🔒 Введение: проблема ценообразования и временного планирования в сфере ИБ-аудита

• Для руководителей среднего бизнеса, собственников компаний, финансовых директоров и специалистов по информационной безопасности вопрос стоимости аудита информационной безопасности и сроков его проведения является одним из наиболее критических при принятии решения о заказе услуг. В отличие от типовых продуктов (например, лицензий на антивирусное ПО или межсетевого экрана), аудит ИБ представляет собой интеллектуальную услугу с высокой долей экспертной работы, что делает прямое сравнение цен на рынке затруднительным. Более того, отсутствие общепринятых стандартов ценообразования (в отличие от, скажем, бухгалтерского аудита, тарифицируемого по человеко-часам с фиксированными ставками) порождает разброс цен в 5-10 раз между разными исполнителями при схожем описании работ.
• Настоящая консультация представляет собой систематизированное руководство по формированию стоимости и сроков аудита информационной безопасности для предприятий среднего бизнеса (количество сотрудников от 100 до 1000 человек, годовой оборот от 500 млн до 5 млрд рублей, количество IT-узлов от 50 до 500). В материале рассматриваются: детальная факторная модель (10+ факторов), методика расчета человеко-часов по видам аудита, отраслевые коэффициенты сложности, влияние нормативных требований (152-ФЗ, ГОСТ, PCI DSS), различия между «белым ящиком», «серым» и «черным ящиком», а также три практических кейса с реальными цифрами. В заключении приведены среднерыночные ценовые диапазоны по видам услуг и рекомендации по бюджетному планированию на 2025-2026 годы.

🔒 Раздел 1. Определение «среднего бизнеса» для целей аудита ИБ: количественные и качественные критерии

Прежде чем переходить к стоимости, необходимо четко определить, какой объект относится к категории «средний бизнес» в контексте сложности аудита. В отличие от маркетинговых классификаций, экспертные организации используют следующие критерии, влияющие на трудоемкость:

Важно: Организация с 800 сотрудниками, но имеющая 20 серверов и простую сеть (плоская топология) может оказаться проще для аудита, чем компания с 200 сотрудниками, но 100 серверами и распределенной инфраструктурой. Поэтому оценка всегда индивидуальна.

🔒 Раздел 2. Факторная модель стоимости аудита ИБ: 10 ключевых факторов

Ниже представлена детализированная модель, в которой каждый фактор переводится в коэффициент увеличения базовой стоимости (base rate). Базовая стоимость определена как минимальная цена простейшего аудита (средняя по рынку, Москва и Московская область, 2025 год).

Базовая стоимость (минимальная): 150 000 − 250 000 рублей. Соответствует: внешний анализ уязвимостей (без пентеста) для 5-10 публичных IP, 20 рабочих станций, отчет без ручной верификации.

Фактор 1. Количество IT-активов (серверы, ПК, сетевые устройства).

Фактор 2. Глубина и вид аудита.

Фактор 3. Наличие требований соответствия стандартам/регуляторам.

Фактор 4. Разветвленность инфраструктуры (филиалы, удаленные офисы).

Фактор 5. Использование облачных сервисов (SaaS, IaaS, PaaS).

Фактор 6. Необходимость социотехнического тестирования.

Фактор 7. Срочность выполнения.

Фактор 8. Качество и полнота предоставленной заказчиком документации.

Фактор 9. География размещения объектов.

Фактор 10. Квалификация и репутация экспертной организации.

Элитные организации (члены CREST, лицензии ФСТЭК, участие в расследовании громких дел) могут взимать премию 2,0 — 3,0 по сравнению со среднерыночными. Однако это гарантирует признание отчета регуляторами и судами. Экономия на дешевых исполнителях часто приводит к получению формального отчета-«галочки», который не выявит реальных уязвимостей.

Факторная матрица (пример расчета).

Пример: средняя компания (300 сотрудников, 150 активов, 2 филиала, использует IaaS, требуется пентест с ручной верификацией (фактор 2 — коэффициент 2,5), соответствие 152-ФЗ (фактор 3 — +0,4), филиалы (фактор 4 — 1,2), облака (фактор 5 — +0,4), социотест (фактор 6 — +0,3). База 200 000 руб.

Расчет: 200 000 × 2,5 × (1 + 0,4) × 1,2 × (1 + 0,4) × (1 + 0,3) ≈ 200 000 × 2,5 × 1,4 × 1,2 × 1,4 × 1,3 ≈ 200 000 × (2,5×1,4=3,5; 3,5×1,2=4,2; 4,2×1,4=5,88; 5,88×1,3=7,644) ≈ 1 528 800 руб.

