Ile kosztuje program cyberbezpieczeństwa

Kiedy zaczynamy pracę z nową organizacją, jedno z pierwszych pytań brzmi: ile wydajecie na bezpieczeństwo? Odpowiedź to zazwyczaj kwota z budżetu IT, najczęściej licencje na oprogramowanie ochronne i roczny test penetracyjny. Suma wygląda na rozsądną. Problem w tym, że to ułamek rzeczywistych kosztów.

Szkolenia pracowników rozlicza HR. Obsługę prawną incydentów pokrywa dział prawny. Audyty compliance idą z budżetu CFO. Czas, który zespół IT poświęca na reagowanie na alerty, zarządzanie dostępami i przeglądy konfiguracji, nie jest nigdzie wyodrębniony. Badanie McKinsey wskazuje, że blisko 15% korporacyjnych wydatków na cyberbezpieczeństwo pochodzi spoza biura CISO, a ta część rośnie szybciej niż budżet centralny.

Kiedy zbierzemy te rozproszone pozycje w jedno miejsce, suma jest dwu- lub trzykrotnie wyższa niż to, co organizacja nazywa „budżetem na security". Ten artykuł pokazuje, z czego składa się rzeczywisty budżet programu bezpieczeństwa, jak polskie organizacje wypadają na tle benchmarków i jak krok po kroku policzyć własne wydatki.

Sześć składników budżetu bezpieczeństwa

Program cyberbezpieczeństwa to coś więcej niż oprogramowanie. Poniżej sześć obszarów, z których każdy generuje koszty. Jeśli któryś nie pojawia się w budżecie, nie oznacza to, że organizacja go nie ponosi. Oznacza, że nikt go nie mierzy.

1. Ludzie

Wynagrodzenia zespołu bezpieczeństwa (o ile istnieje), koszty rekrutacji, certyfikacje specjalistów. Według ISACA tylko 11% liderów bezpieczeństwa uważa, że ma wystarczający zespół. W organizacjach bez dedykowanego zespołu zadania bezpieczeństwa rozkładają się na dział IT i ich koszt staje się niewidoczny. Żeby go wydobyć, trzeba oszacować, ile godzin miesięcznie IT poświęca na zarządzanie dostępami, reagowanie na alerty, przeglądy konfiguracji i obsługę zapytań compliance.

2. Narzędzia i licencje

Oprogramowanie ochronne (EDR, SIEM, firewall, DLP, skanery podatności), zarządzanie tożsamością i dostępem (IAM), narzędzia do backupu i odtwarzania. To najłatwiejszy do zmierzenia składnik, bo generuje faktury. Według danych rynkowych oprogramowanie stanowi ok. 40% budżetu cyberbezpieczeństwa w dojrzałych programach. W organizacjach na wcześniejszym etapie ten udział bywa niższy, bo firma kupuje pojedyncze narzędzia zamiast budować zintegrowany stos.

3. Audyty i testy

Testy penetracyjne, audyty zgodności, przeglądy konfiguracji, ocena dojrzałości programu. Organizacja dążąca do certyfikacji ISO 27001 ponosi koszty audytów certyfikujących i nadzorczych w cyklu trzyletnim: audyt certyfikujący w pierwszym roku, audyty nadzorcze w drugim i trzecim, recertyfikacja w czwartym. Ta pozycja pojawia się nieregularnie i przez to łatwo ją pominąć w rocznym planowaniu.

4. Szkolenia pracowników

Programy awareness, symulacje phishingowe, szkolenia przy onboardingu. W organizacji liczącej 200 osób roczny program szkoleniowy kosztuje od kilkunastu do kilkudziesięciu tysięcy złotych, w zależności od formy (platforma e-learningowa, warsztaty, zewnętrzny dostawca). Ten koszt ponosi HR lub dział szkoleń, nie IT, więc w budżecie na „bezpieczeństwo" go nie widać.

