Каждый раз, когда я захожу в рабочий чат к знакомым админам из малого и среднего бизнеса, всплывает один и тот же вопрос: нанимать безопасника за двести с лишним тысяч в месяц или отдать всё на аутсорс за тридцать? Ответ «зависит» никого не устраивает, поэтому разберём по-честному — без маркетинга интеграторов и без страшилок про то, что «хакеры уже внутри».
Сразу оговорюсь: универсального рецепта нет. Но есть критерии, по которым решение принимается за один вечер, а не за три месяца переговоров с вендорами.
Почему вопрос вообще стал острым
Три фактора. Первый — регуляторика: 152-ФЗ и приказы ФСТЭК требуют от оператора персональных данных конкретных организационных и технических мер, а проверки никто не отменял. Второй — уход западных вендоров ИБ: часть стека (межсетевые экраны, SIEM, EDR) пришлось менять на российские решения или open source, и это отдельная головная боль. Третий — дефицит кадров: безопасник с опытом работы в SOC стоит дорого, а в небольшом городе его может просто не быть на рынке.
На этом фоне и вырос рынок услуг: MSSP, SOC-как-сервис, «безопасность под ключ». Провайдеры обещают закрыть всё и сразу — от круглосуточного мониторинга до реагирования на инциденты. Но за красивой презентацией часто скрывается SLA мелким шрифтом и шаблонные отчёты, которые никто не читает.
Что аутсорс действительно делает хорошо
Я не против аутсорса — я против аутсорса вслепую. Есть задачи, где внешняя команда объективно эффективнее внутренней:
- Круглосуточный мониторинг. Держать дежурную смену 24/7 своими силами — это минимум 5–6 человек, график, ротация, выгорание. Провайдер закрывает это одним договором.
- Экспертиза редких задач. Пентест, форензика, разбор сложного инцидента — держать таких специалистов в штате на постоянной основе нерентабельно.
- Пиковые нагрузки. Атака, крупный аудит, подготовка к проверке регулятора — внешняя команда масштабируется быстрее, чем идёт найм.
- Быстрый старт compliance. Привести документы и меры в соответствие с 152-ФЗ и приказами ФСТЭК проще с теми, кто делал это десятки раз.
Где аутсорс проваливается
А теперь про минусы, о которых в презентациях не пишут.
- Потеря контекста. Провайдер видит ваши логи, но не понимает, что странные запросы к базе в три часа ночи — это скрипт бухгалтерии, а не атака. Без контекста получаете либо гору ложных срабатываний, либо пропущенный инцидент.
- Ответственность. Посмотрите в договор: реальная ответственность MSSP обычно ограничена суммой месячной подписки. Ущерб от утечки остаётся на вас.
- Непрозрачность. Вы не знаете, сколько времени аналитик реально смотрит на ваш тенант и смотрит ли вообще. KPI вроде «время реакции на алерт» легко выполняются закрытием тикета без разбора.
- Зависимость. Через год у вас нет ни людей, ни понимания собственного периметра. Смена провайдера превращается в болезненный проект.
Свои силы: где ломается
Внутренняя команда выигрывает в контексте и скорости принятия решений. Но есть типовые грабли, на которые наступают почти все.
Первое — «безопасность на полставки сисадмина». Человек, который и Windows обновляет, и бэкапы чинит, и инциденты разбирает, не может делать это качественно: на рутину вроде разбора алертов и актуализации правил на файрволе просто не остаётся времени.
Второе — выгорание и туннельное зрение. Специалист, который год смотрит на одни и те же дашборды, перестаёт замечать аномалии. Свежий взгляд внешнего аудита здесь реально помогает.
Третье — отсутствие процессов. Без утверждённого регламента реагирования инцидент превращается в импровизацию: кто звонит, кому, что выключать первым. Я видел компании, где при реальной атаке полдня искали, у кого доступ к админке бэкапов.
Считаем деньги честно
Сравнивать «зарплата против подписки» — путь в никуда. Считайте полную стоимость владения:
- ФОТ: оклад, налоги, премии, обучение, сертификации, отпуск и больничные.
- Рабочее место: оборудование, лицензии на инструменты, доступ к вендорским базам уязвимостей.
- Простой на этапе найма: месяц-два поиска плюс адаптация — и всё это время периметр без присмотра.
- Для аутсорса — не только подписка, но и стоимость интеграции: подключение источников логов, настройка парсеров, согласование процессов. Первые месяцы провайдер часто работает почти вслепую.
Практический вывод по деньгам: аутсорс выгоднее, пока инфраструктура небольшая, а задачи стандартные. Как только появляются несколько продуктовых команд, свои особенности и жёсткие требования ко времени реакции — внутренний специалист или небольшая команда окупается лучше.
Гибрид: что реально работает
В большинстве нормальных компаний, которые я видел, побеждает не «или-или», а разделение зон ответственности. Рабочая модель выглядит так:
- Внутри — владелец безопасности, пусть даже один человек: отвечает за политику, приоритеты, коммуникацию с бизнесом и подрядчиками, знает инфраструктуру.
- Наружу — рутина и узкая экспертиза: круглосуточный мониторинг, пентест раз в год, форензика по факту инцидента, compliance-документы.
- Процессы — общие: регламент реагирования согласован и у вас, и у провайдера, с явными зонами ответственности и точками эскалации.
Ключевой момент — не отдавать аутсорсеру принятие решений о рисках. Он может сказать «у вас сорок критичных уязвимостей», но приоритезировать, что чинить первым с учётом вашего бизнеса, должны вы.
Чек-лист: как принять решение
Прогоните себя по вопросам:
- Есть ли регуляторные обязательства (152-ФЗ, объекты КИИ, требования отраслевых регуляторов)? Если да — экспертиза по compliance нужна почти сразу.
- Сколько человек в IT и есть ли среди них тот, для кого безопасность — основная задача?
- Готовы ли вы платить за круглосуточное покрытие — своими людьми или деньгами?
- Есть ли утверждённый регламент реагирования на инциденты?
- Понимаете ли вы, где лежат критичные данные и бэкапы?
Если на последние два вопроса ответ «нет» — начинать надо не с выбора подрядчика, а с наведения порядка внутри. Аутсорс без ваших процессов просто автоматизирует хаос.
И последнее. Какой бы вариант вы ни выбрали, через год проверьте результат руками: попросите провайдера показать, какие инциденты он реально разбирал, или прогоните свои логи через независимого аудитора. Обещания в презентации и работа в проде — две большие разницы.