🔒 Раздел 3. Факторы, влияющие на сроки проведения аудита ИБ

Сроки (календарные дни от подписания договора до сдачи итогового отчета) определяются совокупностью следующих факторов:

3.1. Объем ручного труда экспертов.

Автоматизированные этапы (сканирование портов, уязвимостей) занимают 1-3 дня, но ручная верификация (подтверждение каждой критической уязвимости, написание эксплойтов, анализ цепочек атак) — 70% времени.

3.2. Время ожидания от заказчика (зависимый фактор).

Наиболее частая причина задержек — непредоставление доступа к системам (логины, пароли, VPN), задержки с подписанием актов, отсутствие ответственных сотрудников на интервью. В среднем каждый день ожидания со стороны заказчика добавляет 1-2 дня к общему сроку.

3.3. Необходимость юридического согласования.

Если аудит включает тестирование на проникновение на продуктивных системах, требуется юридическое оформление (приказ о проведении, согласие на возможные сбои). Это может занять от 3 до 10 дней.

3.4. Сложность инфраструктуры (количество VLAN, маршрутизаторов, NAT, файрволов).

Каждый дополнительный уровень усложнения (например, изолированные DMZ, сложные правила межсетевого экрана) увеличивает время анализа на 10-20%.

3.5. Тип тестирования:

🔒 Раздел 4. Примеры расчета стоимости и сроков для разных профилей среднего бизнеса (кейсы)

Кейс № 1 (реальный): розничная сеть (магазины электроники), 500 сотрудников, 120 IT-активов.

Профиль: 1 центральный офис, 20 магазинов (тонкие клиенты, подключение по VPN), обработка персональных данных (клиенты — физ.лица), используются облачная 1С (SaaS), корпоративная почта Яндекс360. Цель аудита: подготовка к проверке Роскомнадзора (152-ФЗ) и предотвращение утечек карточных данных (PCI DSS не требуется, т.к. оплата через агрегатора).

Расчет стоимости (факторная модель):

База (анализ уязвимостей + пентест внешнего периметра + внутренний сегмент): 350 000 руб.

Коэффициент на объем активов (120 узлов, между 50-150) — 1,7.

Соответствие 152-ФЗ — +0,4.

Распределенная инфраструктура (20 магазинов, но через единый VPN) — коэффициент 1,3 (не считаем каждый магазин отдельно, так как они типовые).

Социотест (фишинг для 500 сотрудников) — +0,3.

Филиалы в одном регионе (без перелетов) — 1,0.

Документация предоставлена не полностью (нет актуальных схем) — 1,2.

Итого: 350 000 × 1,7 × (1+0,4) × 1,3 × (1+0,3) × 1,2 = 350 000 × 1,7 × 1,4 × 1,3 × 1,3 × 1,2 = 350 000 × (1,7×1,4=2,38; 2,38×1,3=3,094; 3,094×1,3=4,0222; 4,0222×1,2=4,8266) ≈ 1 689 310 руб. Округленно 1 700 000 руб.

Сроки: 30 календарных дней (из них 5 дней согласование доступа, 20 дней активная работа, 5 дней подготовка отчета). Дополнительно: отсрочка на устранение уязвимостей заказчиком (не входит в сроки аудита).

Результат: Выявлены 82 уязвимости, из них 12 критических (включая открытый RDP на кассовый сервер). Заказчик устранил критические за 2 недели, прошел проверку РКН без штрафа.

Кейс № 2 (реальный): производственное предприятие (объект КИИ, 300 сотрудников, 200 активов).

Профиль: Предприятие входит в реестр критической информационной инфраструктуры (КИИ) 2-й категории. Требуется обязательный аудит соответствия Приказу ФСТЭК № 239, включая пентест и анализ защищенности. Инфраструктура: 2 ЦОД, 5 серверных, 300 рабочих станций, изолированная АСУ ТП (автоматизированная система управления технологическим процессом) без выхода в Интернет. Бюджет на аудит ограничен, но требования закона жесткие.

Расчет стоимости (с учетом статуса КИИ и требований ФСТЭК):

База: расширенный аудит (VA + внутренний пентест + анализ сегментации АСУ ТП) — 500 000 руб.

Коэффициент на активы (200 узлов, ближе к 150-500) — 2,2.

КИИ / ФСТЭК (лицензированные эксперты, специальные методики): +1,0.

Изолированная АСУ ТП (физический доступ к оборудованию сложнее, требуется отдельный выезд) — +0,6.

Наличие двух ЦОД (географическая удаленность) — +0,3.

Отсутствие документации (частично) — 1,1.

