دو کسبوکار در یک هفته توسط یک سویه باج‌گیر یکسان هدف قرار می‌گیرند. همان ۲۰۰ ساعت کار کارشناسی پزشکی قانونی، مهار و بازیابی. یکی حدود ۶۰٬۰۰۰ دلار می‌پردازد و پاسخ‌دهندگانش ظرف دو ساعت در حال ارزیابی هستند. دیگری خیلی بیشتر از ۱۵۰٬۰۰۰ دلار می‌پردازد، روز اول را صرف مذاکره بر سر قرارداد می‌کند در حالی که سیستم‌ها خاموش می‌مانند، و تیم پاسخش را برای اولین بار در بدترین هفته تاریخ شرکت ملاقات می‌کند. تفاوت هرگز بدافزار نبود. یک قراردادی بود که ماه‌ها پیش‌تر، در هوای آرام، امضا شده بود — یک قرارداد نگهداری پاسخ به حادثه — و اینکه هر کسبوکار می‌دانست چه چیزی خریده است یا نه.
اگر کسبوکار شما باید در حالی که مهاجمان در اشتراک‌های فایل‌تان می‌گردند، یک شرکت پزشکی قانونی را در گوگل جستجو کند، این نوشته برای شماست. توضیح می‌دهد که یک قرارداد نگهداری IR واقعاً چه چیزی می‌خرد، چگونه بلوک پیش‌پرداخت را در دفاتر خودتان ثبت کنید، چه بر سر ساعت‌هایی می‌آید که هرگز استفاده نمی‌کنید، و «نرخ هجوم» اضطراری با ساعت‌های فراتر از بلوک چه می‌کند. حسابداری به اندازه قرارداد اهمیت دارد: قراردادی که اشتباه ثبت شود، به‌آرامی دارایی‌هایتان را در تمام سال بیش از واقع نشان می‌دهد، سپس دو بار غافلگیرتان می‌کند — یک بار وقتی ساعت‌های استفاده‌نشده منقضی می‌شوند، و بار دیگر وقتی صورت‌حساب مازاد می‌رسد.
یک قرارداد نگهداری واقعاً چه چیزی می‌خرد
قرارداد نگهداری پاسخ به حادثه یک بلوک پیش‌پرداخت از ساعت‌های پاسخ‌دهنده است که پیش از آتش‌سوزی خریده می‌شود. شما از پیش برای تعداد مشخصی ساعت (یا اعتبار) در یک دوره ۱۲ ماهه پرداخت می‌کنید و در ازایش دو چیز دریافت می‌کنید که یک مشتری بدون قرارداد نمی‌تواند بخرد: یک SLA ارزیابی قراردادی، معمولاً یک تا چهار ساعت، و یک نرخ برداشت از پیش مذاکره‌شده برای هر ساعتی که شرکت کار می‌کند. بدون آن، بسیج نیروها به ۲۴ تا ۷۲ ساعت کشیده می‌شود در حالی که شما از نقطه صفر در حال تعیین دامنه و انعقاد قرارداد هستید، و هر ساعت با نرخ اضطراری صورت‌حساب می‌شود.
