بودجه امنیت سایت؛ اولویت هزینه‌ها و برنامه ۹۰ روزه

برای بودجه امنیت سایت، یک درصد جادویی از درآمد یا IT وجود ندارد. سایتی که فقط فرم تماس دارد با فروشگاهی که Order، Payment، Address و حساب کاربر نگه می‌دارد، Risk و Recovery cost یکسانی ندارد. بودجه خوب از دارایی، سناریوی زیان، RPO/RTO، کنترل موجود و Gap شروع می‌شود؛ نه از خرید فهرستی ابزارها.

این راهنما به مدیر کسب‌وکار و تیم فنی کمک می‌کند هزینه امنیت وب‌سایت را قابل دفاع کند: چه سرفصل‌هایی لازم است، چه چیزی اولویت دارد، TCO چگونه محاسبه می‌شود، کدام KPI نتیجه را نشان می‌دهد و در ۹۰ روز نخست چه کاری انجام شود.

خلاصه: بودجه امنیت سایت را چگونه ببندیم؟

1. دارایی و Capability حیاتی را Inventory کنید.
2. سناریوهای زیان و Business impact را بنویسید.
3. Risk appetite، RPO و RTO را با مدیر کسب‌وکار توافق کنید.
4. کنترل موجود و Gap را در Govern/Identify/Protect/Detect/Respond/Recover بسنجید.
5. Must-haveها را قبل از پروژه‌های پیشرفته تأمین کنید.
6. هزینه خرید، اجرا، Tuning، عملیات، تمدید و خروج را در TCO بیاورید.
7. ذخیره Incident و هزینه Recovery را جدا نگه دارید.
8. بودجه را با KPI/KRI و Drill بازبینی کنید، نه با تعداد License.

چرا درصد ثابت بودجه گمراه‌کننده است؟

قانون‌هایی مثل «۵ تا ۱۰ درصد بودجه IT» یا «۱ تا ۳ درصد فروش» بدون Scope، Maturity و Risk قابل اتکا نیستند. دو کسب‌وکار با Revenue برابر ممکن است Exposure کاملاً متفاوت داشته باشند:

• یکی Checkout را به درگاه Redirect می‌کند و داده کمی نگه می‌دارد.
• دیگری Wallet، API شریک، پنل فروشنده و اطلاعات هویتی دارد.
• یکی Site builder مدیریت‌شده دارد.
• دیگری VPS، کد اختصاصی و تیم کوچک On-call دارد.

درصد می‌تواند برای کنترل سقف یا مقایسه سالانه مفید باشد، اما مبنای نیاز نیست. ابتدا Outcome و Gap را قیمت‌گذاری کنید؛ سپس نسبت حاصل را با توان مالی و Risk appetite تعدیل کنید.

چارچوب NIST CSF برای سرفصل بودجه

NIST Cybersecurity Framework 2.0 مدیریت ریسک امنیت را در شش Function سازمان می‌دهد. این ساختار برای جلوگیری از بودجه یک‌طرفه مفید است:

اگر همه بودجه روی Protect خرج شود ولی Detect/Respond/Recover صفر باشد، حمله‌ای که عبور کند دیر کشف و پرهزینه بازیابی می‌شود. Framework فهرست محصول نیست؛ برای Profile فعلی و Target و اولویت Gap استفاده کنید.

مرحله اول: دارایی و Capability را قیمت‌گذاری کنید

Asset inventory فقط Server و Domain نیست. برای سایت فروشگاهی این Capabilityها ممکن است حیاتی باشند:

• DNS، TLS، CDN و Origin
• صفحه محصول، Search و Inventory
• Login و Session
• Cart، Checkout، Payment attempt و Verify
• Order، Refund و Reconciliation
• Customer data و Consent
• Email/SMS و Providerهای ثالث
• Admin، Support و Export حسابداری
• Source code، CI/CD، Secret و Backup
• Log، Metric، Alert و Runbook

