Бюджет ИБ отдельной статьёй: как выделить и не дать размыть

В годовом плане ИБ вы уже посчитали, сколько нужно на людей, инструменты, услуги и резерв. Этот материал — про бухгалтерию и смету: чтобы эти деньги не жили строкой «прочее ИТ» и к июню не ушли на кабель. Выделите отдельную статью, назначьте, кто согласует трату, и запишите, что перенос без принятия риска руководителем нельзя. Как собрать сами цифры и связать их с рисками: план на год и бюджет.

Статья опирается на логику направления «Стратегия кибербезопасности» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. NIST CSF 2.0 относит ресурсы на кибербезопасность к управлению (Govern), без сумм и без российских счетов: nist.gov/cyberframework. Номера счетов в 1С не выдумываем: их даёт ваш главбух.

Что сделать в смете

1. Попросите финансы завести (или явно пометить) статью «Информационная безопасность» / подстатьи: инструменты, услуги, резерв на инцидент. Фонд оплаты ответственного за ИБ часто остаётся в ФОТ — так и напишите в политике трат, чтобы не спорить дважды.
2. Код статьи должен быть виден в выгрузке. Если «ИБ» — это аналитика внутри «ИТ», проверьте, что фильтр в отчёте существует и им умеют пользоваться двое: финансист и ответственный за ИБ.
3. Платёж по статье без отметки ответственного за ИБ не проводят. Иначе ИТ купит коммутатор «для безопасности периметра» из резерва на пентест.
4. Резерв на инцидент (в плане — доля бюджета) не расходуют на плановые закупки. Иначе в момент атаки касса пуста.

Правила, зачем компании вообще ИБ, живут в политике, не в смете: как утвердить политику. Раз в квартал сверка факт/план — на совещании руководства: слот у руководства, цифры можно взять из метрик.

Когда статью режут

Урезание — решение руководителя компании, не ИБ и не ИТ в одиночку. На стол: какая строка плана выпадает, какой риск из реестра остаётся открытым, что будет с резервом. Коротко: «забираете 200 тысяч с пентеста — принимаете, что внешнюю проверку в этом году не делаем». Без этой фразы урезание выглядит как «оптимизация», а не как принятие риска.

Перенос внутри статьи (с обучения на сканер) согласует ответственный за ИБ. Перенос из ИБ в «офис» или «ИТ железо» — только руководитель, с записью. Риск: «временно займём, вернём в четвёртом квартале». Ставьте дату возврата в том же протоколе, иначе не вернут.

При росте компании статья обычно должна расти не пропорционально выручке, а по порогам людей и систем: стратегия при росте. Не обещайте процент от оборота «как в аналитике»: у вас нет своей статистики, не выдумывайте.

Диагностика

Где это в модели зрелости

Материал относится к направлению «Стратегия кибербезопасности» (хаб: стратегия, карта: карта зрелости). Уровень 2 требует не только цифры в презентации, но и видимую статью, которую нельзя молча размыть. Это не KPI ответственного и не дашборд: там измеряют результат, здесь — топливо.

Как проверить

1. В смете или управленческой отчётности есть отдельная статья (или устойчивый фильтр) «информационная безопасность».
2. Сумма в смете совпадает с утверждённым планом на год либо расхождение объяснено протоколом.
3. Платежи по статье за квартал можно выгрузить без ручной разноски «это вроде ИБ».
4. Резерв на инцидент не равен нулю в середине года без протокола о принятом риске.
5. Хотя бы один платёж за квартал имеет отметку ответственного за ИБ.

Источники

• NIST Cybersecurity Framework 2.0, функция Govern: nist.gov/cyberframework.