются по масштабу. В одном случае это может быть формальный штраф или локальный сбой, в другом — шифрование инфраструктуры и остановка бизнеса на несколько дней. Поэтому на этом этапе не стоит пытаться вывести среднюю стоимость инцидента.

Гораздо практичнее определить несколько типовых сценариев — от минимального до тяжелого — и оценить последствия каждого из них. Это могут быть прямые потери от простоя, штрафы, затраты на восстановление, привлечение внешних специалистов. Такой диапазон и станет основой для расчета предотвращенного ущерба.

Соберите полную стоимость владения текущими мерами защиты

Чтобы расчет ROI был точным, важно понимать, сколько реально стоит защита: лицензии, инфраструктура, внедрение, поддержка, обучение сотрудников. Все эти компоненты складываются в годовую стоимость владения. Часто компании считают только цену подписки, но общая сумма оказывается выше, и именно она используется при расчете окупаемости.

Опишите, какие эффекты дают ваши ИБ-решения

Здесь важно определить, каким образом каждое средство защиты меняет ситуацию: снижает вероятность успешной атаки, ускоряет обнаружение, сокращает простои, уменьшает количество ручной работы. Постарайтесь выразить эти эффекты в конкретных величинах: время, количество инцидентов, сокращение нагрузки на команду. Чем понятнее данные, тем проще будет перевести их в деньги.

Переведите эффекты в экономию и рассчитайте ROI

Когда есть стоимость инцидента, эффект от ИБ-решения и затраты на него, становится видно, сколько компания экономит благодаря мерам защиты. После этого можно считать ROI: соотнести предотвращенные потери с затратами и получить аккуратный диапазон окупаемости.

Настройте регулярный пересмотр данных

Риски меняются, инфраструктура меняется, и эффективность мер тоже меняется со временем. Поэтому важно регулярно обновлять данные: смотреть на новые инциденты, уточнять их стоимость, пересматривать стоимость владения ИБ-системой и актуальность решений. Даже простая квартальная ревизия позволяет держать модель в рабочем состоянии и не превращать ROI в одноразовую цифру «для презентации».

Главное

Измерить ROI в ИБ может быть непросто, но возможно. Для этого нужны не точные цифры, а модель: риски, стоимость их реализации и стоимость мер защиты. Когда компания начинает смотреть на безопасность не как на обязательную статью расходов, а как на инвестицию, становится легче принимать взвешенные решения. ИБ перестает быть «черным ящиком» и превращается в управляемую, прогнозируемую и измеряемую часть бизнеса.