برای هر Asset این داده‌ها را ثبت کنید

• Owner کسب‌وکار و فنی
• Data classification و تعداد/حساسیت Recordها
• Dependency و Provider
• Revenue/Operation وابسته
• RPO/RTO و حداکثر وقفه
• Control موجود و آخرین Evidence
• سناریوی تهدید و Gap
• هزینه اصلاح و Risk باقی‌مانده

Asset بدون Owner معمولاً Patch، Backup و Alert بدون پاسخ دارد. اولین هزینه مفید ممکن است زمان Inventory باشد، نه License جدید.

Risk register؛ پل میان امنیت و پول

Likelihood را با دقت کاذب «۰٫۰۰۳۷» ننویسید اگر Data ندارید. Bandهای کم/متوسط/زیاد و سناریوی Impact شفاف اغلب تصمیم بهتری می‌سازند. با گذشت زمان از Incident، Scan و Telemetry برای Calibration استفاده کنید.

هزینه Incident را چگونه برآورد کنیم؟

عدد جهانی یا دلاری مقاله‌های خارجی را مستقیماً وارد بودجه ایران نکنید. Loss scenario خود را بسازید:

هزینه Incident =
فروش/خدمت ازدست‌رفته
+ نیروی داخلی و اضافه‌کاری
+ Forensic و پاک‌سازی
+ Rebuild و Restore
+ Reconciliation پرداخت/سفارش
+ اطلاع‌رسانی و پشتیبانی
+ تعهد قراردادی/حقوقی مرتبط
+ بازاریابی و بازیابی SEO
+ پروژه‌های عقب‌افتاده
- بخش قابل جبران یا انتقال‌یافته

برای Downtime، Average revenue را کور ضرب نکنید. ساعت اوج/کم‌ترافیک، Margin، خریدهای منتقل‌شده به بعد، Orderهای نامعلوم و Capacity پاسخ را جدا کنید. سه سناریوی Best/Expected/Worst با Assumptionهای روشن بسازید.

سرفصل‌های اصلی بودجه امنیت سایت

۱. Governance، Inventory و Risk

• Asset/Data/Dependency inventory
• BIA، RPO/RTO و Risk register
• Policy دسترسی، تغییر، Backup و Incident
• Vendor due diligence و قرارداد/SLA
• Owner، RACI و Review دوره‌ای

این بخش شاید License نداشته باشد، اما زمان افراد و مشاوره هزینه است. حذف آن باعث خرید ابزار نامرتبط و Gap مالکیت می‌شود.

۲. Identity و Access

• Password manager سازمانی یا فرایند امن Credential
• MFA/Passkey برای Admin، Hosting، DNS، Registrar، Email و Code
• Least privilege، Joiner/Mover/Leaver و Review دسترسی
• Session، API token، Service account و Secret management
• Break-glass و Recovery drill

برای حساب‌های کنترل‌کننده سایت، Identity معمولاً یکی از پربازده‌ترین سرفصل‌هاست. طراحی عملی در راهنمای MFA پنل مدیریت آمده است.

۳. Hosting، Platform و Update

• Plan میزبان با Isolation، Patch SLA و Log مناسب
• نسخه پشتیبانی‌شده PHP/Database/Web server
• Staging، Smoke/Regression test و Rollback
• Dependency/Vulnerability monitoring
• زمان نگهداری Core، Plugin، Theme و Package

مقایسه امنیت و Exit criteria را در راهنمای انتخاب هاست اشتراکی امن ببینید. Update «رایگان» نیست؛ Testing و On-call بخشی از TCO است.

4. Application Security

• Threat modeling برای Flow حساس
• Secure code review و Test خودکار
• SAST/SCA/DAST متناسب با Stack
• تست Authorization، Input/Output، Session و Business logic
• Penetration test با Scope و Retest
• Remediation time تیم توسعه

OWASP ASVS 5.0.0 مبنایی برای Requirement و Verification کنترل فنی Web application می‌دهد و می‌تواند در قرارداد استفاده شود. «یک Pentest سالانه» بدون Scope/Remediation جای برنامه Secure development را نمی‌گیرد.