5. Reakcja na incydenty

Procedury reagowania, retainer na zewnętrzny zespół incident response, obsługa prawna, komunikacja kryzysowa, powiadomienia regulatorów i osób, których dane dotyczą, ubezpieczenie cyber. W normalnym roku to koszt utrzymania gotowości. W roku incydentu potrafi przekroczyć cały roczny budżet na bezpieczeństwo. Połowa polskich firm nie posiada planu ciągłości działania i procedur reagowania na incydenty (Xopero Software), co oznacza, że ten koszt pojawi się, ale bez przygotowania i kontroli.

6. Zgodność regulacyjna

Wdrożenie wymagań KSC2 (NIS2), DORA, CRA, ISO 27001, TISAX. Każda regulacja wymaga analizy luk, dostosowania procesów, dokumentacji i bieżącego utrzymania. Organizacje objęte kilkoma ramami jednocześnie muszą koordynować prace, żeby nie ponosić kosztów podwójnie (wiele kontroli ISO 27001 pokrywa się z wymaganiami KSC2). Według Forrester 81% europejskich organizacji spodziewa się wzrostu budżetów na bezpieczeństwo, w znacznej mierze właśnie pod wpływem NIS2 i DORA.

Gdzie szukać rozproszonych kosztów

Większość organizacji nie ma jednej pozycji budżetowej „cyberbezpieczeństwo". Koszty siedzą w kilku miejscach jednocześnie. Poniższa tabela pokazuje, kogo zapytać i o co.

‍

Częsty błąd: pomijanie czasu wewnętrznego. Organizacja, która nie ma zespołu bezpieczeństwa, nie wydaje „zero na ludzi". Wydaje czas zespołu IT, który zamiast rozwijać infrastrukturę, zarządza dostępami i reaguje na alerty. Ten czas ma konkretną wartość.

‍

Benchmarki rynkowe: ile wydają inni

Kwoty bezwzględne różnią się w zależności od branży, skali i profilu ryzyka. Wskaźniki proporcjonalne pozwalają porównać się z rynkiem.

‍

Typowy podział budżetu w dojrzałym programie: ok. 40% oprogramowanie i platformy, 30% ludzie, 15% sprzęt, 15% usługi zewnętrzne. W organizacjach na wcześniejszym etapie dojrzałości proporcje wyglądają inaczej: więcej idzie na usługi zewnętrzne i audyty, mniej na narzędzia, bo nie ma jeszcze komu nimi zarządzać.

Udział wydatków na bezpieczeństwo w budżecie IT różni się między branżami, ale stabilizuje się wewnątrz sektorów niezależnie od wielkości organizacji. Firma produkcyjna zatrudniająca 300 osób i koncern z tej samej branży zatrudniający 3000 osób wydają zbliżony procent budżetu IT na bezpieczeństwo. Dlatego benchmark sektorowy jest bardziej użyteczny niż średnia ogólnorynkowa.

Polskie organizacje na tle rynku

Polskie dane pokazują dwa zjawiska jednocześnie. Na poziomie rynku wydatki rosną: według IDC dynamika przekracza 15% rok do roku, szybciej niż w krajach Europy Zachodniej. Rząd przeznaczył 3,1 mld PLN na cyberbezpieczeństwo w sferze cywilnej w 2025 roku.

Na poziomie pojedynczych firm obraz wygląda inaczej. Raport Xopero Software, oparty na badaniu 420 firm, pokazuje następujący rozkład:

‍

52% badanych firm nie planuje zwiększania wydatków na cyberbezpieczeństwo, mimo że co piąta z nich doświadczyła incydentu w ostatnim roku. 51% polega na samym oprogramowaniu antywirusowym jako głównej formie ochrony.

Te liczby trzeba czytać z jednym zastrzeżeniem: dotyczą deklarowanych wydatków na „zabezpieczenia IT", czyli najczęściej tej jednej widocznej pozycji budżetowej. Rzeczywiste koszty, po uwzględnieniu rozproszonych pozycji opisanych wyżej, są wyższe. Firma deklarująca 30 tys. PLN rocznych wydatków na „security" może w rzeczywistości wydawać 80-100 tys. PLN, jeśli policzy czas IT poświęcony na bezpieczeństwo, szkolenia i obsługę prawną.