Итого: 500 000 × 2,2 × (1+1,0) × (1+0,6) × (1+0,3) × 1,1 = 500 000 × 2,2 × 2,0 × 1,6 × 1,3 × 1,1 = 500 000 × (2,2×2,0=4,4; 4,4×1,6=7,04; 7,04×1,3=9,152; 9,152×1,1=10,0672) ≈ 5 033 600 руб.

Сроки: 45 календарных дней (включая 10 дней на выездные работы на АСУ ТП и 5 дней на согласование с ФСТЭК формата отчета). Аудит проводился организацией, имеющей лицензию ФСТЭК на ТЗКИ (техническую защиту конфиденциальной информации).

Результат: Выявлено несоответствие 24 пунктам требований. По результатам устранения (3 месяца) предприятие успешно прошло проверку ФСТЭК. Стоимость аудита составила 15% от потенциального штрафа, который был бы наложен за отсутствие мероприятий (до 1 млн руб. по ст. 19.5 КоАП + приостановка деятельности).

Кейс № 3 (гипотетический, но обоснованный): средний бизнес в сфере IT-услуг (системный интегратор), желающий получить сертификат ISO 27001.

Профиль: 150 сотрудников, 50 серверов (включая клиентские данные), офис в Москве + удаленные сотрудники (50 чел.). Заказчик хочет получить не только технический аудит, а полный «gap analysis» для сертификации по ISO 27001. Объем работ включает: анализ документации, политик, процедур, рисков, а также техническую проверку (VA + пентест).

Расчет стоимости:

База (комплексный аудит + подготовка к ISO 27001) — 400 000 руб.

Коэффициент на активы (50 узлов — база) — 1,0.

Подготовка к ISO 27001 (анализ документации, матрица рисков, план корректирующих действий) — +0,8.

Удаленные сотрудники (BYOD, VPN, сложность контроля) — +0,3.

Социотест (фишинг для удаленных) — +0,3.

Документация предоставлена частично (часть политик устарела) — 1,1.

Итого: 400 000 × 1,0 × (1+0,8) × (1+0,3) × (1+0,3) × 1,1 = 400 000 × 1,8 × 1,3 × 1,3 × 1,1 = 400 000 × (1,8×1,3=2,34; 2,34×1,3=3,042; 3,042×1,1=3,3462) ≈ 1 338 480 руб.

Сроки: 40 календарных дней, включая подготовку документации (заполнение более 100 пунктов чек-листа ISO 27001:2022). Дополнительно: 3 месяца на устранение несоответствий со стороны заказчика.

Особенность: Отчет включает не только технические уязвимости, но и 40-страничный план внедрения СУИБ (системы управления информационной безопасностью). После сертификации клиент получил возможность участвовать в тендерах с повышенными требованиями к ИБ.

🔒 Раздел 5. Сравнительная таблица цен на различные виды аудита ИБ (среднерыночные значения по РФ, Q2 2025)

Важное примечание: Указанные цены — для организаций, предоставляющих аудит в рамках договора ГПХ или коммерческого предложения. Для государственных учреждений (ФЗ-44, ФЗ-223) цены могут быть ниже на 20-30% за счет тендерного снижения, но также может страдать качество.

🔒 Раздел 6. Как заказчику сэкономить без потери качества: 5 практических советов

На основе анализа 50+ проектов по аудиту ИБ можно сформулировать следующие рекомендации для оптимизации бюджета:

Четко определите scope (границы) аудита, исключив неактуальное. Не нужно проверять серверы, которые не содержат конфиденциальных данных и не выходят в Интернет (например, тестовые стенды без ценной информации). Удалите их из периметра — снижение стоимости на 15-25%.

Предоставьте максимально полную и актуальную документацию до старта. Аудитор, имея схемы сети, списки IP, версии ПО, тратит на 20-30% меньше времени на рекогносцировку (сбор информации), что снижает стоимость (коэффициент 0,8-0,9 по фактору 8).

Выберите подходящий тип аудита, а не самый дорогой. Если у вас нет КИИ и вы не обрабатываете персональные данные, не нужен аудит по ФСТЭК. Если у вас нет веб-приложения, зачем вам пентест веб-приложений? Только целевой аудит.

Планируйте аудит заранее, без срочности. Надбавка за срочность (фактор 7) может составлять 2-5 раз. Обычный средний бизнес может планировать аудит за 1-2 месяца, укладываясь в базовый прайс.

Рассмотрите вариант пакетного договора (годовой абонемент). Некоторые экспертные организации предлагают скидку 15-25% при заключении контракта на год с проведением двух аудитов (первичный + контрольный после устранения) либо включение в абонемент услуг по реагированию на инциденты.

