---
title: "Безопасность для тех, кто её покупает"
url: "https://kzsaleshub.com/marshrut-bezopasnost-dlya-pokupatelya/"
type: "knowledge_article"
category: "Библиотека"
language: "ru"
source: "KZSalesHub"
published: "2026-08-15"
last_updated: "2026-09-30"
---

# Безопасность для тех, кто её покупает

**Коротко.** Безопасность покупают люди, которые не умеют её проверять, у людей, которые заинтересованы продать больше. Этот разрыв закрывается не сертификатом, а способностью задать пять правильных вопросов. Маршрут собирает эти вопросы из литературы по атаке и защите — читать её полезнее, чем маркетинговые материалы вендоров.

## Зачем это бизнесу

Расходы на безопасность почти невозможно обосновать через выручку — они обосновываются через вероятный ущерб. Поэтому разговор всегда упирается в два числа: сколько стоит час простоя и во что обходится утечка. Пока этих чисел нет, любое предложение выглядит либо избыточным, либо недостаточным, и решение принимается по громкости последнего инцидента в новостях.

## Маршрут

| Ступень | Что читаем | Что забираем | Срок |
| --- | --- | --- | --- |
| 1. Картина целиком | «Актуальная кибербезопасность», «Информационная безопасность: защита и нападение» | Словарь и понимание, из чего состоит защита | 3 недели |
| 2. Взгляд атакующего | «Этичный хакинг: практическое руководство», «Основы веб-хакинга» | Как выглядит реальная атака и почему периметра недостаточно | 4 недели |
| 3. Сеть | «Сети глазами хакера», «Архитектура защищённых сетей» | Сегментация, доступы, что видно в трафике | 3 недели |
| 4. Приложения | «Безопасность веб-приложений», «Хакинг API» | Где на самом деле происходят утечки в современных системах | 4 недели |
| 5. Данные и доступ | «Защита данных: от авторизации до аудита» | Кто что видит, журналы, подготовка к проверке | 2 недели |
| 6. Процесс | «Стратегия обеспечения безопасности приложений», «Форензика: теория и практика» | Что делать после инцидента и как не потерять доказательства | 3 недели |

## Семь выводов — своими словами

1. **Большинство успешных проникновений начинается с человека и с забытой учётной записи.** Не с уязвимости нулевого дня, ради которой продают дорогое средство.
2. **Периметр перестал быть границей.** Удалённая работа, подрядчики и облачные сервисы делают «внутри — снаружи» условным разделением; отсюда переход к проверке каждого обращения.
3. **Инвентаризация важнее любого средства защиты.** Невозможно защитить то, о существовании чего никто не знает, а незнание — норма в компаниях старше пяти лет.
4. **Средство без процесса — это расход.** Купленная система, чьи оповещения никто не разбирает, снижает не риск, а бюджет.
5. **Резервная копия считается существующей только после проверки восстановления.** Именно на этом ломается большинство сценариев с шифровальщиками.
6. **Права накапливаются и не отзываются.** Регулярный пересмотр доступов даёт больше, чем большинство закупок.
7. **После инцидента первым действием обычно уничтожают доказательства.** Перезагрузка и переустановка кажутся спасением и лишают возможности понять, что произошло.

## Пять вопросов, которые стоит задать поставщику

1. Какой конкретный сценарий атаки закрывает это решение и какие остаются открытыми?
2. Кто будет разбирать оповещения и сколько их будет в сутки на нашем объёме?
3. Что нужно от нас, чтобы решение заработало, — в людях и в изменениях процессов?
4. Как выглядит отчёт, который мы покажем аудитору или клиенту?
5. Что произойдёт, если мы откажемся от продления через год?

Ответ «оно защищает от всего» — достаточное основание для отказа от разговора.

## Красные флаги

- Предложение начинается с продукта, а не с модели угроз и перечня активов.
- Нет расчёта нагрузки на людей: сколько оповещений в день и кто их читает.
- Обещание соответствия требованиям без разбора, какие процессы придётся изменить.
- Пилот без критериев успеха, согласованных до старта.
- В смете нет обучения сотрудников — при том что человек остаётся основным входом.

## Частые вопросы

**С чего начать компании, где безопасностью никто не занимался**

С трёх вещей: перечень систем и данных, пересмотр учётных записей и проверка восстановления из резервных копий. Ни одна из них не требует закупки.

**Нужен ли свой специалист или достаточно подрядчика**

Свой нужен хотя бы один — чтобы формулировать требования и принимать работу. Мониторинг и реагирование чаще выгоднее отдавать на сторону.

**Как обосновать бюджет руководству**

Через два числа: стоимость часа простоя и стоимость утечки для этого бизнеса. Дальше разговор идёт о том, какую часть риска мы принимаем, а какую переносим.

## Связанное

- [Zero Trust](https://kzsaleshub.com/framework/zero-trust/)
- [Модель угроз](https://kzsaleshub.com/framework/threat-model/)
- [Минимальные привилегии](https://kzsaleshub.com/framework/least-privilege-fw/)
- [Эшелонированная защита](https://kzsaleshub.com/framework/defense-in-depth/)
- [Программа безопасности](https://kzsaleshub.com/framework/security-program/)
- [Разбор инцидентов](https://kzsaleshub.com/framework/incident-postmortem/)

*Книги названы как источники. KZSalesHub не распространяет файлы изданий.*

Покупатель не может проверить безопасность сам, поэтому решает доверием. Набор вопросов, на которые поставщик обязан ответить внятно, заменяет отсутствующую экспертизу.

---
Источник: https://kzsaleshub.com/marshrut-bezopasnost-dlya-pokupatelya/