03 Августа 2026 10:16 | 03 Авг 2026 10:16 | |

Поделиться

Олег Гомазков: Кибербезопасность — это управление капиталом компании в условиях цифровой неопределенности

Из статьи расходов — в инструмент управления стоимостью

CNews: Как эксперт, вы наверняка застали времена, когда ИБ воспринимали как вынужденные издержки. Исходя из вашей практики, назовите ключевой момент, после которого вы сами стали воспринимать безопасность не как затраты, а как актив, усиливающий рыночные позиции компании?

Олег Гомазков: В компании сначала я был сосредоточен на кибербезопасности, а в 2011 году начал заниматься финансами. К нам обратился клиент, которому нужно было построить довольно сложную систему безопасности для его нового проекта. Мы предложили не только внедрить, но и аттестовать ее, хотя это было необязательно и мы честно об этом упомянули. За рамки бюджета это не выходило и клиент согласился. Спустя некоторое время после окончания проекта он сообщил, что благодаря наличию аттестата они получили выгодный контракт с государством, хотя сначала даже не думали об этом. Тогда я понял, что безопасность — это актив.

Сегодня у многих компаний бизнес — это цифровая инфраструктура: мобильные и веб приложения, через которые идут продажи; автоматизация управления производством; логистические, банковские, финансовые сервисы и т.д. Если инфраструктура падает — это уже не проблема «ИТ», а проблема самой компании, бизнеса. Поэтому киберриск становится обычным операционным и финансовым риском: простой на несколько часов может обойтись дороже, чем годовой бюджет на ИБ.

Незаметно для многих атаки стали отдельной индустрией. Поиск слабых и уязвимых компаний производится автоматически. Формулировка вопроса о кибератаках изменилась с «будут ли нас атаковать?» на «как быстро мы восстановимся после атаки?».

Добавилось давление рынка. Крупные заказчики стали внимательно проверять не только финансовую отчетность поставщиков, но и зрелость их процессов ИБ. Регуляторы вводят персональную ответственность руководства компаний за инциденты. Однако, есть важный момент, на который часто не обращают внимания: зрелая безопасность не тормозит бизнес, она его ускоряет. Если сотрудники и менеджмент компании работают в понятных и принятых ими политиках ИБ, выход новых продуктов на рынок происходит быстрее.

Информационная безопасность превращается из статьи расходов в инструмент управления стоимостью компании — и в конкурентное преимущество для тех, кто научился считать ее именно так.

Время подумать о рисках

CNews: Вы работали как с финансовой функцией, так и с вопросами кибербезопасности. В какой момент совет директоров начинает воспринимать ИБ как стратегический вопрос, а не как задачу ИТ-подразделения? Какие показатели или аргументы действительно работают в разговоре с топ-менеджментом?

Олег Гомазков: Совет директоров начинает относиться к кибербезопасности стратегически не из-за роста числа атак, а в момент, когда киберриск становится сопоставим по масштабу с другими рисками, которые совет уже привык обсуждать — рыночным, кредитным, репутационным. Практически это происходит на пересечении трёх условий: цифровая инфраструктура стала основным каналом создания стоимости, потенциальный ущерб выражен в деньгах, а не в технических терминах, и появилась персональная ответственность руководства.

Второе из этих условий — перевод ущерба в деньги — на практике решает всё. Зрелая служба ИБ говорит цифрами, важными не инженеру, а бизнесу. Фраза «у нас 500 критических уязвимостей» не интересна руководству, а фраза «компрометация этой системы означает до 5 дней простоя производства, то есть риск на 40 млн рублей выручки» — уже разговор на языке бизнеса, языке совета директоров.

Но одного перевода в деньги недостаточно — совету директоров нужна ещё и уверенность, что за этими цифрами стоит система, а не разовая оценка. Работающая модель управления обычно строится по принципу «трёх линий защиты»: бизнес-подразделения отвечают за свои риски и решения, служба безопасности выстраивает и контролирует систему защиты, а внутренний аудит независимо проверяет, что первые две линии работают. Совет директоров в этой модели не разбирается в технологиях — он утверждает приемлемый уровень риска и проверяет, что компания способна его придерживаться.

