Wraz ze wzrostem zaawansowania ataków ransomware czy kampanii phishingowych, przed zarządami i dyrektorami staje jedno z najważniejszych pytań finansowych współczesnego biznesu. Jaki procent całkowitych wydatków na technologie informatyczne (IT) należy przeznaczyć na obronę firmowych systemów? Odpowiedź na to pytanie wymaga bardzo szerokiego spojrzenia na strukturę samej organizacji.
Koniec mitu złotej proporcji
Przez wiele lat w branży technologicznej krążyło przekonanie, że optymalny poziom wydatków na bezpieczeństwo to około pięć do ośmiu procent całego budżetu IT. Taka ryczałtowa wycena była dla wielu firm niezwykle kusząca ze względu na swoją matematyczną prostotę. Obecnie jednak, w dobie zaawansowanych ataków celowanych oraz powszechnej pracy zdalnej, te historyczne wskaźniki okazują się niemal we wszystkich przypadkach całkowicie niewystarczające.
Współcześni analitycy rynkowi oraz czołowe firmy doradcze wskazują, że dla większości dojrzałych firm absolutne minimum przesunęło się w okolice dziesięciu do kilkunastu procent. Wiele zależy jednak od wyjściowego poziomu wydatków na same technologie informatyczne. Jeśli organizacja inwestuje w IT stosunkowo niewiele, to nawet przeznaczenie dwudziestu procent tej kwoty na cyberbezpieczeństwo może nie pokryć podstawowych potrzeb. Z kolei w korporacjach o gigantycznych, wielomilionowych budżetach technologicznych, nawet jednocyfrowy procent może stanowić kwotę pozwalającą na wdrożenie najnowocześniejszych systemów klasy Zero Trust.
Apetyt na ryzyko zamiast sztywnych widełek
Nowoczesne, świadome organizacje odchodzą powoli od budżetowania opartego wyłącznie na sztucznych proporcjach. Zamiast tego wdrażają podejście oparte na rzetelnej kalkulacji, znane w branży jako Risk-Based Security Budgeting. Zamiast pytać, ile wydają konkurenci, zarządy pytają o to, ile będzie kosztował firmę potencjalny, wielodniowy przestój operacyjny. Kalkuluje się koszty utraty reputacji, drastycznych kar administracyjnych z tytułu RODO oraz ewentualnych okupów.
Dopiero zestawienie tych potencjalnych, dotkliwych strat z kosztami wdrożenia odpowiednich zabezpieczeń pozwala na wyznaczenie racjonalnego budżetu. W ten sposób dyrektorzy ds. bezpieczeństwa (CISO) zyskują twarde, biznesowe argumenty do dyskusji z pionem finansowym. Bezpieczeństwo przestaje być postrzegane w tabelkach jako czysty koszt, a staje się formą niezbędnej polisy ubezpieczeniowej dla zachowania ciągłości biznesu.
Zróżnicowanie sektorowe
Branża, w której operuje dane przedsiębiorstwo, drastycznie zmienia perspektywę i konieczność ponoszenia wydatków. Sektory podlegające silnym regulacjom prawnym muszą inwestować nieporównywalnie więcej, aby na bieżąco spełniać wymagania rygorystycznych audytorów. Wymusza to budowę rozbudowanych, wewnętrznych zespołów Security Operations Center (SOC) oraz ciągły zakup zaawansowanych licencji i narzędzi analitycznych.
| Sektor rynkowy | Szacowany % budżetu IT na security | Główne czynniki napędzające koszty |
| Finanse i Bankowość | 12% – 20% | Surowe regulacje (KNF, DORA), wysokie ryzyko kradzieży kapitału |
| Ochrona Zdrowia | 10% – 15% | Krytyczność danych pacjentów, rosnąca fala ataków na infrastrukturę szpitalną |
| Technologie i Software | 10% – 18% | Ochrona własności intelektualnej, konieczność zabezpieczania łańcucha dostaw kodu |
| Handel Detaliczny (Retail) | 7% – 12% | Ochrona danych z kart płatniczych (PCI DSS), bezpieczeństwo platform e-commerce |
| Produkcja i Przemysł | 6% – 10% | Zabezpieczanie systemów OT, rosnąca konwergencja sieci informatycznych i przemysłowych |
Struktura wydatków – elastyczność i chmura
Istotnym trendem obserwowanym przez naszą redakcję jest zmiana samej formy finansowania bezpieczeństwa. Dawniej firmowe budżety opierały się na potężnych, jednorazowych inwestycjach w sprzęt, czyli tak zwanych wydatkach majątkowych (CAPEX). Kupowano drogie, sprzętowe firewalle i fizyczne serwery, które następnie służyły w niezmienionej formie przez wiele długich lat.
Obecnie ciężar inwestycyjny przesuwa się niemal całkowicie w stronę wydatków operacyjnych (OPEX). Model subskrypcyjny dominuje w usługach chmurowych, nowoczesnym oprogramowaniu antywirusowym typu EDR czy usługach zewnętrznego, zarządzanego monitoringu (MDR). Dzięki temu organizacje mogą niezwykle elastycznie skalować swoje zabezpieczenia w zależności od aktualnych potrzeb, bez konieczności zamrażania ogromnej gotówki na starcie projektu.
Oczekiwanie prostej, uniwersalnej odpowiedzi na pytanie o idealny procent wydatków jest w dzisiejszych realiach błędem. Organizacje powinny traktować próg dziesięciu procent jedynie jako punkt wyjścia do przeprowadzenia znacznie głębszej, spersonalizowanej analizy własnego środowiska. Budżet na cyberbezpieczeństwo musi być dzisiaj tworem dynamicznym, reagującym na nagłe zmiany w krajobrazie zagrożeń oraz na tempo cyfrowej transformacji samego przedsiębiorstwa. Oszczędzanie na tym newralgicznym aspekcie to w obecnych czasach wyłącznie odkładanie w czasie znacznie większych i bardziej bolesnych wydatków, które nadejdą wraz z nieuniknionym incydentem.
Comments are closed, but trackbacks and pingbacks are open.