Çfarë kushton Cyber Security për një NVM zvicerane
Check-u më sipër jep një interval. Ky tekst shpjegon nga vjen ai, çfarë do të thotë dhe ku vepron paraja së pari — që numri të mos qëndrojë në ajër, por të bëhet vendim.
Shkurt: Kompanitë zvicerane shpenzojnë mesatarisht rreth 11 përqind të buxhetit të tyre IT për siguri. Sipas degës, madhësisë, ndjeshmërisë së të dhënave dhe rregullimit, pjesa e arsyeshme është mes 5 dhe 15 përqind. Për një NVM shërbimesh me 25 punonjës kjo është përafërsisht 15’000 deri në 25’000 franga në vit — të shpërndara në dhjetë fusha kontrolli, nga të cilat managed detection dhe mbrojtja e identitetit janë më të mëdhatë.
Pse nuk ka një numër fiks
Pyetja «Çfarë kushton Cyber Security?» ka të njëjtën përgjigje si «Çfarë kushton një makinë?»: varet për çfarë. Pesë faktorë e përcaktojnë shumën:
- Dega. Një bankë ose një spital përpunon të dhëna, humbja e të cilave kërcënon ekzistencën, dhe i nënshtrohet mbikëqyrjes. Një ndërmarrje zejtare jo. Pjesa e buxhetit IT ndryshon prandaj nga 5 përqind te sektori publik deri në 15 përqind te ofruesit e shërbimeve financiare.
- Madhësia. Më shumë punonjës do të thotë më shumë llogari, më shumë pajisje, më shumë sipërfaqe sulmi — por edhe më shumë efekte shkallëzimi. Një buxhet sigurie rritet me organizatën, vetëm më ngadalë.
- Ekspozimi. Kush e bën biznesin online, operon shumë ndërfaqe ose u jep klientëve qasje në sisteme, është më i dukshëm se një ndërmarrje, IT-ja e së cilës bën kontabilitet pas një firewall-i.
- Rregullimi. ISO 27001, nDSG, qarkoret e FINMA-s ose kërkesat e klientëve NIS2 kërkojnë dëshmi — dhe dëshmitë kushtojnë kohë.
- Pjekuria. Kush fillon nga zero, ka nevojë për më shumë në dy vitet e para: bazat si MFA, backup dhe EDR janë investime të njëhershme me kosto të vazhdueshme më pas.
Check-u më sipër pyet pikërisht këto pesë gjëra. Kjo nuk është metodë shkencore, por një e sinqertë: intervali është me qëllim i gjerë, sepse një numër i vetëm do të shtirej për saktësi që nuk ekziston.
Vlera orientuese: pjesa e buxhetit IT
Masa më e zakonshme është pjesa e shpenzimeve për siguri në buxhetin e përgjithshëm IT. Benchmark-et e dokumentuara publikisht — p.sh. anketat vjetore të shtëpive të mëdha të konsulencës dhe analistëve — prej vitesh dalin te rreth 10 deri në 12 përqind si mesatare në të gjitha degët. Check-u përdor 11 përqind si linjë krahasimi dhe intervalet e mëposhtme për çdo degë:
| Dega | Pjesa e buxhetit IT | Shpenzime tipike IT për kokë |
|---|---|---|
| Shërbime financiare | 10–15 % | CHF 25’000 |
| Shëndetësi | 8–12 % | CHF 12’000 |
| IT / software | 9–13 % | CHF 20’000 |
| Industri / prodhim | 6–9 % | CHF 8’000 |
| Tregti / e-commerce | 6–9 % | CHF 7’000 |
| Sektori publik | 5–8 % | CHF 9’000 |
| Shërbime / NVM | 6–10 % | CHF 10’000 |
Shpenzimet IT për kokë janë rende madhësie për të vlerësuar një buxhet IT që mungon. Kush e njeh buxhetin e vet, e fut direkt në check — rezultati bëhet atëherë dukshëm më i saktë. Mbi intervalet shtohen shtesa për ndjeshmëri të lartë të të dhënave, kërkesa formale pajtueshmërie dhe ekspozim të lartë, si dhe një shtesë kur pjekuria është ende te bazat.
Tri shembuj llogaritjeje
- Zyrë fiduciare, 25 punonjës, Microsoft 365, pa kërkesa formale: buxhet IT përafërsisht 250’000 franga, pjesa 6 deri në 10 përqind → 15’000 deri në 25’000 franga në vit.
- Prodhues makinerish, 100 punonjës, serverë të vetë, klientët kërkojnë ISO 27001: buxhet IT përafërsisht 800’000 franga, pjesa 6 deri në 9 përqind plus shtesë pajtueshmërie → rreth 55’000 deri në 85’000 franga.
- Firmë software-i, 50 punonjës, biznesi online kritik, të dhëna shëndetësore: buxhet IT përafërsisht 1 milion, pjesa 9 deri në 13 përqind plus shtesa për të dhëna dhe ekspozim → 100’000 deri në 150’000 franga.
Bie në sy: shuma për punonjës është në të tria rastet mes 600 dhe 3’000 franga në vit. Kush është dukshëm nën këtë, duhet ta dijë pse.
