Безопасность как актив: почему бизнес начал считать кибербезопасность в деньгах

1 час назад

© Реклама. ООО "АЙТИ БАСТИОН". ИНН 7717789462. erid: CQH36pWzJqVG4jhgSiFGdK4qhQtimyJAJHe8FCzEVHHLyN

Долгое время разговор об инвестициях в информационную безопасность строился по одному и тому же сценарию: CISO (директор по информационной безопасности) приходит к финансовому директору с перечнем угроз, объясняет, что может случиться, и просит деньги на защиту от того, чего еще не произошло. Убедить было сложно — и не потому, что финдиректор не понимал рисков. Просто язык угроз и язык бюджетов — это разные языки.

Сегодня этот разговор постепенно меняется. Все больше компаний начинают рассматривать вложения в ИБ не как вынужденные расходы, а как инвестицию с измеримым финансовым результатом.

Почему сейчас

Несколько факторов повлияли одновременно. Первый — давление на бюджеты. Высокая ключевая ставка замедляет инвестиции в информационную безопасность, заставляя компании откладывать или сокращать проекты. Когда денег меньше, каждая статья расходов требует обоснования. ИБ не исключение.

Второй фактор — персональная ответственность. Введение персональной ответственности руководства за безопасность данных превращает инвестиции в ИБ из рекомендации в обязательное условие ведения бизнеса. Когда за инцидент отвечает конкретный человек, а не абстрактный «отдел ИБ», мотивация принимать взвешенные решения резко возрастает.

Третий — эволюция угроз. В 2026 году киберугрозы в России становятся все более сложными и целенаправленными. Шифровальщики, атаки на цепочку поставок и ИИ-технологии усиливают риски, а компании переходят от формального соблюдения норм к системному подходу. Бумажная безопасность, которая могла спасать раньше, становится уже не такой эффективной.

По итогам 2025 года российская индустрия информационной безопасности перешла от экстренного импортозамещения к планомерному развитию. Период хаотичных закупок перерос в период осознанного выбора.

Проблема риск-ориентированного подхода

Классический подход к обоснованию ИБ-инвестиций строится на оценке рисков: какова вероятность атаки, какой будет ущерб, сколько стоит его предотвратить. Логика понятная, но на практике она часто не работает.

Статистика по инцидентам в России остается неполной — большинство компаний по-прежнему предпочитают не раскрывать факты взломов и утечек. Нет данных — нет достоверной базы для расчета вероятностей.

Риск-ориентированный подход, по сути, предлагает бизнесу платить за то, чего может не случиться. Это психологически неудобная позиция для любого человека, который отвечает за планирование бюджета. Особенно на фоне дефицита бюджетных средств.

При этом, в случае аргументации внедрения на языке рисков, игнорирует операционный эффект от внедрения ИБ-решений. А он есть, и зачастую вполне ощутимый.

ROI-ориентированный подход: в чем разница

Альтернатива — рассматривать ИБ-решение как классическую инвестицию. Такой подход меняет риторику с «мы тратим X, чтобы избежать потери Y», на «мы вкладываем X и получаем I в виде операционной экономии, повышения производительности и снижения издержек».

Разница не только философская. У инвестиции есть конкретные метрики — ROI (возврат инвестиций), NPV (чистая приведeнная стоимость), срок окупаемости. Это язык, который в отличие от языка кибер-рисков понятен финансовому директору без перевода.

Чтобы показать, как это работает на практике, «АйТи Бастион» вместе с аналитической компанией Piccard провели независимое исследование. Задача была простая: посчитать реальный финансовый эффект от внедрения PAM-системы СКДПУ НТ на основе интервью с действующими заказчиками.

PAM (Privileged Access Management) — класс решений для контроля привилегированного доступа: администраторов, подрядчиков и других пользователей, которые работают напрямую с критической инфраструктурой компании. СКДПУ НТ — российская PAM-платформа разработки «АйТи Бастион». Она пропускает все привилегированные сессии через единую точку входа, фиксирует каждое действие пользователя — команды, процессы, передачу файлов — и ведет полную видеозапись работы в системе. Это дает полную прозрачность: кто подключился, когда и что делал в инфраструктуре.

Что показало исследование

Piccard проинтервьюировал представителей пяти организаций из разных отраслей и рассчитал показатели для условной «составной компании».

Совокупный экономический эффект от применения СКДПУ НТ составил 128,6 млн рублей. Основная часть — 59,4 млн — это экономия за счет перевода внешних подрядчиков на защищенный удаленный доступ вместо выделения физических рабочих мест и оплаты командировочных. Еще 44,5 млн — выгода от точного учета трудозатрат подрядчиков: когда каждое действие записывается, можно легко опровергнуть запрос дополнительной оплаты сверхурочных и сорванные сроки.