🔒 Раздел 7. Что входит в стоимость, а что оплачивается отдельно? (Типовой договор)

Чтобы избежать недопонимания, заказчик должен знать, какие работы включены в объявленную цену, а какие могут быть выставлены дополнительно:

Обязательно читайте договор и сверяйте КП (коммерческое предложение). У добросовестных исполнителей все дополнительные услуги перечислены явно.

🔒 Раздел 8. Региональные особенности ценообразования (Москва vs регионы)

Цены на аудит ИБ существенно различаются в зависимости от местонахождения экспертной организации и заказчика. Приведем коэффициенты относительно Москвы (100%):

Многие региональные заказчики экономят, привлекая местных исполнителей (дешевле), но сталкиваются с проблемой квалификации и признания отчета регуляторами. Альтернатива: дистанционный аудит (эксперт из Москвы работает удаленно, выезжает только при необходимости). Такой подход дает экономию 20-30% по сравнению с полным выездом.

🔒 Раздел 9. Типичные ошибки заказчика при формировании бюджета на аудит ИБ

Заниженный бюджет на устранение последствий. Аудит стоит 500 000 руб., но для устранения найденных критических уязвимостей может потребоваться 2 000 000 руб. (замена оборудования, покупка лицензий). Игнорирование этого приводит к тому, что аудит оказывается бесполезным (уязвимости остаются). Рекомендуемое соотношение: бюджет на устранение должен быть не менее 2-3х от стоимости аудита.

Экономия на повторном тестировании. Заказчик проводит аудит, устраняет уязвимости самостоятельно, но не заказывает повторную проверку (верификацию). В результате часть уязвимостей остается или появляются новые из-за неправильных правок. Стоимость повторного тестирования (30-50% от основного) окупается предотвращением инцидента.

Выбор самого дешевого предложения. Рынок наполнен компаниями, которые за 20-30 тыс. руб. выдают отчет, сгенерированный бесплатным сканером OpenVAS, без ручной верификации. Такой отчет не имеет юридической силы и часто содержит 90% ложных срабатываний. Проверяйте репутацию, отзывы, наличие у экспертов сертификатов (OSCP, GPEN, CEPT, и российских — «Эксперт по компьютерной криминалистике»).

🔒 Раздел 10. Прогноз цен на 2025-2026 годы и рекомендации по планированию

На основании анализа рынка и инфляции (рост стоимости человеко-часа эксперта на 12-15% в год), можно ожидать увеличения цен на аудит ИБ на 10-20% в течение 2025 года и еще на 10-15% в 2026 году. Основные факторы: дефицит квалифицированных кадров, удорожание лицензий на профессиональные инструменты (до 300-500 тыс. руб. в год на эксперта), повышение требований регуляторов (необходимость дополнительных аттестаций).

⏺️ Рекомендации для среднего бизнеса:

Заключайте долгосрочные контракты (на 2-3 года) с фиксацией цены — это позволит избежать ежегодного пересмотра вверх.

Планируйте аудит на 2-й или 3-й квартал (меньше загрузка экспертов, возможны скидки 5-10%).

Включайте аудит ИБ в отдельную статью бюджета с коэффициентом индексации 1,15.

Рассмотрите опцию «Аудит как услуга» (AaaS — Audit as a Service), когда вы платите ежемесячную абонентскую плату и получаете постоянный мониторинг и регулярные проверки (общая стоимость за год может быть ниже, чем разовые аудиты 2 раза в год).

⏺️ Заключение

• Стоимость аудита информационной безопасности для среднего бизнеса варьируется в широком диапазоне — от 100 000 до 5 000 000 рублей и более в зависимости от 10 ключевых факторов (объем активов, вид аудита, отраслевые требования, срочность, география и т.д.). Сроки проведения — от 3 до 60 календарных дней. Для типичного среднего бизнеса (200-500 сотрудников, стандартная IT-инфраструктура, без КИИ, с минимальными требованиями регуляторов) реалистичный бюджет на комплексный аудит (VA + пентест + социотест) составляет 800 000 − 1 500 000 рублей, срок 20-30 дней.
• Главный вывод: не следует ориентироваться на минимальные цены (ниже 150 000 руб. за комплексный аудит), так как они, как правило, не включают ручную верификацию уязвимостей и не предоставляют юридически значимого заключения. Экономия в 200-300 тыс. руб. на аудите может обернуться миллионными убытками при реальной кибератаке, которая будет использовать невыявленную уязвимость. Аудит — это инвестиция в предотвращение, а не статья затрат, которую можно минимизировать любой ценой.

⏺️ Для получения точного коммерческого предложения, рассчитанного по вашей инфраструктуре с применением описанной факторной модели, а также для детальной консультации по срокам и этапам работ, обращайтесь через официальный сайт: https://bugex.ru/