Ile powinna wydawać na bezpieczeństwo firma naszej wielkości?

Zacznij od decyzji, nie od budżetu

Naturalny odruch to pytanie „ile powinien wynosić budżet na bezpieczeństwo" i szukanie procentu do wstawienia. To zła kolejność. Wydatki na bezpieczeństwo to koszt zmniejszania ryzyka, więc pierwsza decyzja dotyczy tego, ile ryzyka Twój biznes jest w stanie unieść.

Firma, która przechowuje dane pacjentów, przetwarza płatności albo sprzedaje oprogramowanie regulowanym klientom, niesie więcej ryzyka niż firma zajmująca się lekką produkcją dla kilku stałych, długoletnich klientów. Ten sam przychód, zupełnie inna ekspozycja, a więc i zupełnie inny rozsądny budżet. Gdy ujmiesz to jako „ile z tego ryzyka chcemy zatrzymać, a ile chcemy wykupić", pytanie o budżet staje się dużo łatwiejsze, bo ma teraz przypisany cel.

To zmienia też sposób oceny wydatków. Budżet nie jest dobry dlatego, że jest duży. Jest dobry, bo usuwa ryzyka, które naprawdę mogłyby Ci zaszkodzić, w kolejności priorytetów.

Co naprawdę mówią benchmarki

Benchmarki są przydatne jako sprawdzenie rzeczywistości, nie jako cel do trafienia. Oto, co pokazują wiarygodne źródła, z ważnym zastrzeżeniem, że wyniki są bardzo rozbieżne i każdą pojedynczą liczbę warto traktować ostrożnie.

Najczęściej cytowany sposób wyrażania wydatków na bezpieczeństwo to udział w budżecie IT. Dane Gartner IT Key Metrics pokazały, że organizacje wydają średnio około 5,6 procent całego budżetu IT na bezpieczeństwo i ryzyko, z zakresem od około 1 do 13 procent, w zależności od organizacji (Gartner, dane z 2020). To rozproszenie jest tu istotą sprawy. Firma na poziomie 1 procenta i firma na poziomie 13 procent mogą obie wydawać właściwą dla siebie kwotę.

Nowsze badania branżowe pokazują wyższe wartości, częściowo dlatego, że próba jest przesunięta w stronę większych organizacji, bardziej świadomych bezpieczeństwa. Benchmark IANS Research i Artico Search z 2025 roku, oparty na 587 liderach bezpieczeństwa, pokazał, że budżety na bezpieczeństwo wynoszą średnio około 10,9 procent wydatków IT, nieco mniej niż 11,9 procent rok wcześniej, bo budżety IT rosły szybciej niż budżety bezpieczeństwa (IANS Research i Artico Search, 2025).

Konkretnie dla firm z mid-market to samo badanie wskazuje na typowe 10 do 12 procent wydatków IT, rosnące do 15 do 18 procent w mocno regulowanych branżach, jak finanse i ochrona zdrowia (IANS Research i Artico Search, 2025). Mniejsze firmy często pokazują wyższy procent, bo istnieje baza podstawowych rzeczy, których potrzebuje każda firma niezależnie od wielkości, więc przy małym budżecie IT ta baza wygląda jak duży kawałek.

Poniższa tabela to zgrubna orientacja, nie recepta.

• Mała firma, dane o niskiej wrażliwości, niewiele wymogów compliance · Typowy punkt startowy: Dolny koniec udziału w budżecie IT · Uwagi: Baza podstawowych elementów obowiązuje nawet na dolnym końcu
• Mid-market, umiarkowana wrażliwość danych, pewna presja ze strony klientów lub compliance · Typowy punkt startowy: Około 10 do 12 procent wydatków IT · Uwagi: Szeroki środek, w którym mieści się większość firm z mid-market
• Sektor regulowany, wrażliwe dane albo surowe wymagania klientów · Typowy punkt startowy: 15 procent i więcej · Uwagi: Finanse, ochrona zdrowia i oprogramowanie sprzedawane regulowanym klientom zwykle plasują się wyżej

Użyj tego, żeby zapytać „czy jesteśmy skrajnie obok", a nie „czy trafiliśmy dokładnie w punkt". Jeśli jesteś na poziomie 2 procent i przechowujesz wrażliwe dane klientów, to warto się temu uważnie przyjrzeć. Jeśli jesteś na poziomie 11 procent i dobrze celujesz wydatkami, jesteś w normalnym zakresie.

Co naprawdę wpływa na Twoją liczbę

Cztery czynniki wpływają na tę liczbę bardziej niż cokolwiek innego. Wiedza, które z nich dotyczą Ciebie, mówi, czy powinieneś siedzieć na dolnym końcu zakresu, na górnym, czy powyżej.