Самый убедительный язык для топ-менеджмента — это язык денег, вероятностей и доверия, а не язык технологий.

ROSI вместо классического ROI

CNews: В вашей практике вам приходилось оценивать эффективность инвестиций как с финансовой, так и с технологической стороны. Как бизнесу корректно измерять отдачу от вложений в информационную безопасность? Насколько применим здесь классический ROI или стоит использовать другие подходы?

Олег Гомазков: Классический ROI в чистом виде для ИБ работает не всегда — просто потому, что безопасность в большинстве случаев не создает выручку, а снижает вероятность и масштаб будущих потерь. Рассмотрим пример: если вероятность серьёзного инцидента — 20% в год, а потенциальный ущерб — 50 млн рублей, ожидаемый годовой риск равен 10 млн. Решение стоимостью 3 млн рублей, снижающее вероятность вдвое, снижает риск до 5 млн — экономический эффект в 5 млн рублей при затратах в 3 млн. Эта модель называется окупаемость инвестиций в безопасность или ROSI (Return on Security Investment).

Помимо ожидаемых потерь, разумно учитывать ещё три критерия: во сколько раз снижается время обнаружения инцидента и восстановления после него; открывает ли конкретная мера доступ к контрактам или рынкам, недоступным без неё (аттестация систем по требованиям ИБ часто окупается не снижением риска, а снятием коммерческого барьера); и сравнение стоимости риска «как есть» со стоимостью его снижения — если оставить риск без изменений дороже, чем его снизить, решение становится очевидным даже без сложных моделей.

Главная методологическая ошибка — оценивать не риск, а бюджет: сравнивать расходы на ИБ год к году вместо того, чтобы спрашивать, как изменился профиль риска компании. Второй частый перекос — инвестировать в заметные, но не самые эффективные меры, которые легко показать совету директоров, но которые слабо снижают реальный ожидаемый ущерб.

Финансовая дисциплина как основа зрелой ИБ

CNews: За годы работы финансовым директором вы уделяли большое внимание управленческой прозрачности и контролю затрат. Насколько принципы финансового управления применимы к построению современной системы кибербезопасности?

Олег Гомазков: Принципы финансового управления не просто применимы к кибербезопасности — сегодня это одно из условий её зрелости. Сильная служба ИБ строится на тех же принципах, что и сильная финансовая функция: прозрачность, измеримость, ответственность за ресурсы и управление рисками. Исторически ИБ развивалась как чисто техническая область — закупались инструменты, нанимались специалисты, — но без финансовой дисциплины невозможно ответить на главный вопрос руководства: какой уровень защиты компания получает за вложенные деньги. Будучи финансовым директором и одновременно являясь экспертом в кибербезопасности, я могу профессионально смотреть на этот вопрос с обеих позиций. Поэтому, опираясь на свой опыт, я всегда советую службе ИБ использовать такой подход.

Практически, финансовая дисциплина в ИБ означает четыре вещи. Во-первых, управление активами, а не инструментами: CRM, производственная платформа или платёжная система имеют разную бизнес-ценность и требуют разного уровня защиты — подход «защитить всё одинаково» так же неэффективен, как равное распределение капитала между проектами с разной отдачей. Во-вторых, бюджетирование по принципу инвестиционного портфеля, а не реактивных закупок «под угрозу». Здесь очень важен учет полной стоимости владения — лицензий, интеграции, обучения и поддержки, — а не только цены закупки. В-третьих, выражение риска в деньгах, а не в качественных оценках вроде «высокий/средний/низкий», которые трудно сравнивать между собой и с другими корпоративными рисками. Вместо «у нас высокий риск компрометации учётных записей» лучше звучит так: «компрометация привилегированной учётной записи может остановить ключевой сервис, потенциальный ущерб — 150 млн рублей, текущие меры снижают этот риск на 70%». В-четвёртых, чёткое распределение ответственности — по модели «трёх линий защиты», о которой шла речь выше, — вместо размытой формулировки «безопасностью занимается ИТ-отдел».

