Dues empreses reben l'impacte de la mateixa soca de ransomware la mateixa setmana. Les mateixes 200 hores de forense, contenció i recuperació. Una paga aproximadament 60.000 $ i té els seus responedors fent triatge en dues hores. L'altra paga molt per sobre de 150.000 $, passa el primer dia negociant un contracte mentre els sistemes queden a les fosques, i coneix el seu equip de resposta per primera vegada durant la pitjor setmana de la història de l'empresa. La diferència mai no va ser el malware. Va ser un contracte signat mesos abans, en aigües tranquil·les — un retainer de resposta a incidents — i si cada empresa entenia què havia comprat.
Si la teva empresa hauria de buscar a Google una firma forense mentre els atacants es mouen pels teus recursos compartits de fitxers, aquest article és per a tu. Explica què compra realment un retainer d'IR, com comptabilitzar el bloc prepagat als teus propis llibres, què passa amb les hores que no fas servir mai i què fa la "tarifa de pic" d'emergència a les hores que superen el bloc. La comptabilitat importa tant com el contracte: un retainer comptabilitzat malament infla silenciosament els teus actius durant tot l'any, i després et sorprèn dues vegades — una quan les hores no utilitzades caduquen, i una altra quan arriba la factura de l'excés.
Què compra realment un retainer
Un retainer de resposta a incidents és un bloc prepagat d'hores de responedor comprat abans que res estigui en flames. Pagues per avançat per un nombre definit d'hores (o crèdits) durant un termini de 12 mesos, i a canvi obtens dues coses que un client que truca sense cita no pot comprar: un SLA de triatge contractual, normalment d'una a quatre hores, i una tarifa de consum prenegociada per a cada hora que treballa la firma. Sense un, la mobilització s'allarga a 24 o 72 hores mentre definiu l'abast i contracteu des de zero, i cada hora es factura a la tarifa d'emergència.
El mercat ofereix cinc maneres de comprar aproximadament la mateixa protecció, i els preus publicats es concentren de manera útil:
| Model | Què pagues | Referència publicada |
|---|---|---|
| Bloc prepagat / retainer anual | Tarifa fixa per un nombre determinat d'hores | IBM X-Force llista 37.000–105.000 $/any; els registres del Regne Unit mostren trams de 50/150/250 hores |
| Hora retinguda | Tarifa anual més una tarifa de consum per hora utilitzada | Les tarifes retingudes de consum van d'uns 175–400 $/h |
| Hora d'emergència, sense retainer | Tarifa premium, facturada per encàrrec | El treball d'emergència de primer nivell va de 800–1.500 $/h |
| Subscripció MDR (monitoratge més resposta) | Subscripció anual per usuari | Arctic Wolf llista 44.000 $/any per a un màxim de 100 usuaris |
| Equip intern | Nombre de persones per cost carregat | Cinc responedors sèniors és el mínim habitual per a una cobertura 24/7 real |
Dues coses destaquen. Primer, la majoria de grans firmes no publiquen cap tarifa horària — Mandiant, CrowdStrike, Kroll i Unit 42 pressuposten per encàrrec —, així que les xifres anteriors són referències de planificació, no pressupostos. Aconsegueix les teves pròpies tres xifres per escrit: la tarifa d'emergència sense retainer, la tarifa de consum amb retainer i la tarifa anual. Segon, compara qualsevol d'aquests preus de retainer amb el que hi ha en joc: l'estudi Cost of a Data Breach d'IBM de 2025 situa la mitjana global d'una bretxa en 4,44 milions de dòlars, i la mitjana dels EUA en un rècord de 10,22 milions. Un retainer de cinc xifres és un error d'arrodoniment al costat d'un sol incident — que és exactament per què la seva comptabilitat mereix més cura de la que normalment rep un error d'arrodoniment.
