Трудные переговоры: отвечаем на 5 вопросов при защите бюджета ИБ

19 июля 2026

Автор: Балк Евгений Андреевич, руководитель департамента развития и архитектуры, «Кростех».

«ИБ – расходная статья», «Не понимаю, за что мы платим», «ИБ все запрещает» – что только не слышит от других C-level руководителей директор по ИБ. В этой статье мы расскажем, что нужно изучить и подготовить, чтобы убедить всех – бюджет на ИБ, это абсолютно оправданная необходимость.

Для наглядности выделили пять главных вопросов, с которыми вы вероятнее всего столкнетесь, если будете защищать ИБ-бюджет.

За что мы заплатим? От каких проблем вы нас защитите?

Просто ответа – мы платим за то, чтобы нас не сломали – недостаточно. Компания может несколько лет не сталкиваться с инцидентами ИБ, что может породит у части руководства уверенность в неуязвимости. Готовиться нужно серьезно.

Во-первых, если вдруг это еще не сделано или вы недавно заступили на должность, определите, каким регуляторным требованиям должна соответствовать организация (примите во внимание КИИ, ПДн, для госсектора – также ГИС). Подготовьте дорожную карту по обеспечению соответствия регуляторным требованиям.
Во-вторых, изучите стратегию развития компании, вместе с CEO и другими топ-менеджерами выделите ключевые процессы и направления – на них будет фокусироваться защита.
В-третьих, определите перечень недопустимых событий. Изучите ситуацию в вашей отрасли – выберите ключевые инциденты, проверьте их актуальность для вашего бизнеса. В перечень добавьте оценки по финансовому и репутационному ущербу, возможные штрафы. Обязательно согласуйте перечень с ключевыми лицами, принимающими решения в компании.
В-четвертых, разработайте стратегию обеспечения ИБ на 3-5 лет и упакуйте ее так, чтобы бизнесу было удобно, например: совокупная стоимость владения средствами защиты от угрозы А, Б, В стоит Х рублей. Такой подход позволит бизнесу решить, готов он принять риск или нет.
В-пятых, продумайте, какую дополнительную ценность ИБ может принести бизнесу: например, повысить привлекательность компании для клиентов, сместив фокус внимания на защищенность данных, стабильность сервисов.

Как вы измерите достижение целей?

Объективные показатели – важный элемент аргументации, потому что, будем объективны, слова всегда звучат более убедительно. О выработке метрик обязательно нужно позаботиться.

Во-первых, регламентируйте, как вы сейчас оцениваете защищенность компании (частота и количество зафиксированных инцидентов ИБ, результаты проведения тестирования на проникновение. для более продвинутых – результаты bug bounty).
Во-вторых, определите показатели для оценки инвестиций в ИБ: это будут как метрики защищенности, так и финансовые – ROI, даже скорее его модифицированный вариант, предназначенный для сферы кибербеза – ROSI, TCO (полная стоимость владения) средствами защиты. И сделайте бенчмаркинг, сопоставьте с аналогичными показателями на рынке.
В-третьих, определите перечень дашбордов и отчетов, которые вы будете демонстрировать бизнесу на регулярной основе.
В-четвертых, продумайте, какие меры запланировать, чтобы определить эффективность стратегии: это может быть внешний аудит ИБ или пентест.

Какую пользу вы принесли бизнесу в этом году?

Людям, которые измеряют пользу для бизнеса в полученной прибыли, количество выведенных продуктов, привлеченных клиентах, сложно понять, какую пользу принесла ИБ, особенно если не было громких предотвращенных инцидентов. К этому вопросу крайне важно подготовиться.

Во-первых, определите круг кейсов, которые демонстрируют эффективность ИБ.
Во-вторых, вспомните, какие инциденты удалось предотвратить, и оцените их потенциальный ущерб с учетом векторов атаки и потенциального развития атаки и т.д.
В-третьих, оцените эффективность программы повышения осведомленности сотрудников в вопросах кибербезопасности. Насколько это значение изменилось за год.
В-четвертых определить регуляторные риски, которых удалось избежать и просчитать их “экономику”. Сюда же лучше внести результаты регуляторных проверок, если таковые были с пояснением, какие репутационные риски несли бы выявленные нарушения.
В-пятых, опишите, как вы работаете с инновациями, оцениваете риски применения новых технологий, в том числе в сфере ИБ.

Какие регуляторные требования будут распространяться на нас в следующем году?

Регуляторика и последствия ее несоблюдения – это очень понятная категория для людей, которые согласовывают бюджеты. И, конечно, это важное направление деятельности ИБ-департамента, разбираться в требованиях в своей отрасли сегодня – гигиенический минимум. Поэтому готовимся отвечать.

Во-первых, оцените, насколько обеспечено соответствие требованиям в перспективе 1-2 лет.
Во-вторых, проверьте, какие новые нормативные требования применимы для вашего бизнеса. Возможно, будут внедрены другие направления бизнеса или приобретены новые активы, например, в рамках процедур слияния и поглощения.
В-третьих, оцените последствия невыполнения требований, изучите правоприменительную практику.

Как к вопросу ИБ подходят конкуренты?

Для обоснованного решения важно понимать, какие практики вообще применяются на рынке.Инициативы проще защитить, если у конкурентов есть такое же и оно показывает результат. И напротив, если у конкурентов чего-то не было, и они пострадали, это тоже станет важным аргументом.

Во-первых, косвенно оцените объем закупок у ваших конкурентов по публикациям и открытым тендерам.
Во-вторых, изучите, какие инциденты были у конкурентов. Скорее всего вас спросят, как ваша организация защищается от подобных проблем.
В-третьих, попытайтесь организовать для вас и других представителей топ-менеджмента референс-визиты в компании схожей структуры и масштаба, необязательно прямых конкурентов: например, производитель стройматериалов посещает фабрику текстиля. Это поможет показать руководству обоснованность принятия ваших решений по ИБ и продемонстрировать существующие подходы на рынке.

Ну что, готовы?

ИБ – это такое же функциональное подразделение, как и другие. Уметь обосновывать бюджет – это важный навык, который позволит начать (или продолжить) строить эффективную систему защиты. И вопросы от топ-менеджмента не являются сами по себе чем-то плохим или ненужным. Стремление понимать, что происходит и на что компания будет тратить деньги, понятная инициатива бизнеса, особенно с учетом непростого периода в экономике, поэтому важно обоснованно и с уважением отстаивать свои инициативы.

616