«Нас іще жодного разу не ламали — отже, все гаразд». Так міркують до першого інциденту. Проблема одна: захист — це страховка, вартість якої видно щодня, а користь — лише одного разу. Розберімося чесно, у що обходиться економія та як порахувати цифри для керівництва.
Чому нам потрібна кібербезпека — коротка відповідь
Річ зовсім не в тім, аби «бути захищеними» (стан невимірний, а отже, марний як мета). Річ у тім, аби бізнес продовжував працювати, коли щось піде шкереберть: коли працівник відкриє шкідливе вкладення, коли зламається постачальник, коли зникне доступ до бази.
Усе інше — похідні від цієї фрази.
П'ять рахунків, які приходять після інциденту
1. Простій. Найшвидший збиток. Якщо програма-вимагач зашифрувала системи, зупиняється все: замовлення, склад, бухгалтерія. Для інтернет-магазину кожна година недоступності — прямі втрати виручки.
2. Втрата даних. Якщо резервних копій немає або вони теж зашифровані, дані втрачено назавжди: клієнтська база, договори, історія операцій. Іноді це фатально.
3. Репутація та клієнти. Витік персональних даних відновлювати доведеться роками. Партнери починають вимагати підтверджень захищеності — а їх немає.
4. Правові наслідки. Порушення вимог до захисту даних, невиконання договірних зобов'язань, розслідування, компенсації. Для регульованих сфер додаються вимоги закону (див. критична інфраструктура).
5. Час людей — рахунок, який забувають. Місяць після серйозного інциденту керівник, ІТ-служба, юрист та бухгалтерія займаються переважно ним. Усі проєкти цього періоду просто зупиняються. Цей збиток ніде не проведений, зате він реальний.
Як порахувати вартість простою
Розмова про бюджет починається тоді, коли з'являється цифра. Порахувати її можна за десять хвилин:
- Виручка за годину = місячна виручка ÷ робочі години місяця.
- Години простою — реалістичні, а не бажані. Відновлення із копії, яку ніхто ніколи ще не розгортав, триває дні.
- Фіксовані витрати тривають і під час простою: оренда, зарплати, підписки.
- Вартість відновлення: зовнішні спеціалісти, понаднормові, нове обладнання.
- Втрачені клієнти: частка тих, хто пішов до конкурента та вже не повернувся.
Умовний приклад: місячна виручка — два мільйони гривень, робочих годин у місяці — сто сімдесят шість. Виходить близько одинадцяти тисяч гривень за годину. Три доби простою — це вже понад вісімсот тисяч, і це ще без вартості відновлення та втрачених клієнтів.
Сума цих п'яти рядків — та сама цифра, яку варто покласти поруч із рахунком за захист. Зазвичай після такої вправи суперечка про доцільність закінчується сама собою.
Асиметрія: чому «дешевше» виявляється дорожчим
| Економія | Базовий захист | |
|---|---|---|
| Витрати | Мінімальні щодня | Помірні, передбачувані |
| Ризик простою | Високий | Значно нижчий |
| Відновлення після атаки | Довге, дороге, іноді неможливе | Швидке: є копії, є план |
| Розмова із партнером | «Ми над цим працюємо» | Готовий пакет документів |
Ключова несиметричність: вартість захисту передбачувана, а вартість інциденту — ні. Тому й питання варто ставити інакше: «скільки коштуватиме відсутність захисту в найгіршому сценарії», а зовсім не «скільки коштує захист».
Важливість кібербезпеки очима партнерів і ринку
Донедавна захист був внутрішньою справою. Тепер про нього питають ззовні — і це змінює економіку питання:
- великі замовники надсилають анкети захищеності перед підписанням договору;
- у тендерах з'являються вимоги до сертифікатів та аудиту;
- договори містять пункти про повідомлення щодо інцидентів у визначений строк;
- страховик перед укладенням поліса питає, чи є резервні копії та багатофакторна автентифікація;
- банки й регульовані клієнти перевіряють підрядників як частину власного ланцюга постачання.
Отже, потреба в кібербезпеці зростає радше через ринок, аніж через страх: без базових доказів захищеності вас просто не пускають до великих контрактів. Важливість кібербезпеки перетворилася на питання доступу до клієнтів, а не лише на питання ризику.
Заходи з кібербезпеки, які дають найбільшу віддачу
Хороша новина: більшість реальних атак зупиняється дешевими речами. Заходи з кібербезпеки варто впорядкувати саме за співвідношенням «ефект — витрати».
| Захід | Який сценарій закриває | Ціна |
|---|---|---|
| Багатофакторна автентифікація | Украдений або підібраний пароль | Безкоштовно |
| Резервна копія поза мережею | Шифрувальник | Вартість диска чи сховища |
| Перевірка відновлення із копії | Ілюзія копії, яку ніхто жодного разу ще не розгортав | Півдня раз на квартал |
| Регулярні оновлення | Відомі вразливості | Час адміністратора |
| Навчання проти фішингу | Головний вхід нападника | Година на півріччя |
| Мінімальні права доступу | Масштаб шкоди після зламу однієї людини | Час на перегляд прав |
| План реагування | Хаос перших годин | Кілька днів на написання |
Кожен рядок таблиці посильний і без «рішень для корпорацій» — потрібні лише дисципліна та відповідальний.
Три способи зекономити так, аби потім заплатити більше
Економія на копіях. «Постачальник хмари ж робить копії» — робить, проте кошик очищується за визначений строк, а синхронізація слухняно копіює зашифровані файли поверх здорових. Копія, яку контролюєте ви, коштує дешевше за диск.
Економія на людині. Ліцензії куплено, відповідального немає. Журнали пишуться, сповіщення приходять, читати їх нікому: інструмент без людини — дорога декорація.
Економія на перевірці. Копія є, а відновлення лишається неперевіреним. Такий архів — лише припущення. Ціна перевірки — півдня на квартал.
Страхування кіберризиків: чи рятує поліс
Кіберстрахування стало доступним і для середнього бізнесу, проте навколо нього є два непорозуміння.
Перше: поліс покриває збитки, проте працездатність доведеться повертати самотужки. Гроші повернуться згодом; клієнти, які пішли під час простою, — навряд.
Друге: страховик перед укладенням договору питає про багатофакторну автентифікацію, копії та відповідального — так само, як банк питає про заставу. Отже, поліс — не заміна кібербезпеки, а надбудова над нею: без базових заходів його або не продадуть, або продадуть дорого.
Як говорити про бюджет із керівництвом
Три правила, які працюють краще за страшилки:
- Рахуйте у грошах, а не в загрозах. «Нас можуть атакувати» ігнорують. «Доба простою коштує стільки-то» — обговорюють.
- Показуйте сценарій, а не перелік товарів. Керівник купує відповідь на питання «що станеться у вівторок, якщо…».
- Просіть не «на безпеку», а на конкретний ризик. Бюджет на «кібербезпеку взагалі» ріжуть першим. Бюджет на «зменшення простою з трьох діб до чотирьох годин» захищають.
Корисно також показати, скільки коштує бездіяльність за рік: імовірність × збиток. Навіть груба оцінка змінює тон розмови.
Чого гроші не купують
Дорогі інструменти безсилі без трьох речей: відповідального, перевірених копій та навчених людей. Компанії, які купують ліцензії замість того, аби впорядкувати доступи, отримують дорогі журнали подій, які ніхто й не відкриває (докладніше — у статті про ешелонований захист).
Захист потрібен ані тому, що «всі так роблять», ані тому, що страшно. Він потрібен, аби бізнес пережив поганий день і працював далі. Це інвестиція у стійкість, а не витрати на страх.