Cum prioritizezi investițiile în securitate când bugetul este limitat

Bugetul de securitate cibernetică este aproape întotdeauna limitat. Riscurile, în schimb, nu sunt.

Poți investi în backup, MFA, EDR, monitorizare, firewall, training, scanări de vulnerabilitate, audituri, proceduri sau servicii externe de securitate.

Fiecare poate fi justificată.

Problema este să decizi ce trebuie făcut primul.

Răspunsul nu ar trebui să pornească de la întrebarea:

„Ce tehnologie ne lipsește?”

ci de la:

„Care dintre riscurile companiei poate produce cel mai mare impact asupra afacerii și ce investiție îl poate reduce cel mai eficient?”

Aici este diferența dintre a cumpăra securitate și a gestiona riscul.

Nu începe cu lista de produse

O abordare frecventă este construirea bugetului pornind de la tehnologii:

• • avem nevoie de un antivirus mai bun;
  • trebuie să schimbăm firewall-ul;
  • ar trebui să cumpărăm o soluție de monitorizare;
  • ar trebui să facem un penetration test;
  • ar trebui să implementăm un SIEM;

Toate pot fi investiții corecte.

Dar fără o analiză a riscurilor nu știm dacă sunt și cele mai importante investiții pentru compania respectivă.

Două companii cu aceeași dimensiune pot avea priorități complet diferite.

Pentru o companie de producție, indisponibilitatea sistemelor care susțin activitatea fabricii poate fi riscul critic.

Pentru un distribuitor, un ransomware care blochează ERP-ul, facturarea și depozitul poate opri practic activitatea.

Pentru o firmă de servicii, compromiterea conturilor Microsoft 365 și accesul neautorizat la datele clienților poate conta mai mult.

Nu începe prin a prioritiza controalele de securitate. Începe prin a prioritiza riscurile.

Un cadru simplu de prioritizare

Când bugetul este limitat, fiecare investiție poate fi analizată prin cinci întrebări:

1. Ce activ sau proces critic protejăm?

2. Ce scenariu de risc vrem să reducem?

3. Care este impactul și cât de probabil este să se întâmple?

4. Ce măsură reduce riscul și cu cât?

5. Care este costul implementării și operării?

Activ critic → Scenariu de risc → Impact și probabilitate → Măsură → Cost / reducere de risc

Nu este o formulă matematică perfectă.

Este însă suficientă pentru a muta discuția de la:

„Ce produs cumpărăm?”

la:

„Unde produce următorul euro investit cea mai mare reducere de risc?”

Aceasta este întrebarea care transformă securitatea dintr-o listă de costuri într-o decizie de alocare a capitalului.

1. Identifică ce trebuie protejat cu adevărat

Nu toate sistemele, datele și aplicațiile au aceeași valoare pentru companie.

Managementul ar trebui să poată răspunde la câteva întrebări simple:

Ce sisteme ar opri activitatea dacă nu ar mai funcționa mâine?

Ce date nu își permite compania să piardă?

Ce conturi sau aplicații ar produce cel mai mare impact dacă ar fi compromise?

De ce furnizori sau platforme depind procesele critice?

Poate fi ERP-ul.

Serverul de producție.

Microsoft 365.

Sistemul de gestiune a depozitului.

Datele clienților.

Aplicația prin care sunt procesate comenzile.

Acestea sunt activele și procesele care trebuie să primească prioritate.

Dacă nu știi ce este critic pentru business, este foarte greu să decizi unde trebuie investiți primii 5.000, 10.000 sau 20.000 de euro din bugetul de securitate.

2. Transformă problemele tehnice în scenarii de business

O vulnerabilitate tehnică nu spune singură cât de importantă este problema.

Managementul are nevoie de scenarii.

Ransomware → serverele și fișierele companiei sunt criptate → activitatea este întreruptă trei zile → comenzile nu pot fi procesate → apar pierderi financiare și întârzieri față de clienți.

Sau:

Contul financiar al unui angajat este compromis → atacatorul urmărește corespondența → solicită modificarea contului bancar al unui furnizor → compania efectuează plata într-un cont controlat de atacator.

Nu sunt scenarii pur teoretice.

Potrivit raportului anual DNSC pentru 2025, incidentele majore de ransomware au crescut semnificativ față de anul precedent, iar incidentele de compromitere a conturilor și cazurile de phishing au înregistrat, la rândul lor, creșteri puternice.

