Экономическое обоснование ИБ-проектов

Почему технические аргументы не работают 

Информационная безопасность получает бюджет не когда она технически безупречна, а когда описана в понятных бизнесу терминах. Топ-менеджмент не покупает SIEM, EDR или сегментацию — он покупает снижение вероятности простоя, утечки или внеплановых потерь. Именно поэтому экономическое обоснование ИБ-проектов — это ключевой механизм перевода киберрисков на язык управленческих решений.

Какие финансовые показатели важны для топ-менеджмента

Для совета директоров важны защита активов и снижение вероятности недопустимых событий, для CEO — непрерывность бизнеса, для CFO — сопоставимость затрат и эффекта.

Как структурировать ТЭО проекта 

Хорошее ТЭО — это не техническое задание или нормативный обзор, а инвестиционный кейс. Обоснование удобно строить из восьми блоков.

Что включать в раздел «Затраты» 

Этот раздел должен отражать не цену закупки, а полную стоимость владения проектом. Для CFO это проверка зрелости ТЭО: если не учтены интеграция, сопровождение, внутренние трудозатраты и переходные издержки, проект будет выглядеть недоработанным. Поэтому затраты следует раскрывать через TCO:

где CAPEX — единовременные вложения, OPEX — эксплуатационные расходы, Hidden Costs — внутренние и скрытые затраты, а Reserve — резерв на риски проекта.

Как описать выгоду в денежном эквиваленте

Сначала оцениваем ожидаемый ущерб без проекта:

где P — вероятность реализации сценария (0–1), а T — денежная величина последствий (руб.). Иными словами, ALE показывает ожидаемый объем потерь при заданном уровне риска. 

Затем показываем эффект проекта: 

где — ожидаемый ущерб без проекта, — ожидаемый ущерб после внедрения мер защиты.

Для инвестиционного комитета рассчитывается возврат на инвестиции:

где TCO — полная стоимость проекта. 

Чтобы выгоды выглядели убедительно, ущерб нужно раскладывать на компоненты: прямые финансовые потери, простой критичных процессов, расходы на восстановление, регуляторные последствия и репутационно-коммерческие потери. Для крупных проектов эффект можно дополнительно показать через NPV.

Источник эффекта	Как рассчитывать	Что получает бизнес
Снижение простоя	Стоимость часа простоя × сокращение времени недоступности	Сохранение выручки и выполнения SLA
Снижение ожидаемого ущерба		Уменьшение прогнозируемых потерь
Снижение масштаба инцидента	Ущерб до проекта − ущерб после проекта	Меньше аварийных и восстановительных расходов
Снижение регуляторного риска	Вероятность санкций × стоимость последствий	Уменьшение цены несоответствия
Снижение затрат на восстановление	Расходы на реагирование и восстановление до/после проекта	Меньше внеплановых расходов

Какие риски указывать и как оценить их стоимость

Риск нужно формулировать как полноценный сценарий: его источник, путь реализации, затронутый актив и бизнес-последствие. То есть не «риск цепочки поставок», а «компрометация подрядчика может привести к остановке e-commerce-канала на 24 часа». Для ТЭО достаточно трех-пяти сценариев, но именно тех, которые дают наибольший ущерб или выходят за пределы риск-аппетита бизнеса. 

Как обосновать срочность проекта

Главный тезис прост: срочность ИБ-проекта — это не эмоциональная, а экономическая категория.

Что делать, если невозможно точно рассчитать экономический эффект

Точный экономический эффект ИБ-проекта часто недостижим: киберриски вероятностны, сценарии развиваются нелинейно, а данные почти всегда будут неполными. Но для управленческого решения абсолютная точность и не нужна. Главное — не имитировать ее, а показать диапазон эффекта, логику допущений и устойчивость вывода.

Важно не искать «идеальную цифру», а показывать базовый, консервативный и стрессовый сценарии; фиксировать, на чем основаны оценки; привязывать ущерб к критичному процессу, а не к «среднему инциденту»; дополнять расчеты качественными аргументами там, где последствия стратегически значимы, но плохо переводятся в рубли.

Как учесть требования регуляторов в финансовом обосновании

Важно различать два типа инициатив. Обязательные проекты прежде всего обосновываются через цену нарушения: санкции, корректирующие мероприятия, ограничение доступа к рынку и др. Дискреционные проекты, которые выходят за пределы обязательного минимума, защищаются через снижение ожидаемого ущерба, TCO, NPV и ROSI. Регуляторный фактор здесь лишь усиливает аргументацию.

В финансовой модели требования регулятора учитываются дважды. Во-первых, в составе ущерба — если несоответствие может привести к штрафу, проверке, остановке процесса или потере клиента. Во-вторых, в составе затрат — если проект требует аудита, внедрения сертифицированных средств защиты, документирования, обучения, контроля и отчетности.

Как защитить ТЭО на бюджетном комитете: типичные вопросы и ответы

Наконец, ТЭО нужно не только подготовить, но и защитить. Сильная защита строится по цепочке: недопустимое событие → стоимость бездействия → предлагаемые меры → TCO → экономический эффект → последствия отказа или отсрочки.

***

Помните, что бюджетный комитет отклоняет не безопасность как таковую, а плохо переведенные на язык бизнеса проекты. Побеждает не тот, кто глубже разбирается в технологиях, а тот, кто точнее показывает цену бездействия, стоимость решения и границы остаточного риска.