Осенью 2008 года финансовый кризис добрался до ИТ-бюджетов. Компании замораживают проекты, сокращают штат, пересматривают контракты. Безопасность первой попадает под нож – её эффект не виден, пока не случится инцидент. Это ошибка. Кризис не снижает риски, он их повышает: уволенные сотрудники уносят базы клиентов, подрядчики экономят на контроле, мошенники активизируются. Резать защиту можно и нужно, но с пониманием, где экономия обернётся убытком, кратно превышающим сэкономленное.

Сначала разберитесь, что вы защищаете

Большинство компаний тратят на безопасность вслепую – покупают железо и лицензии «как у всех», не зная, какие данные критичны. Кризис – повод навести порядок. Проведите инвентаризацию активов: где лежат персональные данные клиентов, финансовая отчётность, договоры, исходный код. Часто выясняется, что половина бюджета уходит на защиту систем, которые ничего не стоят, а критичная база крутится на сервере без резервного копирования.

Эта работа почти бесплатна и сразу даёт экономию. Подход тот же, что в оптимизации ИТ-затрат через TCO: сначала считаем стоимость и риск, потом тратим. Без карты активов любое сокращение бюджета – стрельба наугад.

Отдельно учитывайте регуляторику. Федеральный закон № 152-ФЗ «О персональных данных» вступил в силу в январе 2007 года, и требования регуляторов к операторам персональных данных ужесточаются. Экономия на этом направлении – прямой путь к предписаниям и штрафам, которые в кризис особенно некстати.

Где экономить можно, а где нельзя

Сократить без большого риска можно дорогие «премиальные» лицензии там, где задачу решают встроенные средства ОС или открытое ПО. Можно отложить замену работающего оборудования, отказаться от избыточных модулей мониторинга, которые никто не читает. Можно перенести часть инфраструктуры на внешние сервисы – например, отдачу статики и файлов через сеть доставки контента, сняв нагрузку и часть рисков со своих серверов.

Чего трогать нельзя:

  • Резервное копирование. Бэкап – последний рубеж при шифровальщике, сбое или саботаже. Проверяйте не наличие копий, а возможность восстановления.
  • Управление доступом. В кризис растёт текучка. Каждое увольнение – отзыв учётных записей в тот же день. Принцип минимальных привилегий экономит больше, чем стоит.
  • Журналирование и контроль действий. Когда штат сокращают, риск утечки изнутри максимален. Логи доступа к критичным системам – дешёвая страховка.
  • Обновление и закрытие уязвимостей. Патчи бесплатны. Не ставить их – значит платить злоумышленнику за вход.

Безопасность как часть, а не надстройка

Дешевле всего защита, встроенная в систему с самого начала, а не прикрученная сверху после инцидента. Если вы строите хранилище данных и аналитику – закладывайте разграничение доступа сразу, как мы описывали в материале про управление хранилищами данных и BI. Переделка обходится в разы дороже.

В кризис выигрывает тот, кто тратит осознанно: защита информационных систем под реальные риски и бюджет стоит дешевле, чем закупка по прайс-листу вендора, и закрывает именно те угрозы, которые актуальны для бизнеса и госсектора.

Вывод

Кризис – не повод отключать безопасность, а повод сделать её рациональной. Уберите лишнее, защитите критичное, считайте риск в деньгах. Экономия на бэкапах, доступе и патчах всегда возвращается убытком, который перечеркнёт всю кризисную выгоду.