Что включить в бюджет киберзащиты помимо стоимости страхового полиса

Киберстрахование покрывает финансовые последствия атаки, но оно не предотвращает её. Бюджет киберзащиты — это совокупность затрат на снижение вероятности инцидента, минимизацию ущерба и ускорение восстановления. Если компания покупает полис, но не вкладывается в технологии и процессы, страховщик либо откажет в выплате, либо установит премию, которая перевесит выгоду.

В 2026 году андеррайтеры требуют документального подтверждения многофакторной аутентификации, систем обнаружения и реагирования на конечных точках, управления привилегированным доступом и проверенных резервных копий. Без этих элементов полис не выдадут. Значит, эти расходы — часть бюджета киберзащиты, а не альтернатива страховке.

Аудит и оценка рисков

Первая статья — аудит текущего состояния. Он включает тестирование на проникновение, сканирование уязвимостей, анализ архитектуры и проверку соответствия требованиям регуляторов. Без аудита компания не знает, где слабые места, и не может построить приоритеты.

Стоимость внешнего тестирования на проникновение для средней компании начинается от 500 тысяч рублей. Для критической инфраструктуры — от 2 млн рублей и выше. Внутренний аудит силами штатных специалистов дешевле, но требует времени и квалификации. Экономия на этом этапе приводит к тому, что бюджет тратится на неэффективные меры.

Технологии и инфраструктура

Вторая статья — технологии. Базовый набор включает системы обнаружения и реагирования на конечных точках, системы сбора и анализа событий информационной безопасности, многофакторную аутентификацию для всех пользователей, управление привилегированным доступом, защиту электронной почты, межсетевые экраны и системы резервного копирования.

Расходы зависят от масштаба. Для компании на 100 сотрудников годовая подписка на системы обнаружения и сбора событий может составлять 1–3 млн рублей. Для крупной организации — десятки миллионов. Резервные копии требуют не только лицензий, но и изолированного хранилища, которое не подключено к основной сети.

Персонал и обучение

Третья статья — люди. Даже с современными технологиями инциденты часто начинаются с человеческой ошибки. Обучение сотрудников распознаванию фишинга и базовой гигиене снижает риск на 30–50%. Программы обучения стоят от 100 тысяч рублей в год для малой компании.

Если в штате нет специалистов по безопасности, их привлекают на аутсорсе. Виртуальный центр мониторинга безопасности или услуги управляемого обнаружения и реагирования обходятся от 2 до 10 млн рублей в год в зависимости от объёма. Штатный аналитик центра мониторинга стоит от 1,5 млн рублей в год, но требует организации смен и круглосуточного режима.

Процессы и реагирование

Четвёртая статья — процессы. Утверждённый и протестированный план реагирования на инциденты, политики доступа, регламенты резервного копирования и восстановления. Разработка плана может стоить от 300 тысяч рублей, но его тестирование — отдельная статья. Учения по кибербезопасности с привлечением внешних фасилитаторов обходятся от 500 тысяч рублей за мероприятие.

Сюда же относится страхование как инструмент финансирования последствий. Но бюджет не ограничивается премией: нужно закладывать франшизу, которая может составлять 20–30% от суммы ущерба.

Юридическая поддержка и соответствие требованиям

Пятая статья — юридическая. Требования 152-ФЗ, 187-ФЗ, отраслевые регуляторы и международные нормы (если компания работает с зарубежными клиентами) требуют сопровождения. Юристы по кибербезопасности помогают готовить документы, уведомления, ответы на запросы регуляторов. Годовой контракт с юридической фирмой начинается от 500 тысяч рублей.

Киберразведка и мониторинг

Шестая статья — киберразведка. Мониторинг утечек, анализ даркнета, отслеживание упоминаний компании и её данных. Это позволяет узнать об утечке до того, как она станет публичной. Подписки на сервисы киберразведки стоят от 200 тысяч рублей в год.

Резерв на непредвиденное

Седьмая статья — финансовый резерв. Даже при наличии полиса часть расходов компания несёт сама: франшиза, превышение лимитов, репутационные потери. Резервный фонд на киберинциденты рекомендуется формировать в размере 5–10% от годового бюджета на ИТ.

Как считать бюджет

Начните с оценки рисков. Определите критичные процессы и потенциальный ущерб. Затем сопоставьте с текущими расходами: что уже есть, что нужно добавить. Не пытайтесь закрыть все риски сразу — приоритизируйте. Бюджет киберзащиты — это не разовая акция, а постоянная инвестиция.

Средняя компания с выручкой до 1 млрд рублей тратит на кибербезопасность 3–7% ИТ-бюджета. Крупные организации — до 10–15%. В эту сумму входят все перечисленные статьи, включая страхование.

Бюджет киберзащиты не сводится к стоимости полиса. Это комплекс расходов на технологии, людей, процессы и юридическую поддержку. Страховка — лишь один из инструментов, который работает в связке с остальными. Начните с аудита и приоритизации, затем добавляйте статьи постепенно. Чем точнее вы понимаете свои риски, тем эффективнее распределяете бюджет.