بازار پنج راه برای خرید تقریباً همان حفاظت ارائه می‌دهد، و قیمت‌های منتشرشده به‌طور مفیدی خوشه‌بندی می‌شوند:
| مدل | چه می‌پردازید | لنگرگاه منتشرشده |
|---|---|---|
| بلوک پیش‌پرداخت / قرارداد نگهداری سالانه | هزینه ثابت برای تعداد مشخصی ساعت | IBM X-Force سالانه ۳۷٬۰۰۰ تا ۱۰۵٬۰۰۰ دلار فهرست می‌کند؛ پرونده‌های بریتانیا سطوح ۵۰/۱۵۰/۲۵۰ ساعته را نشان می‌دهند |
| ساعتی قراردادی | هزینه سالانه به‌علاوه نرخ برداشت به ازای هر ساعت مصرفی | نرخ‌های برداشت قراردادی حدود ۱۷۵ تا ۴۰۰ دلار در ساعت است |
| ساعتی اضطراری، بدون قرارداد نگهداری | نرخ حق‌بیمه، صورت‌حساب به ازای هر پروژه | کار اضطراری سطح بالا ۸۰۰ تا ۱٬۵۰۰ دلار در ساعت است |
| اشتراک MDR (پایش به‌علاوه پاسخ) | اشتراک سالانه به ازای هر کاربر | Arctic Wolf سالانه ۴۴٬۰۰۰ دلار برای حداکثر ۱۰۰ کاربر فهرست می‌کند |
| تیم داخلی | تعداد پرسنل ضربدر هزینه سرباری | پنج پاسخ‌دهنده ارشد حداقل معمول برای پوشش واقعی ۲۴/۷ است |
دو چیز برجسته است. اول، بیشتر شرکت‌های بزرگ هیچ نرخ ساعتی منتشر نمی‌کنند — Mandiant، CrowdStrike، Kroll و Unit 42 همگی بر اساس هر پروژه قیمت می‌دهند — بنابراین اعداد بالا لنگرگاه برنامه‌ریزی هستند، نه نقل‌قول. سه رقم خودتان را کتباً بگیرید: نرخ اضطراری بدون قرارداد نگهداری، نرخ برداشت تحت قرارداد نگهداری، و هزینه سالانه. دوم، هر یک از این قیمت‌های قرارداد نگهداری را با ریسک مقایسه کنید: مطالعه هزینه نقض داده سال ۲۰۲۵ آی‌بی‌ام میانگین جهانی نقض داده را ۴٫۴۴ میلیون دلار و میانگین آمریکا را رکورد ۱۰٫۲۲ میلیون دلار قرار می‌دهد. یک قرارداد نگهداری پنج‌رقمی در مقابل یک حادثه خطای گرد کردن است — که دقیقاً دلیل آن است که حسابداری آن مستحق دقتی بیش از خطای گرد کردن معمولی است.
در دفاتر شما، قرارداد نگهداری یک دارایی است، نه هزینه
اشتباهی که بیشتر کسب‌وکارهای کوچک می‌کنند این است: صورت‌حساب ۴۰٬۰۰۰ دلاری قرارداد نگهداری در اکتبر می‌رسد و کل مبلغ در هزینه امنیتی همان ماه ثبت می‌شود. اکتبر وحشتناک به نظر می‌رسد، یازده ماه بعدی به‌طور مصنوعی پاک به نظر می‌رسند، و ترازنامه هرگز آنچه را که واقعاً دارید نشان نمی‌دهد — ۴۰٬۰۰۰ دلار زمان پاسخ‌دهنده در آینده.
قرارداد نگهداری پیش‌پرداخت یک هزینه پیش‌پرداخت است، یک دارایی جاری. شما پول نقد برای یک منفعت اقتصادی که هنوز مصرف نکرده‌اید پرداخت کردید: ساعت‌هایی از زمان متخصص که بر حسب تقاضا در طول دوره قرارداد در دسترس است. خرید، پول را بین حساب‌های دارایی جابه‌جا می‌کند — نقد کاهش، پیش‌پرداخت قرارداد نگهداری افزایش — و صورت سود و زیان را اصلاً لمس نمی‌کند. فقط زمانی که ساعت‌ها برداشت شوند (یا منقضی شوند، در ادامه بیشتر) هزینه می‌شود.
این وسواس لفظی نیست. هزینه‌کردن کل قرارداد نگهداری از پیش، دارایی‌های شما را به اندازه موجودی مصرف‌نشده در هر ماه از دوره کم‌نمایش می‌دهد، هزینه آن ماه اول را بیش‌نمایش می‌دهد، و الگوی برداشت را که به شما می‌گوید آیا قرارداد نگهداری به درستی اندازه‌گیری شده پنهان می‌کند. اگر سالانه تمدید کنید، این تحریف هر سال تکرار می‌شود، و هزینه امنیتی سال‌به‌سال ناخوانا می‌شود. دارایی را ثبت کنید، سپس مصرف را هزینه کنید. بستن پایان ماه‌تان از شما تشکر خواهد کرد.