Ku vepron paraja së pari
Një buxhet është vetëm aq i mirë sa shpërndarja e tij. Check-u e ndan shumën në dhjetë fusha kontrolli, të peshuara sipas madhësisë — te firmat e vogla dominon monitorimi i blerë, te të mëdhatë personeli i vet. Për një NVM me 10 deri në 50 punonjës shpërndarja duket përafërsisht kështu:
- Managed detection (MDR/SOC), rreth një e pesta. Dikush duhet të shohë alarmet natën. Një NVM nuk ka ekip të vetin për këtë; një shërbim i jashtëm kushton një pjesë të vogël të tij.
- Personel sigurie dhe know-how, rreth 15 përqind. Zakonisht një pjesë e kohës së një personi që mban pasqyrën, plus trajnime.
- Identity & access, rreth 12 përqind. MFA, Conditional Access, menaxhim të drejtash. Te Microsoft 365 pjesa më e madhe e kësaj përfshihet në Business Premium — si përdoret, e tregon Forcimi i Microsoft 365: 12 cilësime.
- Endpoint & EDR, rreth 12 përqind. Mbrojtja në çdo pajisje, që vepron edhe kur email-i ka kaluar.
- Rrjeti, rreth 8 përqind. Firewall, segmentim, VPN.
- Backup & resilience, rreth 8 përqind. Kopje të testuara, të mbajtura offline — masa që i heq shantazhit efektin e levës.
- Awareness & trajnim phishing-u, rreth 8 përqind. Masa më e lirë me efektin më të gjerë; simulimi i phishing-ut tregon për çfarë bëhet fjalë.
- SIEM & logging, rreth 5 përqind. Ndiz log-et, ruaji, bëji të kërkueshme.
- GRC, auditime & pentest-e, rreth 5 përqind. Dëshmi, regjistër rreziqesh, një test në vit.
- IR retainer & rezervë, rreth 5 përqind. Një kontratë me një ekip incident response para se të duhet, dhe një rezervë për rastin e emergjencës.
Radha nuk është një renditje sipas rëndësisë, por sipas kostove. Masa më e rëndësishme është shpesh më e lira: MFA për të gjithë nuk kushton asgjë te shumica e licencave dhe ndal pjesën më të madhe të marrjeve të llogarive. Çfarë gjen zakonisht një vlerësim në Microsoft 365, gjendet në M365 Assessment: ku janë tenant-ët vërtet të cenueshëm.
Rregullimi e shtyn buxhetin
Shtesa e pajtueshmërisë në check nuk është qëllim në vetvete. Tri zhvillime e rrisin njëkohësisht punën për dëshmi te kompanitë zvicerane:
- NIS2 përmes zinxhirit të furnizimit. Klientët e BE-së i përcjellin detyrimet e tyre me kontratë — pyetësorë, të drejta auditimi, anekse sigurie. Çfarë do të thotë kjo konkretisht, gjendet në NIS2 dhe Zvicra.
- ISG dhe detyrimi i raportimit. Që nga prilli 2025 operatorët e infrastrukturave kritike duhet t’i raportojnë sulmet kibernetike brenda 24 orësh te BACS. Të raportojë mund vetëm kush zbulon — kjo është argument për detection, jo vetëm për letër.
- nDSG. Ligji i rishikuar për Mbrojtjen e të Dhënave kërkon masa të përshtatshme dhe i bën të raportueshme shkeljet e sigurisë së të dhënave.
Kush do t’i përgjigjet gjithë kësaj me një certifikatë, gjen në ISO 27001 për NVM-të zvicerane angazhimin, kostot dhe një plan udhëtimi. Kostot për këtë janë në pjesën GRC të buxhetit — dhe në vitin e parë zakonisht mbi të.
Dëshmitë dhe pjekuria
Score-i i pjekurisë në check është me qëllim i përafërt: bazë, solid, i avancuar, i korrigjuar për kërkesa pajtueshmërie dhe rrezik. Ai duhet t’i përgjigjet një pyetjeje: e dimë ku qëndrojmë? Një kompani që i njeh rreziqet e veta, i dokumenton masat dhe ka prova për to, nuk është automatikisht më e sigurt — por mund të vendosë prioritete dhe t’u përgjigjet pyetjeve. Për këtë nuk duhet një vegël e shtrenjtë: CISO Assistant është open source dhe mbulon vlerësime, regjistër rreziqesh dhe dëshmi; kush do të shohë alternativa, i gjen në krahasimin e veglave GRC open-source.
Çfarë kushton një sulm
Ana tjetër e llogarisë është dëmi. Ai rrallë përbëhet nga shpërblesa — zakonisht nga ndalimi. Një llogaritje e thjeshtë e përafërt për kompaninë tënde: qarkullimi ditor herë numri i ditëve në të cilat nuk mund të punohet pa IT, plus kostot e rikthimit, plus ajo që vlen besimi i klientëve. Te një ndërmarrje me 5 milionë qarkullim dhe dhjetë ditë ndalimi kjo bëhet shpejt 200’000 franga, para se të paguhet një frangë e vetme shpërblese. Zyra Federale për Sigurinë Kibernetike (BACS) dokumenton në raportet e saj gjashtëmujore se ransomware dhe mashtrimi përmes marrjes së llogarive janë incidentet më të shpeshta të raportuara te kompanitë — jo rastet spektakolare nga titujt e lajmeve.
