Когда мне в очередной раз присылают коммерческое предложение на «комплексную кибербезопасность» на двенадцать листов, я задаю один вопрос: кто будет нажимать кнопки в три часа ночи, когда сработает алерт? Ответ на него, а не сумма лицензий, обычно и определяет, нужна вам своя команда или аутсорс. Давайте разберёмся без волшебных таблеток.
Моделей не две, а три
Спор «in-house против подрядчика» обычно ведут так, будто других вариантов нет. На практике в российском SMB и мид-сегменте устойчиво живут три схемы.
- Своя команда (in-house). Штатные ИБ-специалисты, которые знают вашу инфраструктуру, ваш бизнес-процесс и ваши странные legacy-сервисы, которые «нельзя трогать, на них отчётность».
- Полный аутсорс (MSSP). Провайдер закрывает мониторинг, реагирование, аудит, пентест и часть комплаенса. Вы покупаете результат и SLA, а не людей.
- Гибрид (co-managed). Внутри остаётся «мозг» и владение процессом, наружу отдаётся то, что дорого держать в штате: ночная смена SOC, редкая экспертиза, пиковые задачи.
Ошибка номер один, которую я вижу чаще всего, — выбирать между крайностями, не посчитав, какие именно функции вам реально нужны круглосуточно, а какие нужны раз в год.
Что своя команда делает объективно лучше
У штатных специалистов есть одно преимущество, которое невозможно прописать в договоре, — контекст. Они знают, что SQL-сервер с открытым наружу портом держит старый интегратор, а «подозрительный» трафик в 2:40 — это ночная выгрузка в 1С, а не эксфильтрация.
Скорость на первом часу инцидента
Атака измеряется минутами, а не рабочими днями. Внутренний инженер начинает разбор сразу и не тратит время на согласование доступа к вашей же инфраструктуре. По опыту разборов публичных инцидентов, самый ущербный отрезок — это первые часы, когда никто не понимает, что происходит.
Владение процессами, а не артефактами
Отчёт «мы провели аудит, 143 замечания» — не безопасность. Безопасность — это когда через полгода замечаний 40, потом 15, и у каждого есть владелец и срок. Держать этот цикл подрядчику сложно: у него десятки клиентов и один KPI — сдать работу.
Работа с внутренним сопротивлением
Половина внедрений упирается не в технологии, а в людей: разработчики не хотят менять пайплайн, админы — закрывать RDP, бизнес — вводить второй фактор. Свой человек имеет право ходить по кабинетам и портить отношения. Пришлый консультант обычно вежливо пишет рекомендацию и уезжает.
Где аутсорс сильнее, и это не маркетинг
Круглосуточный мониторинг
Держать 24/7/365 силами двух-трёх человек физически невозможно: нужен минимум четыре-пять сменных инженеров плюс процессы, иначе люди выгорают за год. Для компании с парой сотен сотрудников это почти всегда дороже, чем купить мониторинг у провайдера.
Экспертиза, которая нужна редко
Пентест раз в год, реверс подозрительного образца, форензика после инцидента, аудит конфигураций СУБД, проверка на соответствие приказу ФСТЭК №17 или ГОСТ Р 57580 — содержать таких специалистов в штате нерентабельно. Вы платите за человека 12 месяцев, а работу он делает три недели.
Зрелость процессов и внешний взгляд
Провайдер видит десятки инфраструктур и приносит типовые ошибки, до которых вы дойдёте сами через два года. Иногда это единственный способ узнать, что ваш способ выдачи сертификатов выглядит со стороны как подарочный набор для атакующего.
Считаем не зарплаты, а TCO
Классическая ловушка — сравнить «зарплату инженера» с «абонентской платой провайдера». Считать нужно полную стоимость владения. По открытым обзорам зарплат на рынке РФ, порядок цифр для понимания масштаба такой: специалист уровня SOC L1 — в районе 80–130 тысяч рублей в месяц, крепкий middle-инженер ИБ — 180–280 тысяч, руководитель направления — от 300 тысяч и выше. Точные цифры меняются быстро, но пропорция понятна.
К зарплате добавляйте:
- налоги и страховые взносы, то есть примерно +30% к фонду оплаты труда;
- рабочее место, оборудование, обучение и сертификации — минимум 100–150 тысяч рублей в год на человека, если вы хотите, чтобы он рос;
- лицензии на средства защиты — их вы покупаете в любом случае;
- потери от выгорания и текучки: подбор ИБ-специалиста занимает месяцы, а вместе с ним уходят знания;
- и главное — стоимость простоя в ночные часы, когда в штате никого нет.