۵. WAF، Bot و DDoS

• Edge/CDN، WAF و Origin protection
• Rule tuning و False-positive handling
• Rate limit و Bot management برای Login/API/Checkout
• DDoS capacity، Traffic overage و Incident escalation
• Log export و Correlation

License فقط آغاز است. Tuning، Exception درگاه، Storage log و On-call را قیمت‌گذاری کنید. معماری و عملیات در راهنمای فایروال و WAF سایت توضیح داده شده است.

۶. Backup و Disaster Recovery

• Backup سازگار Database/Files/Object
• نسخه Offsite و Immutable/Offline
• Encryption و Key management
• Retention و Egress/Storage
• Restore drill، Warm/Pilot environment و RTO validation
• DNS/TLS/Traffic cutover

وجود Backup موفق در Dashboard کافی نیست. بودجه باید Restore واقعی و Reconciliation را پوشش دهد. از طرح بازیابی فاجعه سایت برای Scope استفاده کنید.

۷. Logging، Monitoring و Detection

• Application/Admin/Audit log
• Uptime، Synthetic checkout و TLS/DNS monitoring
• File integrity و Malware signal
• Log ingestion، Retention، Search و Alert
• On-call، Triage و کاهش Noise
• Use case و Detection test

Log بدون Review و Alert بدون Runbook Outcome نمی‌سازد. هزینه Engineering و Storage را همراه Tool ببینید.

۸. Incident Response و Recovery reserve

• Incident response plan و Tabletop
• Forensic/IR retainer یا فهرست متخصص پاسخ‌گو
• Emergency access، ارتباط و Status page
• پاک‌سازی/Rebuild، Credential rotation و Validation
• Customer support، Legal/contractual review و Notification
• ذخیره نقدی/ظرفیت برای رخداد

در رخداد بدافزار، هزینه حفظ Evidence و Root-cause analysis را حذف نکنید. Runbook تشخیص و پاک‌سازی بدافزار سایت Scope را روشن می‌کند.

۹. Privacy و Data governance

Data minimization می‌تواند هم Privacy risk و هم هزینه امنیت را کم کند. Inventory داده، Retention، Consent، Access request، Processor/Vendor و Incident notification را هماهنگ کنید. برای سرفصل‌های دقیق از راهنمای بودجه حریم خصوصی داده استفاده کنید.

۱۰. People و Supply chain

• آموزش Role-based برای Admin، Support و Developer
• Phishing-resistant workflow برای Payment/DNS change
• Third-party inventory، Security requirement و Exit plan
• Source معتبر Plugin/Theme و License قانونی
• Review دسترسی پیمانکار و Offboarding

آموزش عمومی سالانه کافی نیست؛ سناریوی کار واقعی مثل تغییر حساب بانکی، Reset MFA و نصب Plugin را تمرین کنید.

هزینه‌های یک‌باره، جاری و ذخیره رخداد

امنیت هم پروژه دارد و هم عملیات. اگر Budget فقط خرید اولیه را پوشش دهد، Ruleها Tune نمی‌شوند، Alertها بی‌صاحب می‌مانند و Renewal شکست می‌خورد.

TCO ابزار امنیتی را چگونه محاسبه کنیم؟

TCO سال اول =
License/Subscription
+ Setup/Integration
+ Data migration
+ Training
+ Tuning و False positive
+ Log/Storage/Egress
+ Staff/On-call
+ Vendor management
+ Test و Audit
+ Exit/Replacement allowance

در سال‌های بعد Renewal، رشد Traffic/Data، Tier جدید، نرخ ارز و زمان عملیات را لحاظ کنید. ابزار رایگان نیز TCO صفر ندارد؛ نگهداری، Update، Expertise و Incident burden ممکن است بیشتر باشد.