Si zhvillohet hap pas hapi një kompromentim i tillë dhe në cilat pesë pika mund të ndalet, e tregon Anatomia e një sulmi. Secila nga këto pika i përgjigjet një fushe kontrolli nga lista më sipër.
Buxheti sipas pjekurisë: tri vitet e para
Një buxhet sigurie nuk është konstante. Kush fillon nga bazat, shpenzon në dy vitet e para më shumë se më vonë — dhe duhet ta planifikojë këtë, në vend që të trembet çdo vit nga e para.
- Viti 1 — bazat. MFA për të gjithë, larg protokollet legacy, backup-e të testuara, EDR në të gjitha pajisjet, një password manager, trajnimet e para. Shtesa në check («bazë») pasqyron pikërisht këtë vit: projektet e njëhershme shtohen mbi kostot e vazhdueshme.
- Viti 2 — dukshmëria. Mblidh log-et në një vend, bli një shërbim MDR, përcakto alarme, një penetration test i parë. Tash lind pjesa e buxhetit që përsëritet.
- Viti 3 — dëshmi dhe rutinë. Regjistër rreziqesh, plan masash, auditime të brendshme, ndoshta ISO 27001. Buxheti stabilizohet te vlera e degës; score-i i pjekurisë duhet të jetë tash te «i konsoliduar» ose më lart.
Kush e njeh këtë rrjedhë, mund t’i tregojë drejtorisë një kurbë në vend të një numri — dhe ky është zakonisht argumenti më bindës.
Gabime tipike në buxhetim
- Numëro vetëm produktet. Licencat janë pjesa e dukshme. Koha për t’i konfiguruar drejt dhe për t’i monitoruar është më e madhja — dhe mungon në shumicën e buxheteve.
- Njëherësh në vend të vazhdimisht. Të blesh një firewall dhe të mos e prekësh tre vjet nuk është siguri, por një fotografi e momentit.
- Harro awareness-in. Zëri më i lirë hiqet më shpesh — ndërkohë pothuajse çdo sulm fillon me një mesazh drejtuar një njeriu.
- Pa rezervë. Një incident nuk vjen kurrë në datën e buxhetit. Pesë përqind rezervë parandalojnë që në rast emergjence vendimet e gabuara të merren për arsye kostoje.
- Blerje jashtë pjekurisë. Një SIEM pa dikë që e lexon është një ruajtës i shtrenjtë. Së pari bazat, pastaj dukshmëria, pastaj automatizimi.
Si llogarit check-u
Transparenca është pjesë e punës: check-u merr si bazë intervalin për çdo degë, vlerëson buxhetin IT nga dega dhe numri i punonjësve kur mungon, shton shtesa në pikë përqindjeje për ndjeshmërinë e të dhënave, kërkesat e pajtueshmërisë dhe ekspozimin, zbret gjysmë pike kur programi është tashmë i avancuar, dhe shton një pikë kur është ende te bazat. Score-i i pjekurisë fillon sipas vetëvlerësimit te 35, 60 ose 82 pikë dhe korrigjohet me bonus pajtueshmërie dhe malus rreziku. Shpërndarja në dhjetë fushat ndjek një tabelë për çdo klasë madhësie. Të gjitha vlerat janë vlera orientuese nga benchmark-e të dokumentuara publikisht — jo konsulencë, por një fillim për një bisedë me drejtorinë.
Pyetje të shpeshta
Mjaftojnë 3 përqind e buxhetit IT?
Për një ndërmarrje pa të dhëna të ndjeshme, pa biznes online dhe pa kërkesa ndoshta. Për të gjithë të tjerët kjo është dukshëm nën çdo benchmark — dhe zakonisht mungojnë atëherë pikërisht gjërat që ndalin një sulm: monitorimi, backup-e të testuara, trajnimi.
Është Microsoft 365 Business Premium tashmë «security»?
Një pjesë e madhe e saj, po: MFA, Conditional Access, Defender për pajisjet fundore dhe email janë të përfshira. Por e përfshirë nuk do të thotë e ndezur. Licenca është baza, konfigurimi dhe monitorimi janë buxheti.
Duhet një NVM të ngrejë SOC-un e vet?
Nën disa qindra punonjës praktikisht kurrë. Një shërbim i jashtëm MDR jep monitorim gjatë gjithë kohës për një pjesë të vogël të kostove të një pozicioni të vetëm me kohë të plotë — prandaj në check për firmat e vogla është zëri më i madh.
Sa shpesh duhet të rishikohet buxheti?
Çdo vit me buxhetin IT, dhe përveç kësaj pas çdo ngjarjeje që ndryshon faktorët: klientë të rinj me kërkesa, vende të reja, një incident, një kalim në cloud.