Twoja wielkość. Większe organizacje mają więcej systemów, więcej ludzi i więcej dróg wejścia, więc wydają więcej w liczbach bezwzględnych. Jako udział w budżecie IT ta zależność jest mniej uporządkowana, bo małe firmy wciąż potrzebują tej samej bazy. Firma licząca pięćdziesiąt osób i firma licząca pięćset osób obie potrzebują MFA i kopii zapasowych. Mniejsza po prostu rozkłada ten stały koszt na mniejszy budżet.

Twój sektor. Finanse, ochrona zdrowia i każda firma obsługująca płatności albo dane regulowane niosą zarówno wyższe ryzyko, jak i cięższe wymogi, więc wydają odpowiednio więcej. Sektory z lżejszą regulacją i mniej wrażliwymi danymi mogą sytuować się niżej, nie będąc przy tym lekkomyślne.

Dane, które przechowujesz. To często pojedynczy największy czynnik i najczęściej pomijany. Im bardziej wrażliwe informacje, za które odpowiadasz, dane klientów, dane zdrowotne, dane płatnicze, własność intelektualna, tym więcej kosztuje Cię naruszenie i tym bardziej opłaca się wydawać na jego zapobieganie. Przydatny test: wypisz, co przechowujesz, co naprawdę zaszkodziłoby Twoim klientom albo firmie, gdyby wyciekło, i niech to poprowadzi, jak poważnie traktujesz ochronę.

Compliance i wymagania klientów. Dwie zewnętrzne siły podbijają tę liczbę, czy tego chcesz, czy nie. Pierwsza to regulacje. W Europie to coraz częściej RODO, a w zależności od sektora i wielkości firmy, także ramy takie jak NIS2 i DORA. Druga, i często bardziej bezpośrednia, to Twoi klienci. Klienci enterprise rutynowo proszą dziś dostawców o dowód, że są bezpieczni, przez kwestionariusze bezpieczeństwa, certyfikację SOC 2 albo ISO 27001, albo zobowiązania umowne dotyczące bezpieczeństwa. Jeśli zamykanie kontraktów zależy od przejścia tych sprawdzeń, bezpieczeństwo przestaje być kosztem i staje się częścią tego, jak zdobywasz przychód.

Dlaczego pierwsze euro daje najwięcej ochrony

Oto najważniejszy praktyczny punkt tego przewodnika. Wydatki na bezpieczeństwo mają mocno malejące zwroty, a niemal cały wczesny zwrot pochodzi z krótkiej listy niepozornych podstaw. Pierwsze euro daje dużo więcej ochrony niż ostatnie.

Większość realnych naruszeń nie bierze się z egzotycznych ataków rodem z filmów. Przychodzą zwyczajnymi drzwiami: skradzione albo odgadnięte hasło, konto, którego nikt nie wyłączył, gdy ktoś odszedł, phishingowy e-mail, system bez świeżej kopii zapasowej. Badanie IBM z 2025 roku pokazało, że globalny średni koszt naruszenia wyniósł 4,44 miliona dolarów, a phishing i przejęte dane uwierzytelniające były wśród najczęstszych dróg wejścia (IBM, 2025). To one stanowią większość tego, co faktycznie się zdarza, a podstawy, które je blokują, są tanie.

Kilka kontroli wykonuje większość tej ciężkiej pracy:

• Uwierzytelnianie wieloskładnikowe. Wymóg drugiego składnika poza hasłem to kontrola o najwyższej wartości, jaką może wdrożyć większość firm. W dużym badaniu Microsoftu MFA zmniejszyło ryzyko przejęcia konta o około 99 procent (Microsoft, 2024). Jest tanie i od razu zatrzymuje najczęstszy typ ataku.
• Wiedza, kto ma dostęp do czego. Zaostrzenie zarządzania tożsamością, kto może się zalogować, do jakich systemów i z jakim poziomem uprawnień, zamyka dużą część ryzyka. Z czasem ludzie gromadzą dostęp, którego już nie potrzebują, a każde zbędne konto to zbędne drzwi.
• Zdyscyplinowany offboarding. Gdy ktoś odchodzi, jego dostęp powinien zniknąć szybko i całkowicie. Zapomniane, wciąż aktywne konta byłych pracowników i kontraktorów to częsta i całkowicie możliwa do uniknięcia droga wejścia.
• Solidne, przetestowane kopie zapasowe. Kopie zapasowe to Twoje ubezpieczenie przed ransomware i poważnymi pomyłkami. Kopia, której nigdy nie próbowałeś przywrócić, to nadzieja, nie plan, więc dyscyplina liczy się tak samo jak samo narzędzie.