مدل ۱۰۰ واحدی نمونه

اگر برای گفت‌وگو با مدیریت نیاز به Allocation دارید، مدل زیر فقط نقطه شروع سناریویی است، نه Benchmark عمومی:

فروشگاه با Recovery ضعیف ممکن است DR را بیشتر کند؛ SaaS اختصاصی AppSec را؛ سایت ساده Managed ممکن است Hosting بخش بزرگی از Protect را پوشش دهد. واحدها را بعد از Risk assessment تغییر دهید.

حداقل بودجه امنیتی برای سایت کوچک

پیش از پروژه‌های پیشرفته، این Gateها را پوشش دهید:

• Owner و Inventory دامنه/هاست/WordPress/Provider
• MFA و Credential منحصربه‌فرد برای حساب‌های کنترل‌کننده
• Hosting پشتیبانی‌شده، TLS معتبر و Update فرایندمند
• Backup مستقل با Restore test
• Least privilege و حذف Plugin/User بلااستفاده
• WAF/Rate limit متناسب با Exposure
• Uptime، Login/Admin و Backup alert
• Incident contact و Runbook حداقلی

اگر بودجه محدود است، «دانستن اینکه چه داریم، جلوگیری از تصاحب حساب، Patch، Restore و Detection پایه» معمولاً بر Dashboard پیشرفته یا چند Scanner هم‌پوشان مقدم است.

چه چیزی را نباید برای کاهش هزینه حذف کرد؟

• Backup مستقل و Restore test
• MFA حساب‌های کنترل‌کننده
• Patch و نگهداری نسخه پشتیبانی‌شده
• حداقل Log و Alert Incident
• مسیر Escalation و Recovery access
• Revalidation پس از تغییر حساس
• زمان Remediation یافته‌های واقعی

می‌توانید Tool را ساده‌تر، Retention را Risk-based یا Managed service را جایگزین Build کنید؛ اما Outcome حیاتی را صفر نکنید.

چه خریدهایی را می‌توان به تعویق انداخت؟

• چند ابزار هم‌پوشان Scan/WAF بدون Gap مشخص
• Pentest گسترده پیش از بستن آسیب‌پذیری‌های بدیهی
• SIEM سنگین بدون Source log، Use case و Analyst
• Active-active وقتی RTO با Warm/Restore تأمین می‌شود
• OV/EV صرفاً برای «امنیت بیشتر» بدون الزام هویت
• Badge و Trust seal بدون Control عملی
• AI security product بدون Data، Evaluation و Owner

تعویق یعنی ثبت Risk و Trigger بازبینی، نه فراموشی دائمی.

Penetration Test را چگونه بودجه‌بندی کنیم؟

Frequency ثابت سالانه برای همه درست نیست. Triggerهای مناسب‌تر:

• Release معماری یا Authentication/Payment جدید
• تغییر بزرگ API یا Access model
• Incident یا یافته Critical
• الزام قراردادی/Compliance
• تغییر Provider/Cloud boundary
• بازه Risk-based برای اطمینان دوره‌ای

بودجه باید Scope، Rules of engagement، Test account/data، Report، Remediation و Retest را شامل شود. Report بدون بودجه اصلاح فقط بدهی مستند تولید می‌کند. ASVS می‌تواند Coverage قرارداد را دقیق‌تر کند.

Vendor یا Build؟

برای سایت کوچک، Managed service خوب اغلب اقتصادی‌تر از ساخت SOC/Backup/WAF داخلی است. اما Scope، Data export، Incident SLA و دسترسی در شرایط ایران باید در قرارداد و PoC بررسی شود.

Scorecard خرید امنیت

Must-have gate تعریف کنید: ابزار بدون Export یا Support قابل‌دسترسی نباید فقط با قیمت امتیاز بالا بگیرد.