Als teus llibres, un retainer és un actiu, no una despesa
Aquí hi ha l'error que cometen la majoria de petites empreses: la factura del retainer de 40.000 $ arriba a l'octubre, i l'import sencer recau en la despesa de seguretat d'aquell mes. L'octubre sembla terrible, els onze mesos següents semblen artificialment nets, i el balanç mai no mostra què tens realment — 40.000 $ de temps futur de responedors.
Un retainer prepagat és una despesa prepagada, un actiu corrent. Has pagat en efectiu per un benefici econòmic que encara no has consumit: hores de temps expert disponibles a demanda durant el termini del contracte. La compra mou diners entre comptes d'actiu — baixa la caixa, puja el retainer prepagat — i no toca el compte de pèrdues i guanys en absolut. Només a mesura que es consumeixen les hores (o caduquen, més sobre això a continuació) el cost es converteix en despesa.
Això no és pedanteria. Comptabilitzar el retainer sencer com a despesa per avançat infravalora els teus actius pel saldo no consumit cada mes del termini, sobrevalora la despesa d'aquell primer mes i amaga el patró de consum que et diu si el retainer es va dimensionar correctament. Si el renoves anualment, la distorsió es repeteix cada any, i la despesa de seguretat d'un any a l'altre es torna il·legible. Comptabilitza l'actiu i després comptabilitza el consum. El teu tancament de mes t'ho agrairà.
Consumir el bloc a mesura que els incidents el consumeixen
Pensa en el bloc prepagat com en un saldo bancari: cada incident és una retirada, i el saldo restant és un actiu que encara pots gastar. Cada mes (o després de cada encàrrec), agafa l'extracte d'hores de la teva firma d'IR i mou el valor consumit de l'actiu prepagat a la despesa de seguretat a la tarifa de consum. Un encàrrec de contenció de 22 hores consumit a 300 $ l'hora és una despesa de 6.600 $ en el mes en què es va fer el treball — no en el mes en què vas prepagar.
Tres hàbits de comptabilitat mantenen el consum honest:
- Concilia les hores com si fos efectiu. L'extracte d'hores de la firma és el teu extracte bancari d'aquest compte. Registra el saldo inicial, les hores consumides, la tarifa aplicada i el saldo final cada mes, fins i tot en mesos tranquils quan l'assentament és "sense canvis". El mes que deixes de conciliar és el mes que se t'escola una "avaluació" disputada de 14 hores.
- Merita el treball realitzat però encara no facturat. Si els responedors van treballar l'última setmana del mes i l'extracte d'hores arriba a mitjans del mes següent, registra una meritació: debita la despesa de seguretat, acredita un compte a pagar. En cas contrari, el mes de l'incident sembla barat i el mes de la factura sembla car, i cap dels dos reflecteix la realitat.
- Separa les hores consumides de l'excés al compte de pèrdues i guanys. Les hores consumides dins del bloc i les hores d'emergència facturades per sobre són esdeveniments econòmics diferents a tarifes molt diferents. Un sol compte de despesa pot contenir tots dos només si mai vols poder respondre "què ens va estalviar realment el retainer?" — així que fes servir subcomptes o una disciplina de memòria que et permeti separar-los.
Les hores que no fas servir mai: caducitat, pròrroga i la cancel·lació
La clàusula més silenciosa del retainer és què passa amb les hores que no consumeixes mai. La majoria de contractes trien un dels tres tractaments: les hores caduquen sense valor al final del termini, una part limitada es prorroga al termini següent, o les hores no utilitzades es converteixen en serveis proactius com exercicis de simulació o avaluacions de compromís. Els trams registrats d'IBM, per exemple, inclouen unitats de servei proactiu juntament amb les hores de resposta — una via de conversió incorporada.
Sigui què digui el teu contracte, els teus llibres hi han de coincidir. Si 40 de les teves 100 hores caduquen sense usar al final del termini, el saldo prepagat restant ja no és un actiu — és una pèrdua. Cancel·la'l: debita la despesa de seguretat (o un compte de cancel·lació, si vols que la caducitat sigui visible per separat), acredita l'actiu prepagat a zero. Saltar-se aquest assentament és com els comptes prepagats acumulen saldos fantasma que inflen els actius durant anys.
