Dyrektorzy odpowiedzialni za cyberbezpieczeństwo w firmach muszą ocenić realne ryzyko dla swoich organizacji i zadbać o adekwatny budżet – upomina Gartner. Według analityków wiele firm mylnie uważa, że mogą spać spokojnie, bo w ogóle wydają środki na ochronę na poziomie średniej na rynku.

Według danych Gartnera organizacje przeznaczają na bezpieczeństwo średnio 5,6 proc. budżetu IT, ale odsetek ten waha się w zależności od firmy od 1 do 13 proc. Czyli dopasowanie do wydatków do konkretnego przedsiębiorstwa i warunków w jakich działa, jest kluczowe.

„Klienci chcą wiedzieć, czy to, co przeznaczają na bezpieczeństwo jest porównywalne z tym, co wydają inne firmy z tej samej branży, podobnej wielkości, działające w tym samym regionie” – twierdzi Rob McMillan, dyrektor ds. badań w Gartnerze. 

Analityk zauważa jednak, że takie porównania niewiele mówią o poziomie bezpieczeństwa konkretnej firmy, bo nawet duże środki mogą pójść na niepotrzebne rzeczy. 

Według Gartnera wiele organizacji będzie nadużywać danych o średnich wydatkach na ochronę IT, jako jedynego punktu odniesienia dla skutecznej lub nieskutecznej ochrony.

Tymczasem takie statystyki wydatków nic nie mówią o efektywności zabezpieczeń. Co gorsza, mogą być mylące. Jest to związane z tym, że funkcje bezpieczeństwa mogą być implementowane w sprzęcie, oprogramowaniu, które nie są przeznaczone tylko do cyberochrony.

Innym problemem jest fakt, że wiele organizacji nie wie, jakie pieniądze przeznacza na bezpieczeństwo. Wynika to np. z tego, że nie mają osobnego budżetu na ten cel albo pracownicy zajmują się oprócz ochrony także innymi rzeczami.

Gartner podpowiada, jak określić realny budżet na bezpieczeństwo IT. Generalnie środki przeznaczane na bezpieczeństwo obejmują sprzęt, oprogramowanie, usługi (jak outsourcing i konsulting) i personel. Najpierw trzeba sprawdzić wiele rzeczy, jak wyposażenie sieciowe z wbudowanymi funkcjami bezpieczeństwa, ochronę urządzeń końcowych, aplikacje, usługi bezpieczeństwa, szkolenia. Niezbędne jest także określenie prawdziwych wydatków na bezpieczeństwo IT, niekiedy księgowanych w innych rubrykach. 

Zdaniem analityków firmy powinny wydawać na bezpieczeństwo 4 do 7 proc. budżetów na IT – mniej, jeśli są to dojrzałe organizacje, a więcej gdy firma jest narażona na ataki.