Стоит отдельно подчеркнуть: контроль затрат в этой логике — не то же самое, что их сокращение. Экономия бюджета, не подкреплённая пересчётом риска, часто означает просто больший необнаруженный риск, а не эффективность.

Почему сервисная модель становится нормой

CNews: Вы наблюдали развитие рынка ИБ как со стороны заказчика, так и со стороны реализации проектов. Почему сегодня бизнесу все чаще выгоднее покупать безопасность как сервис, а не строить всю инфраструктуру самостоятельно?

Олег Гомазков: Переход к сервисной модели — это не мода, а закономерный ответ на то, что киберриски меняются быстрее, чем большинство компаний успевают наращивать собственные компетенции. Построить зрелую ИБ с нуля стоит гораздо дороже, чем 10 лет назад. Я выделю три фактора, которые делают сервисную модель экономически рациональной.

Первый — дефицит кадров. Полноценный центр мониторинга угроз (SOC) требует аналитиков разных уровней, инженеров SIEM, специалистов по реагированию и круглосуточной работы. Содержать такую структуру самостоятельно по силам единицам компаний.

Второй фактор — экономика. Сервисная модель переводит затраты из CAPEX в OPEX с ежемесячной стоимостью и понятным бюджетом.

Третий фактор — скорость: развернуть собственный Центр мониторинга и реагирования на киберугрозы (SOC) — это в лучшем случае месяцы, а подключение управляемого сервиса — недели, с немедленным доступом к экспертизе, накопленной на инцидентах у десятков других клиентов.

Но есть нюанс, который обязательно нужно упомянуть: провайдер берёт на себя исполнение, но это не снимает ответственность с бизнеса. Компания передает исполнение функции, но не передает владение риском. Решения о допустимом уровне риска и критических данных остаются за компанией.

Как не потерять контроль, опираясь на аутсорсинг

CNews: Какие задачи сегодня целесообразно отдавать внешним ИБ-провайдерам, а какие компетенции компаниям по-прежнему важно сохранять внутри? Где проходит граница между аутсорсингом и потерей контроля?

Олег Гомазков: Граница проходит там, где компания перестаёт понимать, какие у неё риски, кто за них отвечает и какие решения принимаются от её имени.

На аутсорс разумно передавать функции, где ценность создаётся масштабом, круглосуточностью или независимым взглядом: мониторинг и реагирование в режиме 24/7, эксплуатацию специализированных платформ мониторинга и защиты, тестирование на проникновение и расследование сложных инцидентов — в этих задачах внешняя экспертиза, распределённая между многими клиентами провайдера, обычно превосходит то, что может себе позволить содержать одна компания.

Внутри компании стоит сохранять следующие вещи:

1. Владение киберриском. Какие активы критичны и какой риск приемлем — это вопрос бизнеса, а не подрядчика.
2. Понимание архитектуры ИБ. Почему она построена именно так, какие компромиссы приняты.
3. Контроль над привилегированными учетными записями и ключами шифрования.
4. Принятие решения при серьезном инциденте — останавливать ли процесс, уведомлять ли клиентов.

Практическую границу удобно свести в одну таблицу:

Показательный диагностический вопрос: если на «какие риски у вас сейчас под контролем» в компании отвечают «это знает наш подрядчик» — контроль уже потерян, вне зависимости от того, насколько формально верно оформлен договор. Передача функции наружу перестаёт быть аутсорсингом и становится потерей управляемости именно в тот момент, когда компания больше не может объяснить и обосновать решение, которое исполняется от её имени.

Риски сервисной модели

CNews: Сервисная модель позволяет сократить капитальные затраты, однако одновременно усиливает зависимость от поставщика. Какие риски бизнеса при этом часто недооцениваются и как их минимизировать?

Олег Гомазков: Сервисная модель обменивает один тип риска на другой: вместо риска нехватки ресурсов компания получает риск зависимости от чужой надёжности. Самый наглядный пример системного масштаба этого риска — сбой CrowdStrike в июле 2024 года, когда ошибочное обновление одного защитного агента вызвало массовый отказ компьютеров на Windows по всему миру, задержав тысячи авиарейсов и нарушив работу больниц и банков. Это был не результат атаки — а прямое следствие того, что огромное число организаций одновременно зависело от одного и того же компонента защиты одного и того же поставщика.