برداشت از بلوک همان‌گونه که حوادث آن را مصرف می‌کنند
به بلوک پیش‌پرداخت همان‌گونه فکر کنید که به موجودی بانک فکر می‌کنید: هر حادثه یک برداشت است، و موجودی باقیمانده یک دارایی است که هنوز می‌توانید خرج کنید. هر ماه (یا پس از هر پروژه)، صورت‌حساب ساعت‌ها را از شرکت IR خود بگیرید و ارزش مصرف‌شده را با نرخ برداشت از دارایی پیش‌پرداخت به هزینه امنیتی منتقل کنید. یک پروژه مهار ۲۲ ساعته که با نرخ ۳۰۰ دلار در ساعت برداشت می‌شود، یک هزینه ۶٬۶۰۰ دلاری در ماهی است که کار انجام شده — نه در ماهی که پیش‌پرداخت کرده‌اید.
سه عادت دفترداری برداشت را صادق نگه می‌دارد:
- ساعت‌ها را مانند پول نقد مغایرت‌گیری کنید. صورت‌حساب ساعت‌های شرکت، صورت‌حساب بانکی شما برای این حساب است. هر ماه موجودی ابتدایی، ساعت‌های برداشت‌شده، نرخ اعمال‌شده و موجودی پایانی را ثبت کنید، حتی در ماه‌های آرام که ثبت «بدون تغییر» است. ماهی که مغایرت‌گیری را متوقف کنید، ماهی است که یک «ارزیابی» ۱۴ ساعته مورد اختلاف از آن رد می‌شود.
- کار انجام‌شده اما هنوز صورت‌حساب‌نشده را تعهدی ثبت کنید. اگر پاسخ‌دهندگان هفته آخر ماه کار کرده‌اند و صورت‌حساب ساعت‌ها اواسط ماه بعد می‌رسد، یک تعهدی ثبت کنید: هزینه امنیتی را بدهکار، حساب پرداختنی را بستانکار کنید. در غیر این صورت ماه حادثه ارزان و ماه صورت‌حساب گران به نظر می‌رسد، و هیچ‌کدام واقعیت را نشان نمی‌دهد.
- ساعت‌های برداشت‌شده را از مازاد در صورت سود و زیان جدا کنید. ساعت‌های برداشت‌شده داخل بلوک و ساعت‌های اضطراری صورت‌حساب‌شده فراتر از آن، رویدادهای اقتصادی متفاوتی با نرخ‌های بسیار متفاوت هستند. یک حساب هزینه فقط در صورتی می‌تواند هر دو را نگه دارد که هرگز نخواهید به این سؤال پاسخ دهید «قرارداد نگهداری واقعاً چه چیزی برای ما ذخیره کرد؟» — پس از زیرحساب‌ها یا یک نظم یادداشتی استفاده کنید که به شما امکان جداسازی آن‌ها را بدهد.
ساعت‌هایی که هرگز استفاده نمی‌کنید: انقضا، انتقال و حذف
بی‌صداترین بند در قرارداد نگهداری این است که با ساعت‌هایی که هرگز برداشت نمی‌کنید چه می‌شود. بیشتر قراردادها یکی از سه رفتار را انتخاب می‌کنند: ساعت‌ها در پایان دوره بی‌ارزش منقضی می‌شوند، بخشی سقف‌دار به دوره بعد منتقل می‌شود، یا ساعت‌های استفاده‌نشده به خدمات پیشگیرانه مانند تمرین‌های رومیزی یا ارزیابی‌های نفوذ تبدیل می‌شوند. برای مثال، سطوح ثبت‌شده آی‌بی‌ام واحدهای خدمات پیشگیرانه را در کنار ساعت‌های پاسخ قرار می‌دهند — یک مسیر تبدیل درونی.
