CAPEX – капитальные затраты компании на приобретение новых или совершенствование действующих активов со сроком службы более 12 месяцев. К основным средствам таких внеоборотных активов в том числе относится оборудование. OPEX – это текущие (операционные) затраты, к которым относится, например, приобретение расходных материалов для оборудования (которые будут израсходованы в течение 12 месяцев).
Подход Security as a Service позволяет компании работать с MSSP (провайдером услуг «безопасность как сервис») по сервисной модели и таким образом уйти от капитальных затрат на проекты в области обеспечения кибербезопасности, переведя ИБ в операционные затраты. Некоторые компании принимают решение сфокусироваться на операционных расходах, так как проще использовать средства из регулярных поступлений на решение собственных задач. MSSР позволяет перейти от единоразовых крупных капитальных затрат на ИБ-проект в сторону операционных регулярных небольших платежей.
«Модель Security as a Service дает возможность компании быстро понять, идет ли она в правильном направлении, и оперативно скорректировать какие-то моменты в сервисе, а также при реализации проекта», - отмечает коммерческий директор Cloud Networks Аркадий Прокудин.
Проблема капитальных затрат на информационную безопасность заключается в следующем: представим, что компания реализует масштабный ИБ-проект через капитальные затраты. Компания вложилась в серверное оборудование, программно-аппаратные комплексы, но в итоге стало понятно, что направление развития информационной безопасности было выбрано неверно, либо рыночная ситуация изменилась, и возникла необходимость заменить программное и аппаратное обеспечение на более мощное. В случае с CAPEX, в первую очередь, необходимо запустить процесс амортизации серверов и ПАКов. Иными словами, весь процесс внедрения новых ИБ-решений не только требует долгосрочных капитальных вложений, но и параллельно запускает множество действий, которые невозможно быстро выполнить.
Если быстрорастущая компания понимает, что капитальные затраты могут быть неэффективными, бюджеты ограничены, то целесообразнее рассмотреть замену капитальных затрат на операционные. В таком случае компания легко и гибко адаптируется под меняющийся рынок, IT-ландшафт, а также реализовывает ИБ-проекты согласно возникающим задачам бизнеса. Один из примеров – масштабирование систем безопасности в зависимости от количества пользователей. Сервисная модель позволяет гибко получать необходимый объем лицензий, экспертизы и персонала в зависимости от требований в режиме реального времени. MSSP настраивает и поддерживает парк средств защиты информации, внедряет новые решения, мониторит состояние, предотвращает кибератаки и реагирует на них.
Security as a Service позволяет осуществлять более гибкое управление активами компании для контроля финансовых и денежных потоков (аренда регламентируется ФСБУ 25/2018). Если компания заключает контракт с MSSP на 12 месяцев с автоматическим пролонгированием на новый срок, то такие расходы будут относиться к CAPEX (согласно ФСБУ 26/2020 и ФСБУ 6/2020). Если же контракт заключен на 11 месяцев (или на меньший срок), при этом он может быть пролонгирован путем заключения дополнительного соглашения, то такие затраты относятся к OPEX. При наличии определенных условий договора компания также может отнести аренду оборудования, например, к CAPEX, а обязательства по обслуживанию – к OPEX: в этом случае необходимо подписать смешанный договор.