El costat del proveïdor reflecteix exactament el teu, cosa que val la pena saber abans de negociar. Als llibres de la firma, el teu prepagament queda com a ingressos diferits — un passiu, efectiu cobrat per treball encara no lliurat — i les hores no utilitzades que caduquen es converteixen en ingressos de la firma en el moment de la caducitat, una categoria que els comptables anomenen breakage. Les teves hores caducades són el seu marge. Això no és una crítica; és palanca. Les firmes que guanyen amb el breakage sovint el negociaran: demana límits de pròrroga, conversió d'hores no utilitzades en serveis proactius, o un bloc més petit amb una tarifa de recàrrega més barata en lloc d'un bloc gran dissenyat per caducar. Cada hora convertida en un exercici de simulació és una hora que es queda com a actiu en lloc de convertir-se en una cancel·lació.
La tarifa de pic: què costen realment les hores per sobre del bloc
Ara la clàusula que decideix si el retainer s'amortitza sol. Les hores dins del bloc es facturen a la tarifa de consum que vas negociar en condicions tranquil·les. Les hores per sobre del bloc — i cada hora per a una empresa sense cap retainer — es facturen a la tarifa d'emergència, i la diferència és tota l'economia del producte.
Fes la divisió amb els teus propis pressupostos, però espera que la tarifa d'emergència se situï aproximadament entre un 50 i un 150 per cent per sobre de la tarifa de consum a la majoria de firmes — la mateixa botiga que et consumeix el bloc a 300 $ l'hora pot facturar emergències sense cita a 450–750 $ — mentre que els encàrrecs d'emergència de primer nivell van de 800 a 1.500 $ l'hora contra tarifes de consum de 175 a 400 $. El pic també es multiplica amb el moment: nits, caps de setmana i forense especialitzada afegeixen primes per sobre de la tarifa d'emergència base.
L'aritmètica del punt d'equilibri és prou simple per fer-la abans de signar. Compara (hores esperades × tarifa d'emergència) amb (hores esperades × tarifa de consum) + tarifa del retainer per a un incident de la mida que realment planifiques. Com que la tarifa del retainer es compensa amb les hores utilitzades, el punt d'equilibri normalment queda ben dins d'un sol incident seriós: a una tarifa de consum de 300 $ contra una tarifa d'emergència de 750 $, un encàrrec de 100 hores costa 30.000 $ més la tarifa amb un retainer contra 75.000 $ sense — la tarifa s'amortitza abans del segon incident, i el SLA de triatge contractual és valor addicional. Dimensiona el bloc per a l'incident que planifiques, no per a l'incident que esperes, i pressuposta una reserva d'efectiu per a l'excés que encara deuràs si el gran s'allarga més enllà del bloc. El retainer compra la tarifa. No limita l'incident.
Si vens retainers, s'aplica la imatge mirall
Molts lectors estan a l'altre costat d'aquest contracte — MSPs, consultors de seguretat i empreses d'IT que venen els seus propis blocs d'hores prepagades. La comptabilitat reflecteix la del comprador: el prepagament d'un client no és el teu ingrés, és ingrés diferit, un passiu pel treball que degs. Reconeix ingressos només a mesura que es lliuren les hores, mantén el saldo no lliurat al balanç (segons l'ASC 606 és un passiu de contracte), i reconeix el breakage com a ingrés només quan les hores caduquen realment segons els termes del contracte — no quan confies que el client no les farà servir. La mateixa disciplina de conciliació s'aplica: si el teu saldo diferit i el saldo prepagat del teu client no coincideixen, un de vosaltres s'equivoca, i el registre d'hores ho resol. Les firmes que reconeixen el prepagament sencer com a ingrés del primer dia sobrevaloren els ingressos, infravalorar les obligacions, i descobreixen la diferència durant la due diligence d'una venda, quan el comprador valora cada dòlar de treball no lliurat com un passiu que hereta.