Отсюда два практических вывода. Первый — концентрация риска: чем больше критичных функций завязано на одного провайдера, тем выше системная уязвимость, и это стоит учитывать при выборе архитектуры так же, как при выборе финансовых контрагентов — избегая избыточной зависимости от одной точки отказа. Второй — vendor lock-in и потеря внутренней экспертизы: если через несколько лет сотрудники компании не понимают архитектуру собственной защиты, компания формально владеет риском, но не может им управлять. Это можно и нужно минимизировать на входе, заранее прописывая в договоре условия выхода, права на данные, логи, описание структур интеграции. И обязательно внутри компании должен быть владелец этого процесса, который понимает, как все должно работать, даже если он сам не работает руками.

Отдельно я обращаю внимание на следующее: конфиденциальность передаваемых данных — логи и метаданные в совокупности могут раскрыть архитектуру компании, поэтому их стоит передавать по принципу необходимой достаточности; финансовый риск OPEX-модели, которая сегодня дешевле, а завтра дороже из-за роста подписки и дополнительных услуг: здесь спасает планирование стоимости на несколько лет, а не разовая оценка при подписании договора.

Перед переходом на сервисную модель я рекомендую совету директоров и финансовому директору ответить на несколько вопросов:

• Какой бизнес-риск снижает этот сервис?
• Какие процессы становятся критически зависимыми от поставщика?
• Что произойдёт, если поставщик будет недоступен 24—72 часа?
• Сможем ли мы заменить его без существенного ущерба для бизнеса?

Если ответы на эти вопросы есть — модель управляема, если нет — компания рискует не киберугрозой, а собственной операционной устойчивостью.

Рынок ближайшего будущего

CNews: Как вы считаете, каким будет рынок корпоративной информационной безопасности в ближайшие три–пять лет? Сохранится ли тренд на сервисную модель, или компании начнут искать баланс между собственными решениями и внешними сервисами?

Олег Гомазков: В ближайшие три-пять лет рынок, скорее всего, не пойдёт ни к полному переходу на сервисную модель, ни к возврату «строим всё внутри».

Главный структурный сдвиг ближайших лет — двойная роль искусственного интеллекта. ИИ уже используется примерно в 16% зафиксированных утечек данных для автоматизации фишинга и создания дипфейков, а компании с развитыми ИИ-инструментами защиты одновременно получают заметную экономию на обнаружении и сдерживании инцидентов. Это значит, что ИИ не столько создаёт новую категорию рынка, сколько меняет экономику существующей — увеличивая разрыв между зрелыми и незрелыми организациями.

При этом рынок вряд ли сведётся к одной модели. Вероятен устойчивый гибридный сценарий: рутинные и масштабируемые функции — мониторинг, реагирование, тестирование — продолжат уходить к специализированным провайдерам, а внутри компаний будет расти значимость не технических специалистов, а тех, кто принимает решения о риске, архитектуре и приоритетах инвестиций. Роль директора по безопасности (CISO) в этой модели продолжит смещаться от технического руководителя к участнику стратегического управления рисками на уровне совета директоров.

Главным драйвером сервисного рынка станет средний бизнес: у него уже угрозы корпоративного уровня, но нет ресурсов крупной компании, а сервисная модель — это способ получить защиту, которая раньше была доступна только корпорациям.

Также, я надеюсь, продолжит меняться и развиваться язык разговора о безопасности. Помимо технических метрик, вроде числа атак и уязвимостей, все больше внимания будет уделяться бизнес-показателям — как изменился финансовый риск, сколько времени займет восстановление, какая часть бизнеса защищена и т.д.

Выиграют не те, кто построит самый большой отдел ИБ, и не те, кто полностью отдаст безопасность наружу, а те, кто выстроит управляемую экосистему с понятной экономикой, чёткой ответственностью и измеримым снижением риска.

Поделиться

Короткая ссылка