Dintr-o dată, discuția nu mai este despre „backup”, „MFA” sau „vulnerabilități”.

Este despre:

Ce se poate întâmpla?

Cât de grav ar fi pentru companie?

Cât de probabil este?

Ce putem face pentru a reduce riscul?

3. Evaluează impactul înainte să aprobi investiția

Nu este necesar să construiești de la început modele financiare sofisticate.

Pentru multe companii este suficientă o evaluare pragmatică:

Impact operațional
Cât timp poate fi oprită activitatea?

Impact financiar
Ce venituri, plăți sau costuri suplimentare pot fi afectate?

Impact asupra clienților
Poate compania continua să livreze?

Impact de conformitate
Pot exista obligații de notificare, sancțiuni sau probleme contractuale?

Impact reputațional
Ce se întâmplă dacă incidentul devine public?

Scopul nu este să obții o cifră perfectă.

Scopul este să poți compara riscurile între ele suficient de bine pentru a lua o decizie.

4. Compară riscul cu apetitul la risc al companiei

Nu toate riscurile trebuie eliminate.

Unele trebuie reduse.

Altele pot fi transferate.

Unele pot fi evitate.

Iar altele pot fi acceptate.

Dar acceptarea unui risc trebuie să fie o decizie conștientă a managementului, nu rezultatul faptului că nimeni nu s-a ocupat de el.

Un risc devine prioritar atunci când nivelul său de expunere depășește ceea ce managementul este dispus să accepte.

O companie poate accepta, de exemplu, indisponibilitatea pentru câteva ore a unei aplicații secundare.

Poate însă considera inacceptabilă indisponibilitatea timp de două zile a ERP-ului.

Nivelul potrivit de securitate nu este același pentru toate organizațiile.

Depinde de activitate, clienți, obligații, maturitate și toleranța conducerii la risc.

5. Caută investițiile cu cea mai mare reducere de risc

Aici apare adevărata prioritizare.

Pentru fiecare măsură luată în calcul, întreabă:

Ce risc reduce?

Cu cât îl reduce?

Cât costă implementarea?

Cât costă operarea?

Cât de repede obținem rezultatul?

Apar deseori diferențe importante.

Activarea MFA pe conturile privilegiate poate reduce un risc major cu un cost relativ mic.

Testarea restaurării backup-ului poate fi mai importantă decât achiziția unei soluții noi.

Eliminarea conturilor foștilor angajați poate costa aproape nimic.

Separarea conturilor administrative de cele folosite zilnic poate reduce semnificativ expunerea.

O procedură prin care orice schimbare de cont bancar al unui furnizor trebuie verificată printr-un canal separat poate preveni o fraudă de zeci de mii de euro.

Uneori cea mai bună investiție în securitate nu este o tehnologie nouă.

Poate fi un proces.

O configurare.

O responsabilitate clară.

O verificare periodică.

Matricea care te ajută să alegi

	Cost / efort redus	Cost / efort ridicat
Reducere mare de risc	Fă acum	Planifică și bugetează
Reducere mică de risc	După prioritățile principale	Amână sau renunță

Bugetul nu ar trebui împărțit egal între tehnologii. Ar trebui direcționat către zonele în care fiecare euro produce cea mai mare reducere de expunere.

În categoria „Fă acum” apar frecvent:

• MFA pentru conturile importante;
• aplicarea corecțiilor de securitate pentru vulnerabilitățile critice;
• backup separat și testarea restaurării;
• limitarea privilegiilor administrative;
• inventarierea activelor;
• un plan minim de răspuns la incidente.

Nu sunt neapărat cele mai spectaculoase investiții.

Dar pot produce cel mai bun rezultat pentru bugetul disponibil.

Un exemplu simplu de decizie

Presupunem că managementul are la dispoziție 15.000 de euro.

Opțiunea A: achiziția unei noi platforme de monitorizare.

Opțiunea B:

• remedierea backup-ului netestat;
• MFA pentru conturile privilegiate;
• eliminarea vulnerabilităților critice;
• revizuirea accesului administratorilor;
• definirea unui plan de răspuns la incidente.

Nu există un răspuns universal.

Dacă evaluarea arată că principalele expuneri sunt ransomware-ul, compromiterea conturilor și incapacitatea de recuperare, atunci opțiunea B poate reduce mai mult risc decât o platformă mai sofisticată.