KPI و KRI بودجه امنیت

تعداد Tool، Scan یا Alert معیار Outcome نیست. نمونه‌های بهتر:

• درصد Assetهای حیاتی با Owner و Tier
• درصد حساب Privileged با MFA مقاوم و Recovery آزموده
• Median/95th percentile زمان Patch بر اساس Severity/Exposure
• درصد Backupهای موفق و Restoreهای آزموده
• RPO/RTO واقعی در Drill
• Mean/Median time to detect، contain و recover
• درصد Log sourceهای حیاتی متصل و Use caseهای Tested
• یافته‌های Critical/High خارج SLA و Age آن‌ها
• WAF False-positive و Exceptionهای بدون Expiry
• درصد Third partyهای حیاتی با Owner/Exit plan
• تعداد Repeat incident ناشی از Root cause اصلاح‌نشده

Target باید Baseline و Context داشته باشد. کاهش Alert count ممکن است Tuning خوب یا خاموش‌شدن Detection باشد؛ Evidence را تفسیر کنید.

مثال ۱: سایت شرکتی WordPress

ریسک‌های اصلی: تصاحب Admin/DNS، Plugin آسیب‌پذیر، Deface/SEO spam و نبود Restore. اولویت:

1. Owner/Inventory و MFA
2. Hosting امن و Update/Staging
3. Backup مستقل و Restore test
4. WAF/Rate limit و Login audit
5. Uptime، TLS و File change alert
6. Incident runbook و متخصص تماس

Pentest گسترده ممکن است پس از بستن این Baseline ارزشمندتر شود.

مثال ۲: فروشگاه WooCommerce

علاوه بر Baseline، بودجه باید Checkout/Callback، Payment reconciliation، RPO پایین Order، Log تراکنش، Synthetic test و DR را پوشش دهد. WAF rule و Cache exception باید Tune شود. Incident reserve برای فروش ازدست‌رفته و Customer support اهمیت بیشتری دارد.

مثال ۳: SaaS اختصاصی

سرفصل AppSec و Secure SDLC بزرگ‌تر می‌شود: Threat model، ASVS requirement، SAST/SCA، Code review، API authorization test، Secret management، CI/CD control و Pentest Release محور. Logging چند Tenant، Data isolation و IR/Privacy نیز هزینه بیشتری دارند.

بودجه امنیت در ایران

• نوسان ارز: Renewal ابزار خارجی را با سناریوی نرخ و Buffer ببندید، نه قیمت امروز.
• دسترسی و پرداخت: Risk قطع سرویس، Suspend و تغییر روش پرداخت را ثبت کنید.
• Provider جایگزین: Export، Migration و Grace period را تست کنید.
• نیروی متخصص: زمان Tuning، On-call و Remediation را کمتر از License نبینید.
• پهنای باند/Egress: Restore و Log export خارجی را در TCO بیاورید.
• سرویس داخلی/خارجی: با Latency، Coverage، Privacy، Support و Exit مقایسه کنید، نه ملیت.
• Plugin/Theme نال‌شده: صرفه‌جویی ظاهری، Supply-chain risk و هزینه Incident می‌سازد.
• قرارداد: Scope، SLA، Incident notification، مالکیت Data و تحویل Backup را مکتوب کنید.

برنامه ۹۰ روزه بودجه‌بندی و اجرا

روز ۱ تا ۱۵: Baseline و Risk

• Inventory Asset/Data/Provider و Owner
• BIA، RPO/RTO و سه سناریوی Loss
• Current/Target Profile و Risk register
• یافتن Must-have Gap و هزینه عدم اقدام

روز ۱۶ تا ۳۰: کنترل‌های بقا

• MFA و Access review
• Patch/Update و حذف Component بلااستفاده
• Backup مستقل و Restore نمونه
• TLS، Uptime و Alert پایه

روز ۳۱ تا ۶۰: Protect و Detect

• WAF/Rate limit با PoC و Tuning
• Log source، Audit و Use caseهای اصلی
• Vulnerability/Dependency workflow
• Vendor Scorecard و TCO سه‌ساله