Com és l'any al llibre major
Aquí tens un any complet de retainer per a un comprador: un bloc de 40.000 $ de 100 hores comprat a l'octubre, un incident de 22 hores consumit a 300 $ l'hora al febrer, 8 hores d'excés d'emergència a 750 $ en el mateix incident (un pic del 150 per cent sobre la tarifa de consum), i el saldo no utilitzat cancel·lat quan el termini expira sense més incidents. Si portes els teus llibres en text pla, la documentació cobreix la configuració, i Fava converteix el saldo prepagat en un gràfic que pots veure buidar-se al llarg del termini:
2025-10-01 open Assets:Cash:Operating USD
2025-10-01 open Assets:Prepaid:IR-Retainer USD
2025-10-01 open Liabilities:Payable USD
2025-10-01 open Expenses:Security:Incident-Response USD
2025-10-01 * "Sentinel IR" "Annual retainer, 100 prepaid hours"
Assets:Prepaid:IR-Retainer 40000.00 USD
Assets:Cash:Operating -40000.00 USD
2026-02-14 * "Sentinel IR" "Containment, 22 hours drawn at 300.00 USD per hour"
Expenses:Security:Incident-Response 6600.00 USD
Assets:Prepaid:IR-Retainer -6600.00 USD
2026-02-20 * "Sentinel IR" "Emergency overage, 8 hours at 750.00 USD per hour"
Expenses:Security:Incident-Response 6000.00 USD
Liabilities:Payable -6000.00 USD
2026-03-02 * "Sentinel IR" "Overage invoice paid"
Liabilities:Payable 6000.00 USD
Assets:Cash:Operating -6000.00 USD
2026-09-30 * "Sentinel IR" "Term expired, unused hours written off"
Expenses:Security:Incident-Response 33400.00 USD
Assets:Prepaid:IR-Retainer -33400.00 USDLlegeix la història que expliquen els comptes: 6.600 $ de resposta a incidents comprats a la tarifa de bon temps, 6.000 $ comprats a la tarifa de pic, i 33.400 $ que no van comprar res més que l'opció de trucar — el preu d'un bloc sobredimensionat. Aquesta cancel·lació no és un argument contra els retainers. És un argument per dimensionar el pròxim bloc a partir de l'historial de consum d'aquest any en lloc de la proposta de la firma, i per negociar la conversió de la resta no utilitzada en treball proactiu abans que caduqui.
Una llista de verificació de tancament de mes per a compradors de retainers
Posa-ho a la llista de verificació de tancament de cada mes que el retainer estigui actiu, i la versió de fi d'any s'escriu sola:
- Agafa l'extracte d'hores de la firma i concilia'l amb el teu saldo prepagat — hores inicials, hores consumides, tarifa, hores finals — abans de comptabilitzar res.
- Comptabilitza les hores consumides en el mes en què es va fer el treball, meritant el treball no facturat a final de mes en lloc d'esperar l'extracte.
- Mantén l'excés en el seu propi subcompte perquè la prima de pic quedi visible al costat de la despesa a tarifa de consum que va superar.
- Marca al calendari la data de caducitat amb un avís de 90 dies: és quan programes l'exercici de simulació, negocies la pròrroga o redimensiones la renovació — no la setmana que moren les hores.
- A la renovació, divideix el cost total d'incidents de l'any passat (consum + excés + cancel·lació) pel nombre d'hores realment utilitzades. Aquesta tarifa combinada, no la tarifa de consum del fullet, és el número contra el qual competeix el pròxim bloc.
L'empresa que paga 60.000 $ per les seves 200 hores i la que paga 150.000 $ van comprar contractes diferents — però també portaven llibres diferents. Una va tractar el retainer com un actiu per gestionar, conciliar, consumir i renovar a partir de l'evidència. L'altra el va comptabilitzar com a despesa a l'octubre i va rebre la tarifa de pic com una sorpresa. Signa el retainer abans de necessitar-lo, comptabilitza'l pel que és, i deixa que l'historial de consum — no la proposta comercial — fixi el bloc de l'any vinent.