Żadna z tych rzeczy nie wymaga dużego budżetu ani dedykowanego zespołu bezpieczeństwa. Wymagają uwagi i konsekwencji. Tak bardzo liczą się w rozmowie o budżecie, bo pozwalają usunąć większość realnego ryzyka, zanim wydasz cokolwiek na zaawansowane narzędzia. Zawsze zaczynaj wydawanie tutaj, i dopiero gdy podstawy są faktycznie na miejscu, przechodź wyżej.

Jak wygląda dobry stan

Nie potrzebujesz idealnego programu. Potrzebujesz obronnego. Dla firmy z mid-market „dobry" zwykle wygląda tak:

• Potrafisz jasno powiedzieć, jakie wrażliwe dane przechowujesz i dlaczego to ma znaczenie.
• Podstawy są faktycznie wdrożone: MFA włączone, dostępy regularnie przeglądane, osoby odchodzące szybko odbierane, kopie zapasowe wykonywane i faktycznie testowane.
• Twoje wydatki mieszczą się w rozsądnym zakresie dla Twojej wielkości, sektora i danych, i potrafisz wytłumaczyć tę liczbę, a nie tylko ją zaraportować.
• Ktoś ma bezpieczeństwo jako część swoich obowiązków, nawet jeśli to rozwiązanie częściowe albo outsourcowane, a nie pełny wewnętrzny zespół.
• Wykupujesz najpierw swoje największe ryzyka, i potrafisz nazwać, jakie to ryzyka.

Jeśli te pięć rzeczy jest prawdziwych, jesteś w dobrej formie, niezależnie od tego, czy Twój procent jest na dolnym, czy górnym końcu benchmarku. Jeśli kilku z nich brakuje, ta luka liczy się bardziej niż jakakolwiek liczba z benchmarku.

Zarządzanie ryzykiem, nie płacenie stałego kosztu

Najzdrowszy sposób myślenia o tym to zarządzanie ryzykiem. Nigdy nie osiągniesz zerowego ryzyka, a próba osiągnięcia go by Cię zrujnowała. Celem jest sprowadzenie ryzyka do poziomu, który jesteś w stanie unieść, przy koszcie proporcjonalnym do tego, co chronisz.

Ta zmiana ramy robi kilka użytecznych rzeczy. Przestajesz traktować bezpieczeństwo jak podatek do minimalizowania, co jest sposobem, w jaki firmy kończą niebezpiecznie niedofinansowane. Przestajesz kupować narzędzia z lęku ponad potrzebę, co jest sposobem, w jaki firmy kończą z drogim oprogramowaniem, którego nikt nie skonfigurował. I daje Ci czysty sposób rozmowy z zarządem: oto ryzyko, które niesiemy, oto co wydajemy, żeby je zmniejszyć, oto ryzyko, które zdecydowaliśmy się zatrzymać, i oto dlaczego ten kompromis ma sens dla firmy takiej jak nasza.

Wracaj do tej liczby, gdy coś zmienia ryzyko: przejmujesz bardziej wrażliwe dane, wchodzisz na regulowany rynek, ważny klient podnosi poprzeczkę albo znacząco rośniesz. Poza tymi momentami stały i dobrze wycelowany budżet bije duży i rozproszony.

Źródła

• Gartner: Security accounts for just 5.7% of IT spend (IT Key Metrics Data, range and average) · https://www.cybersecuritydive.com/news/security-budget-gartner/587911/
• Bitdefender summary of Gartner: IT security budget may be a misleading indicator of security · https://www.bitdefender.com/en-gb/blog/businessinsights/it-security-budget-misleading-indicator
• IANS Research and Artico Search: 2025 Security Budget Benchmark Report (security at 10.9% of IT spend, mid-market and regulated-sector ranges) · https://www.iansresearch.com/resources/press-releases/detail/ians-research-and-artico-search-release-security-budget-benchmark-report
• IANS Research and Artico Search: 2025 budget and staffing findings (PR Newswire) · https://www.prnewswire.com/news-releases/ians-research-and-artico-search-release-security-budget-benchmark-report-302521455.html
• Microsoft: MFA research paper (reduces compromise risk by roughly 99 percent) · https://cdn-dynmedia-1.microsoft.com/is/content/microsoftcorp/microsoft/final/en-us/microsoft-brand/documents/MFA-Microsoft-Research-Paper-update.pdf
• IBM: Cost of a Data Breach 2025 (global average cost, phishing and credentials as common vectors) · https://www.ibm.com/reports/data-breach
• IBM 2025 breach cost reporting summary · https://www.cybersecuritydive.com/news/ibm-data-breach-cost-credentials-phishing/722689/