Аутсорс, в свою очередь, тоже не «всё включено»: на рынке встречаются предложения от десятков тысяч рублей в месяц за базовый мониторинг до нескольких миллионов за круглосуточный SOC с L2-аналитиками и SLA на реакцию. Цена зависит от количества источников логов, глубины ретенции и того, кто именно принимает решение о блокировке.
Пять рисков аутсорса, о которых нет в презентации
- Отчуждение знаний. Через три года никто внутри не помнит, почему в правилах SIEM именно такие исключения. Уход провайдера превращается в «мы не знаем, что у нас настроено».
- Доступ к вашим данным. Мониторинг означает, что подрядчик видит логи, а иногда и содержимое почты и трафика. Нужны договор о конфиденциальности, ограничение объёма передаваемых данных и понимание, где физически хранятся ваши события.
- Формальная галка вместо процесса. Отчёт раз в месяц с формулировкой «инцидентов не выявлено» ничего не доказывает. Требуйте метрики: сколько алертов обработано, сколько ложных срабатываний, среднее время реакции.
- Плейбук под вендора, а не под вас. Практика «мы работаем только с нашим стеком» часто вынуждает менять уже работающие средства защиты.
- Ответственность остаётся на вас. Перед регулятором и пострадавшими отвечает оператор данных и субъект КИИ, а не подрядчик. Для значимых объектов КИИ привлечение сторонних организаций к обеспечению безопасности имеет отдельные условия — проверяйте актуальные требования по НПА, а не по презентации менеджера.
Как выбирать подрядчика: вопросы, на которые должен быть внятный ответ
- Сколько источников событий вы подключаете и сколько времени храните логи?
- Кто и в какие сроки принимает решение блокировать учётную запись или хост — вы или мы?
- Что входит в SLA по времени реакции и как он измеряется?
- Кто конкретно будет вести наш проект: имена, опыт, а не «команда сертифицированных специалистов»?
- Что происходит с нашими данными при расторжении договора: выгрузка правил, документации, дашбордов?
- Есть ли независимые подтверждения: сертификаты, участие в программах CVE, публичные разборы инцидентов, отзывы клиентов, которых можно потрогать?
- Как устроен процесс передачи знаний нам — и готовы ли вы обучать нашего человека, или это противоречит вашей модели удержания?
Если на последний вопрос отвечают «а зачем вам это», вы нашли не партнёра, а аренду зависимости.
Гибридная модель: что кому отдать
Для большинства компаний от 200 до 2000 сотрудников рабочая схема выглядит так:
- Внутри: владелец процесса ИБ (один-два человека), архитектура защиты, безопасность разработки и CI/CD, работа с бизнесом и приоритизация рисков.
- Наружу: ночной мониторинг и L1-триаж, реагирование вне рабочих часов, ежегодный пентест и аудит, форензика по факту инцидента.
- Спорно: администрирование средств защиты. Отдавать стоит, только если внутри нет ни одного человека, способного проверить качество этой работы.
Ключевое правило: наружу отдают задачи, за которыми вы можете наблюдать. Полный аутсорс без внутреннего заказчика — это не безопасность, а подписка на отчёты.
Чек-лист решения
- Выпишите все функции ИБ и отметьте, какие нужны круглосуточно, а какие — раз в год.
- Посчитайте TCO своей команды с налогами, обучением и текучкой, а не только оклад.
- Проверьте, есть ли в компании человек, способный принимать решения по инцидентам и нести за них ответственность.
- Определите, какие данные вы готовы отдавать подрядчику и на каких условиях.
- Проверьте регуляторные ограничения: 152-ФЗ, приказы ФСТЭК, требования по КИИ, отраслевые стандарты.
- Зафиксируйте метрики и условия выхода из договора до подписания, а не после.
Итог простой: аутсорс покупает вам масштаб и режим 24/7, своя команда — контекст и способность менять процессы. Компаниям без выделенного ИБ-специалиста почти всегда выгоднее начать с гибрида: купить мониторинг и экспертизу, а внутри завести хотя бы одного человека, который отвечает за результат подрядчика. Всё остальное — вопрос арифметики и того, насколько дорого для вас выглядит ночной инцидент без ответственного. Больше разборов уязвимостей и практики защиты — в рубрике «Информационная защита».