Оставшийся эффект складывается из менее очевидных, но не менее реальных вещей. СКДПУ НТ сокращает время входа администратора в систему с нескольких минут до секунд. В масштабе 70 сотрудников, каждый из которых заходит в систему в среднем 12 раз в день, это 840 человеко-часов в месяц — почти полная ставка сотрудника, которая просто перестает расходоваться впустую. Плюс 9,7 млн рублей от перевода части администраторов на удаленный формат работы.

Совокупные затраты на владение системой — лицензии, техподдержка, дополнительный персонал — составили 42,7 млн рублей. Итоговые показатели: ROI 201%, чистая приведенная стоимость 86 млн рублей, срок окупаемости — менее 10 месяцев.

Как это меняет роль CISO

За сменой подхода к оценке инвестиций стоит и смена роли ИБ-руководителя. Исторически CISO — это технический эксперт, который говорит «нет» рискованным действиям. Сегодня от него ждут другого.

Когда ИБ-решения можно измерить в рублях экономии и месяцах окупаемости, CISO становится участником бизнес-диалога. Он может говорить с советом директоров на том же языке, на котором говорят финансовый и операционный директоры.

PAM как точка входа в инвестиционное мышление

PAM-системы — хороший пример для демонстрации инвестиционного подхода по нескольким причинам.

Эффект от внедрения поддается измерению напрямую. Количество сессий, время подключения, трудозатраты подрядчиков — все это можно посчитать до внедрения и после.

PAM касается не только безопасности, но и операционных процессов. Организация удаленного доступа, контроль подрядчиков, ускорение работы администраторов — это задачи, которые актуальны для бизнеса независимо от того, думает ли он об ИБ.

Именно через привилегированный доступ происходит большинство серьезных инцидентов. По данным отраслевых исследований, значительная часть успешных атак начинается с компрометации учетных данных администраторов или подрядчиков. Закрыть эту точку входа — значит снизить вероятность наиболее разрушительных сценариев.

Что важно при выборе PAM-решения

Инвестиционный подход предполагает, что выбор системы — это не просто технический вопрос. Это вопрос о том, какой операционный эффект вы получите и через сколько месяцев.

Несколько критериев, которые влияют на реальный ROI:

Скорость подключения. Если каждый вход в систему занимает 2–3 минуты, а не несколько секунд, умножьте это на количество администраторов и число входов в день. Разница может составлять сотни человеко-часов в месяц.

Удобство для подрядчиков. Сложный и неудобный инструмент — это сопротивление пользователей, обходные схемы и в итоге потеря контроля. PAM-система должна органично встраиваться в рабочий процесс, а не создавать дополнительные барьеры.

Глубина аудита. Чем детальнее система фиксирует действия пользователей — команды, процессы, передачу файлов, — тем ценнее она становится при расследовании инцидентов и тем проще выстраивать точный учет трудозатрат подрядчиков.

Совместимость с инфраструктурой. Решение, которое требует значительной перестройки существующих процессов, будет стоить дороже на этапе внедрения и дольше окупаться.

СКДПУ НТ от «АйТи Бастион»: лидер российского PAM

«АйТи Бастион» разрабатывает решения для контроля привилегированного доступа с 2014 года. Компания занимает более 50% российского рынка PAM, а среди ее заказчиков — ведущие частные и государственные организации в промышленности, финансовом секторе, энергетике и государственном управлении.

Флагманский продукт компании — PAM-платформа СКДПУ НТ. Она включает Шлюз доступа, подсистемы Мониторинга и аналитика, Архив аудита и Портал доступа и Кабинет оператора. Платформа фиксирует клавиатурный ввод, выполняемые команды, запускаемые процессы, передачу файлов и ведет полную видеозапись сессий. СКДПУ НТ собирает максимальный объем информации в рамках сессий, с возможностью передачи во внешний SIEM и просмотром в реальном времени.

Обработка аномалий не требует ручного вмешательства: можно настроить автоматические сценарии, в том числе с подключением внешних систем. И тогда PAM-система становится не только системой записи действий, но и надежным инструментом быстрого реагирования на сложные инциденты, экономя время и сокращая длительность потенциальной атаки.

Платформа работает на ОС Astra Linux, сертифицировано ФСТЭК России по УД-4 и МО по НДВ-2, а также ОАЦ РБ, внесено в реестр российского программного обеспечения.