Сколько стоит информационная защита: бюджет для малого и среднего бизнеса

«Сколько стоит информационная безопасность?» — вопрос, на который консультанты любят отвечать «зависит от рисков». Формально верно, практически бесполезно: ИТ-директору малого бизнеса нужна не философия, а конкретная цифра в смете на следующий год. Поэтому давайте разберём, из чего складывается бюджет, сколько стоят типовые решения на российском рынке и на чём реально можно сэкономить без потери защиты.

Сразу оговорка: цифры ниже — порядок цен на рынке РФ по состоянию на 2025 год для компаний без требований к объектам КИИ. В вашем регионе и на вашем объёме инфраструктуры разброс легко достигает полутора-двух раз. Это ориентиры для планирования, а не коммерческое предложение.

Из чего складывается бюджет на ИБ

У любой сметы четыре составляющие, и путать их — главная ошибка при планировании.

• Люди. Штатный безопасник, подрядчик на аутсорсе, vCISO на пару дней в месяц. В зрелых бюджетах это 40–60% всех расходов, и это нормально: инструмент без человека, который смотрит его отчёты, — просто лицензия.
• Процессы. Аудит, пентест, регламенты, обучение сотрудников, план реагирования на инциденты. Траты, которые нужно повторять ежегодно.
• Технологии. Лицензии, подписки, железо, облачные сервисы. Самая заметная в счетах и самая переоценённая часть.
• Реакция. Ретейнер с IR-командой, киберстрахование, резерв на восстановление после инцидента.

Ориентир, который используют для прикидочных оценок: на ИБ уходит 5–15% ИТ-бюджета. Если ИТ — 3 млн рублей в год, то 150–450 тысяч на безопасность выглядят разумно. Если ИТ — 60 млн, то речь о 3–9 млн. Но это средняя температура по больнице, дальше считаем конкретно.

Три типовые сметы: от базовой гигиены до регулируемого контура

Сценарий А: 20–50 человек, облако, один админ

Компания без выделенного безопасника, данные клиентов в CRM, сайт на подрядчике. Задача — закрыть базу, чтобы не стать новостью.

• Менеджер паролей self-hosted (Vaultwarden или Bitwarden) — 0 рублей плюс день работы инженера;
• 2FA и аппаратные ключи на критичные аккаунты — 0–50 тыс. рублей в год;
• EDR на 40 устройств — 60–160 тыс. рублей в год, то есть порядка 1,5–4 тыс. за устройство;
• Резервное копирование по схеме 3-2-1 — 50–150 тыс. рублей в год с учётом облака;
• Внешний аудит периметра раз в год — 150–300 тыс. рублей;
• Обучение и фишинг-симуляции — 20–60 тыс. рублей.

Итого: 300–700 тыс. рублей в год. Если кажется дорого, сравните с ценой двух дней простоя или восстановления базы, от которой остались только бэкапы «где-то на диске у админа».

Сценарий B: 100–250 человек, свой веб-сервис, персональные данные клиентов

Здесь появляются внешние пользователи, интеграции и реальные риски остановки продукта.

• Пентест внешнего и внутреннего контура — 300–800 тыс. рублей;
• SIEM: облачный сервис или self-hosted Wazuh с выделенным инженером — 300–900 тыс. в год (в self-hosted основная статья — время специалиста, а не подписка);
• WAF перед веб-приложением — 100–400 тыс. в год;
• Почтовый шлюз и базовая защита от фишинга — 200–600 тыс.;
• MDR или аутсорс мониторинга — 80–200 тыс. в месяц;
• Обучение сотрудников — 100–300 тыс.;
• Резерв на непредвиденное — 10–15% от суммы.

Итого 2–4,5 млн рублей в год. На этом уровне уже имеет смысл выделенный человек: один инженер ИБ обходится дешевле, чем полгода ошибок в тюнинге SIEM и упущенный инцидент.

Сценарий C: 500+ человек, регулируемая отрасль

Медицина, финансы, КИИ, госзаказ. Смета начинается от 10 млн рублей в год и быстро уходит вверх: проектирование системы защиты по приказу ФСТЭК №17, аттестация, сертифицированные СКЗИ с лицензией ФСБ на распространение, DLP, круглосуточный SOC. Экономить тут нельзя не потому, что «так модно», а потому что проверка придёт по расписанию.

Скрытые расходы, которые забывают в смете

Самая частая ошибка — считать стоимость лицензии. Покупка — это примерно половина чека.

• Внедрение и тюнинг. SIEM, DLP и EDR «из коробки» не работают: на настройку уходит от двух недель до полугода инженерного времени. Считайте эти часы по внутренней ставке.
• Ложные срабатывания. Ненастроенный антифишинг превращается в белый шум, который через месяц перестают читать, — и дальше письмо от «бухгалтера» спокойно проходит.
• Продление по новой цене. На первом году вендоры дают скидку 30–50%, на продлении вы платите полную стоимость. Планируйте рост расходов на 20–40% со второго года.
• Лицензии и аттестация. Лицензия ФСТЭК на техническую защиту конфиденциальной информации или ФСБ на СКЗИ — 100–300 тыс. рублей плюс регулярное подтверждение и обучение специалистов.
• Железо и каналы. Диски под резервные копии и дополнительный трафик в смету почти никто не закладывает, а они есть.

