UDV Group: ROI ИБ нельзя считать как прибыль от отдельного проекта

К расчету ROI в информационной безопасности нужно относиться осторожно. Прямая формула «заплатили за проект — получили возврат» плохо описывает реальную ценность ИБ. В большинстве случаев безопасность не приносит бизнесу самостоятельную выручку, как новый продукт или канал продаж. Она работает иначе: позволяет компании продолжать эксплуатацию, запускать цифровые проекты, снижать риск остановки процессов и сохранять управляемость инфраструктуры.

Мы в UDV Group считаем, что ошибка начинается там, где ИБ пытаются оценивать как обычный инвестиционный проект с прямой доходностью. Такой подход удобен финансово, но он упрощает реальность. Информационная безопасность все чаще становится базовой статьей затрат — такой же необходимой, как серверы, сетевое оборудование, электропитание, инженерная инфраструктура или резервирование. Без этих элементов бизнес не спрашивает, какую прибыль принес конкретный коммутатор или источник бесперебойного питания. Он понимает, что без них система не будет устойчиво работать.

При этом неправильно считать ИБ только расходом, который не создает ценности. Ценность появляется не в виде прямой выручки, а в виде возможности безопасно развивать бизнес. Сегодня многие проекты автоматизации, цифровизации, роботизации, перехода на облака, внедрения новых производственных систем и удаленного доступа невозможно нормально запускать без встроенной защиты. Чем сложнее технологическая среда, тем выше зависимость бизнеса от того, насколько она контролируема и устойчива к киберугрозам.

Это особенно заметно в промышленности. Предприятие внедряет роботизированную линию, манипуляторы, новые системы управления, интеллектуальные датчики или диспетчеризацию, и почти сразу возникает вопрос безопасности. Кто имеет доступ к этой системе? Как контролировать ее состояние? Какие события нужно мониторить? Что произойдет при ошибке конфигурации, атаке через подрядчика или отказе управляющего компонента? Как быстро можно восстановить процесс?

В такой логике ИБ уже не надстройка после внедрения. Она становится обязательной частью проекта. Если безопасность добавляют в конце, компания получает рискованную архитектуру, которую приходится дорабатывать под давлением сроков, эксплуатации и требований регуляторов. Если требования ИБ учитываются с самого начала, проект становится устойчивее: понятнее доступы, зоны ответственности, мониторинг, восстановление, обновления и контроль изменений.

Поэтому ROI ИБ-проектов не должен сводиться только к вопросу, сколько денег удалось «вернуть». Часть эффекта действительно можно оценивать через снижение ущерба: сокращение времени простоя, уменьшение вероятности инцидента, снижение затрат на расследование, ускорение восстановления, снижение риска штрафов и потерь от утечки. Но это только одна сторона.

Вторая сторона — разрешающая функция ИБ. Без нее бизнес не может безопасно запускать новые технологические инициативы. Можно построить современную производственную линию, но если непонятно, кто меняет конфигурации и как фиксируются действия подрядчиков, риск останется внутри проекта. Можно внедрить цифровой сервис, но если не продуманы доступы, мониторинг и защита данных, он станет новой поверхностью атаки. Можно ускорить процессы за счет автоматизации, но если не контролировать используемые решения, уязвимости, зависимости и возможные закладки, эффект от автоматизации будет сопровождаться новым уровнем риска.

Регуляторные требования в этой логике важны, но они не исчерпывают ценность ИБ. Требования помогают формализовать минимальный уровень защиты: что должно быть учтено, какие меры реализованы, какие процессы описаны, какие данные нужно подтверждать. Но реальная задача CISO шире, чем пройти проверку. Нужно сделать так, чтобы компания могла безопасно работать, развиваться и восстанавливаться после сбоев или атак.

Мы в UDV Group видим, что зрелый разговор об экономике ИБ должен начинаться не с покупки конкретного продукта, а с вопроса о бизнес-риске. Какой процесс может остановиться? Сколько стоит час или день простоя? Какие данные критичны? Какие системы нужно восстановить первыми? Какие сценарии атаки наиболее вероятны? Какие меры реально сокращают последствия? Только после этого можно обсуждать, какие инвестиции оправданы и какой эффект они дают.

Для CISO важно не обещать бизнесу точную окупаемость там, где ее невозможно честно посчитать. Если инцидента не произошло, нельзя доказать с абсолютной точностью, какой ущерб удалось предотвратить. Но можно показать управленческую картину: какие риски были до проекта, какие меры внедрены, какие сценарии закрыты, как изменилось время обнаружения, реагирования и восстановления, какие критичные активы стали контролируемыми.

Хорошая аналогия — тормозная система автомобиля. Мы не оцениваем полезность тормозов только по количеству аварий, которых удалось избежать. Мы проверяем тормоза, меняем колодки и поддерживаем систему в рабочем состоянии не потому, что авария уже произошла, а потому что без этого нормальная эксплуатация автомобиля невозможна. В ИБ логика такая же. Безопасность нужна не только после инцидента. Она должна быть частью работающей системы.

Поэтому вопрос «окупилась ли ИБ» лучше переформулировать. Правильнее спрашивать, какие критичные процессы стали устойчивее, какие угрозы теперь обнаруживаются раньше, какие действия автоматизированы, какие зоны инфраструктуры перестали быть слепыми, сколько времени занимает восстановление и может ли компания доказательно управлять рисками. Это более честный и полезный язык для разговора с собственником и финансовым блоком.

Автоматизация здесь играет отдельную роль. Если атаки ускоряются, ручное реагирование быстро становится ограничением. Команда может видеть алерты, но не успевать связывать их в инцидент, запускать типовые действия, изолировать затронутые узлы и восстанавливать картину происходящего. Инвестиции в автоматизацию ИБ не всегда напрямую «возвращают деньги», но они сокращают время между событием и решением. Для бизнеса это может быть разницей между локальным инцидентом и масштабным простоем.

При этом не каждый ИБ-проект одинаково полезен. Инвестиция оправдана тогда, когда она связана с конкретным риском и понятным процессом. Если компания покупает средство защиты только потому, что оно есть у других, экономический эффект будет трудно доказать. Если проект закрывает реальную проблему — например, контроль критичных доступов, защиту файловой инфраструктуры, мониторинг промышленного контура, управление уязвимостями или восстановление после ransomware, — его ценность проще объяснить через снижение риска и повышение устойчивости.

Для нас в UDV Group главный вывод такой: ROI ИБ-проектов нельзя считать как прибыль от отдельной покупки. Информационная безопасность стала частью нормальной эксплуатации бизнеса. Она не всегда создает доход напрямую, но без нее многие цифровые и промышленные проекты становятся слишком рискованными, а восстановление после инцидентов — слишком долгим и дорогим.

CISO должен говорить о таких проектах не языком страха и не языком формального выполнения требований, а языком устойчивости. Что защищаем, от какого сценария, какой процесс сохраняем, как быстро обнаруживаем отклонение, как реагируем, как восстанавливаемся и какие решения теперь можно запускать безопаснее. Тогда ИБ перестает быть абстрактной затратой и становится условием управляемого развития компании.