روز ۶۱ تا ۹۰: Respond و Recover

• Incident/Communication plan و RACI
• Tabletop و Restore drill کامل
• Pen test/ASVS scope برای Gapهای باقی‌مانده
• KPI dashboard، Budget owner و Review فصلی

چک‌لیست ارائه بودجه به مدیریت

• چه Capability و Revenue/تعهدی محافظت می‌شود؟
• سناریوی Risk و Assumption چیست؟
• کنترل موجود و Gap کجاست؟
• گزینه حداقلی، پیشنهادی و پیشرفته چیست؟
• TCO یک‌ساله/سه‌ساله و هزینه Exit چقدر است؟
• چه Riskی منتقل، کاهش یا پذیرفته می‌شود؟
• Owner اجرا و عملیات کیست؟
• Success با کدام KPI/Drill اثبات می‌شود؟
• اگر بودجه تصویب نشود، Residual risk را چه کسی می‌پذیرد؟

پرسش‌های متداول بودجه امنیت سایت

۱. چقدر از بودجه را به امنیت سایت اختصاص دهیم؟

درصد عمومی قابل اتکا وجود ندارد. Asset، Data، Revenue dependency، RPO/RTO، Threat، Maturity و Control موجود را بسنجید؛ Must-have Gapها و TCO را قیمت‌گذاری کنید؛ سپس رقم را با Risk appetite و توان مالی توافق کنید.

۲. مهم‌ترین هزینه امنیت برای سایت کوچک چیست؟

یک محصول واحد نیست. معمولاً Owner/Inventory، MFA، Hosting و Update پشتیبانی‌شده، Backup مستقل با Restore test، TLS و Alert پایه مجموعه حداقلی‌اند. اولویت دقیق از سناریوی Risk سایت می‌آید.

۳. SSL رایگان یعنی امنیت کم‌هزینه و کافی؟

گواهی DV رایگان می‌تواند TLS استاندارد و امن بدهد، اما فقط داده در مسیر و احراز دامنه را پوشش می‌دهد. Application، Account، Backup، WAF، Log و Incident response همچنان بودجه می‌خواهند.

۴. هر چند وقت Pentest انجام دهیم؟

بر اساس Risk و Change trigger: پس از تغییر Authentication/Payment/API/Architecture، Incident، الزام قرارداد و بازه اطمینان دوره‌ای. بودجه Scope، Test data، Report، Remediation و Retest را کامل پوشش دهد.

۵. چگونه ROI امنیت را نشان دهیم؟

امنیت معمولاً با کاهش Likelihood/Impact و افزایش Resilience ارزش می‌سازد. سناریوی زیان، RPO/RTO، زمان Detect/Recover، Coverage و Risk باقی‌مانده را قبل/بعد مقایسه کنید؛ از ادعای «هر ریال چند برابر بازگشت» بدون Data خودداری کنید.

جمع‌بندی

بودجه امنیت سایت باید Outcomeمحور باشد: بدانید چه چیزی را محافظت می‌کنید، چه سناریویی را کاهش می‌دهید و چگونه موفقیت را اثبات می‌کنید. NIST CSF را برای پوشش Govern تا Recover، ASVS را برای Verification برنامه، Risk register را برای اولویت، و TCO/Drill را برای واقعیت عملیات به کار ببرید.

اگر Toolهای فعلی، Risk باقی‌مانده و هزینه عملیات شما روشن نیست، از مشاوره امنیت و بودجه‌بندی مایندیو برای Current/Target profile، Roadmap و Business case کمک بگیرید.

بازبینی فنی منابع: ۶ اوت ۲۰۲۶. قیمت‌ها، نرخ ارز و Scope سرویس‌ها متغیرند؛ بودجه را با Quote جاری، قرارداد و سناریوی Risk خود به‌روز کنید.