Практическое правило: умножьте стоимость лицензий на 1,5–2 — получите реальный бюджет первого года.

Где платить не надо

Теперь про то, где мой скепсис сильнее всего. В малом бизнесе маркетинг ИБ-вендоров работает лучше, чем сама защита.

• «Комбайн» на 30 человек. Коробка, которая «делает всё», обычно не делает ничего хорошо. Те же функции закрываются штатными средствами и парой open-source сервисов.
• DLP первым приоритетом. Пока нет инвентаризации данных и правил их обработки, DLP будет ловить номера телефонов в переписке HR и присылать вам красивые отчёты.
• SIEM, если его некому смотреть. Собирать логи без человека, который реагирует, — способ накопить терабайты и ложное чувство контроля.
• Сертифицированные средства «на всякий случай». Если вы не оператор ГИС и не работаете с гостайной, сертификация часто не требуется. Проверьте перечень требований для своей отрасли до покупки, а не после.
• Bug bounty и страхование как первый шаг. Программа вознаграждений работает после того, как закрыт базовый периметр. Страховка при полной неготовности к инциденту обойдётся дороже, а выплата не гарантирована условиями полиса.

Что можно закрыть бесплатно

Часть задач малого бизнеса закрывается открытым ПО: Wazuh для сбора событий и контроля целостности файлов, Suricata для сетевой аналитики, Greenbone или OpenVAS для сканирования уязвимостей, Vaultwarden для паролей, Keycloak для SSO и MFA, Trivy или Dependabot для проверки зависимостей, fail2ban на периметре. Плюс штатные функции: MFA у облачного провайдера, версионирование бакетов, шифрование дисков, нормальное журналирование.

Важная поправка: бесплатное ПО не бесплатно. Вы платите временем инженера и риском «зоопарка» из десятка сервисов без документации. Считайте честно: 40 часов инженера по 3 тыс. рублей — это 120 тыс. рублей, которые нужно поставить в смету точно так же, как лицензию.

Регуляторика: сколько стоит соответствие

152-ФЗ и требования ФСТЭК России — отдельная строка бюджета, и её нельзя закрыть «галочкой». Уведомление в реестр операторов Роскомнадзора подаётся бесплатно, но требует описания обрабатываемых данных и модели угроз; подготовка модели угроз и оценки вреда — 50–200 тыс. рублей, приведение процессов и документов в порядок с подрядчиком — от 200 тыс. до миллиона в зависимости от масштаба.

По состоянию на 2025 год ответственность за утечки заметно выросла: штрафы по статье 13.11 КоАП измеряются миллионами рублей, для повторных нарушений введены оборотные штрафы, а с мая 2025 года действует статья 272.1 УК РФ о незаконном обороте персональных данных. Точные суммы и условия смотрите в актуальной редакции — нормы правятся часто, и я не хочу давать вам устаревшую цифру. Смысл простой: для компании со ста тысячами клиентских записей стоимость несоответствия уже сравнима с годовым бюджетом на ИБ.

Как посчитать свой бюджет: пять шагов

1. Инвентаризация. Что у вас есть: сервисы, базы, устройства, внешние доступы, подрядчики с правами. Без этого списка любой бюджет — гадание.
2. Оценка рисков. Матрица «вероятность умножить на ущерб» на 15–20 сценариев. Не нужна методика на двести страниц — нужен список того, что реально может остановить бизнес.
3. Обязательный минимум. Требования регуляторов и договоров с крупными клиентами — это пол, ниже которого нельзя. Сначала закрываем его.
4. Приоритизация. Дальше тратим по убыванию отношения «ущерб, умноженный на вероятность, делённый на стоимость меры». Верхние строчки почти всегда — MFA, бэкапы, патчи, обучение, а не новые продукты.
5. Резерв и пересмотр. 10–15% на непредвиденное и ревизия сметы раз в год: половина приоритетов за двенадцать месяцев меняется.

Чек-лист на старте

• Список активов и категорий данных — составлен?
• MFA на всех критичных сервисах — включён?
• Бэкапы проверены восстановлением, а не только «настроены»?
• Патчи на внешнем периметре ставятся в срок хотя бы по критичным уязвимостям?
• Есть человек — свой или подрядчик, — который отвечает за ИБ по имени и телефону?
• Регламент реакции на инцидент лежит в доступном месте, с порядком действий?
• Аудит или пентест периметра за последние 12 месяцев проводился?
• Требования и штрафы для вашей отрасли проверены по актуальным документам?

Вывод

Реалистичный бюджет информационной защиты для малого бизнеса — 300–700 тыс. рублей в год, для среднего — от 2 млн. Основные деньги уходят не в лицензии, а в людей и процессы, и именно эта часть чаще всего недофинансируется, потому что её не видно в счёте.

Мой практический совет: не ищите волшебную кнопку. Возьмите чек-лист выше, закройте бесплатное и дешёвое, посчитайте остаток денег и только потом идите к вендору с конкретными вопросами: что именно это решает, сколько стоит внедрение, что будет на продлении и кто в вашей команде будет смотреть отчёты. После этого смета перестаёт быть загадкой и становится обычным инженерным планом.