Как вести бюджет ИБ и защищать его перед руководством

Один из самых частых запросов от специалистов, растущих в CISO: как защищать бюджет ИБ перед руководством так, чтобы его не резали каждый раз при первом сокращении расходов. Проблема почти никогда не в размере суммы. Дело в том, как эта сумма обоснована.

Почему бюджет ИБ режут в первую очередь

Информационная безопасность расход, эффект которого не виден напрямую. Успешная защита выглядит как отсутствие инцидентов, измеримым результатом это не назовёшь. Когда компания ищет, где сократить расходы, статьи с неочевидной отдачей режут раньше статей с прямым влиянием на выручку. Задача CISO сделать эту отдачу видимой и понятной руководству. Полагаться на то, что важность ИБ очевидна сама по себе, не стоит. Она не очевидна.

Язык, на котором нужно вести бюджет

«Нужен новый SIEM за 3 миллиона» звучит как техническая прихоть. «Без этой системы среднее время обнаружения атаки 48 часов, с ней 15 минут; при текущем ландшафте угроз это разница между инцидентом и катастрофой» уже разговор на языке бизнеса. Разница именно в этом: риски вместо технологий, деньги вместо процентов защищённости. Формулировка «повысим уровень защищённости на 20%» ничего не говорит руководству. «Снижаем вероятность простоя производства, который стоит компании N рублей в день» говорит многое.

Дальше сравнение с ценой инцидента. Сравнение с нулём тут неуместно. Бюджет ИБ нужно сравнивать с реальной стоимостью вероятного инцидента: штрафы, простой, потеря клиентов, репутационные издержки. Сравнение с ситуацией «мы вообще ничего не тратим» тут бесполезно. И приоритизация вместо списка всего сразу: бюджет, разбитый по приоритету и обоснованный для каждой статьи отдельно, защищать заметно проще единой суммы без внутренней структуры. Руководству сразу видно, что можно урезать без прямого риска.

Совет директоров или собственник бизнеса редко разбирается в технической части ИБ, и не должен. Их задача принимать решения о рисках и деньгах. Работа CISO перевести техническую реальность в эти термины. Ждать, что руководство само в этом разберётся, не приходится.

Как построить защиту бюджета на практике

1. Свяжите каждую крупную статью бюджета с конкретным риском, не с абстрактной «безопасностью». Если статью нельзя объяснить через конкретный сценарий ущерба, вероятно, её сложно будет защитить.
2. Подготовьте 2–3 сценария бюджета: минимальный, целевой, расширенный, с чётким объяснением, какие риски остаются непокрытыми на каждом уровне. Это переводит разговор с «да или нет» на «какой уровень риска компания готова принять».
3. Используйте метрики, которые уже есть, не изобретайте новые ради презентации: время обнаружения инцидентов, доля закрытых уязвимостей, результаты последнего аудита.
4. Готовьтесь к вопросу «а что, если мы просто не будем это делать». Чёткий, спокойный ответ с конкретными последствиями работает лучше эмоциональной защиты бюджета.
5. Показывайте прошлое, не только просите на будущее. Если в этом году текущие меры предотвратили или смягчили инцидент, это самый сильный аргумент для следующего бюджетного цикла. Стоит зафиксировать его заранее.

Что делать, если бюджет всё равно урезали

Не пытайтесь молча компенсировать нехватку бюджета за счёт личной перегрузки команды. Это работает на короткой дистанции и создаёт риск выгорания и текучки. Вместо этого явно зафиксируйте, какие риски компания принимает на себя вместе с сокращением бюджета, и донесите это письменно до руководства. Дело тут в честности, не в перекладывании ответственности: решение о принятии риска должно быть осознанным решением бизнеса, не молчаливым допущением CISO.

Защита бюджета ИБ управленческий навык, который тренируется отдельно от технической экспертизы. Строится он на переводе рисков в язык денег, честной приоритизации и регулярной коммуникации с руководством, не разовой. Специалисты, которые осваивают этот навык осознанно, заметно быстрее проходят путь к руководящим позициям.