Alegerea corectă nu este soluția cea mai avansată. Este investiția care reduce cea mai mare expunere relevantă pentru compania respectivă.

Conformitatea stabilește cerințele. Riscul stabilește prioritatea.

NIS2, GDPR, ISO 27001 sau cerințele clienților pot determina implementarea anumitor măsuri.

Dar conformitatea nu înlocuiește analiza de risc.

Există o diferență între:

„Implementăm controlul pentru că apare într-o cerință.”

și:

„Înțelegem ce risc tratează și de ce este important pentru companie.”

Ideal, cele două se susțin reciproc.

Conformitatea oferă disciplină și dovezi.

Managementul riscului stabilește ordinea priorităților.

Altfel apare situația clasică în care există multe controale bifate, dar riscurile importante pentru business rămân nerezolvate.

Nu cheltui tot bugetul doar pe prevenție

O altă greșeală este concentrarea exclusivă pe:

„Cum împiedicăm atacul?”

Prevenția este esențială, dar niciun sistem nu poate garanta că un incident nu va apărea.

Ai nevoie de echilibru între:

Prevenire – reduci probabilitatea.

Detecție – descoperi rapid incidentul.

Răspuns – limitezi efectele.

Recuperare – revii controlat la funcționarea normală.

O companie poate avea firewall, antivirus și MFA și totuși să fie vulnerabilă dacă nimeni nu știe cine ia deciziile în primele ore ale unui incident sau dacă backup-ul nu poate fi restaurat.

Creează un plan etapizat, nu o listă infinită de probleme

După o evaluare serioasă de securitate este normal să apară zeci de probleme.

Greșeala este să le transformi pe toate în urgențe.

În funcție de riscurile identificate, un plan etapizat poate arăta, de exemplu, astfel:

Primele 30 de zile

• • conturi privilegiate fără MFA;
  • backup neverificat;
  • vulnerabilități critice expuse;
  • lipsa unor responsabilități clare în caz de incident;

30–90 de zile

• • revizuirea accesului;
  • gestionarea corecțiilor de securitate;
  • plan de răspuns la incidente;
  • inventarul activelor;

3–6 luni

• • monitorizare mai bună;
  • managementul riscurilor furnizorilor;
  • exerciții de răspuns la incidente;
  • indicatori pentru management;

Astfel, bugetul urmează riscul, iar managementul poate vedea progresul.

Testul înainte de aprobarea următoarei investiții

Înainte să aprobi următoarea investiție în securitate, cere răspuns la aceste cinci întrebări:

1. Ce activ sau proces critic protejăm?
2. Ce risc de business reducem?
3. Care ar fi impactul dacă riscul se materializează?
4. Cu cât reduce investiția respectivă riscul?
5. Există o măsură mai simplă sau mai ieftină care produce un rezultat comparabil?

Dacă argumentul pentru investiție este doar:

„este best practice”,

„toată lumea folosește”,

„ne recomandă furnizorul”

sau

„apare în checklist”,

justificarea este incompletă.

Un răspuns mai bun este:

„Reducem probabilitatea compromiterii conturilor administrative care permit acces la întreaga infrastructură.”

sau:

„Reducem impactul unui ransomware de la posibilitatea pierderii datelor și a mai multor zile de întrerupere la o recuperare controlată într-un interval stabilit.”

Aceasta este o discuție pe care CEO-ul, CFO-ul și IT-ul o pot avea împreună.

Bugetul limitat nu este problema principală

Nicio companie nu are buget nelimitat.

Diferența dintre o organizație matură și una care reacționează permanent la probleme nu este doar dimensiunea bugetului, ci modul în care decide unde să îl folosească.

Rolul unui CISO nu este să ceară permanent un buget mai mare, ci să ajute managementul să decidă ce risc merită redus acum, ce poate aștepta și ce risc compania acceptă în mod conștient.

Securitatea cibernetică nu înseamnă să elimini toate riscurile sau să cumperi toate soluțiile disponibile. Înseamnă să decizi unde resursele limitate reduc cel mai mult riscul pentru business. Iar aceasta este o decizie de management.

Nu știi ce ar trebui prioritizat în compania ta?

Putem începe printr-o evaluare a situației actuale și a riscurilor care merită tratate primele.