هر چه قراردادتان می‌گوید، دفاترتان باید با آن موافق باشند. اگر ۴۰ ساعت از ۱۰۰ ساعت شما در پایان دوره استفاده‌نشده منقضی شوند، موجودی پیش‌پرداخت باقیمانده دیگر دارایی نیست — یک زیان است. آن را حذف کنید: هزینه امنیتی (یا یک حساب حذف، اگر می‌خواهید انقضا را جداگانه ببینید) را بدهکار، دارایی پیش‌پرداخت را تا صفر بستانکار کنید. نادیده گرفتن این ثبت، راهی است که حساب‌های پیش‌پرداخت موجودی‌های شبح‌وار جمع می‌کنند که سال‌ها دارایی‌ها را بیش از واقع نشان می‌دهند.
طرف ارائه‌دهنده دقیقاً آینه طرف شماست، که دانستنش پیش از مذاکره ارزشمند است. در دفاتر شرکت، پیش‌پرداخت شما به‌عنوان درآمد معوق می‌نشیند — یک بدهی، پولی که برای کاری که هنوز تحویل داده نشده وصول شده — و ساعت‌های استفاده‌نشده‌ای که منقضی می‌شوند در زمان انقضا به درآمد شرکت تبدیل می‌شوند، دسته‌ای که حسابداران آن را سوختن (breakage) می‌نامند. ساعت‌های منقضی شما حاشیه سود آن‌هاست. این انتقاد نیست؛ اهرم است. شرکت‌هایی که از سوختن سود می‌برند اغلب بر سر آن معامله می‌کنند: درخواست سقف انتقال، تبدیل ساعت‌های استفاده‌نشده به خدمات پیشگیرانه، یا یک بلوک کوچک‌تر با نرخ شارژ مجدد ارزان‌تر به جای یک بلوک بزرگ طراحی‌شده برای انقضا. هر ساعتی که به یک تمرین رومیزی تبدیل شود، ساعتی است که دارایی می‌ماند به جای آنکه حذف شود.
نرخ هجوم: ساعت‌های فراتر از بلوک واقعاً چقدر هزینه دارند
اکنون بندی که تعیین می‌کند آیا قرارداد نگهداری هزینه خودش را جبران می‌کند. ساعت‌های داخل بلوک با نرخ برداشتی که در شرایط آرام مذاکره کرده‌اید صورت‌حساب می‌شوند. ساعت‌های فراتر از بلوک — و هر ساعتی برای کسب‌وکاری که اصلاً قرارداد نگهداری ندارد — با نرخ اضطراری صورت‌حساب می‌شوند، و شکاف، کل اقتصاد این محصول است.
تقسیم را روی نقل‌قول‌های خودتان انجام دهید، اما انتظار داشته باشید نرخ اضطراری در بیشتر شرکت‌ها تقریباً ۵۰ تا ۱۵۰ درصد بالاتر از نرخ برداشت باشد — همان شرکتی که بلوک شما را با نرخ ۳۰۰ دلار در ساعت برداشت می‌کند ممکن است اضطراری‌های بدون قرارداد را با نرخ ۴۵۰ تا ۷۵۰ دلار صورت‌حساب کند — در حالی که پروژه‌های اضطراری سطح بالا با نرخ ۸۰۰ تا ۱٬۵۰۰ دلار در ساعت در برابر نرخ‌های برداشت ۱۷۵ تا ۴۰۰ دلار انجام می‌شوند. هجوم همچنین با زمان‌بندی تشدید می‌شود: شب‌ها، آخر هفته‌ها و کارشناسی پزشکی قانونی تخصصی، حق‌بیمه‌ها را روی نرخ اضطراری پایه انباشته می‌کنند.
حساب نقطه سر‌به‌سر به اندازه کافی ساده است که پیش از امضا انجام دهید. (ساعت‌های مورد انتظار × نرخ اضطراری) را با (ساعت‌های مورد انتظار × نرخ برداشت) + هزینه قرارداد نگهداری برای حادثه‌ای به اندازه‌ای که واقعاً برایش برنامه‌ریزی می‌کنید مقایسه کنید. چون هزینه قرارداد نگهداری در برابر ساعت‌های مصرف‌شده اعتبار می‌گیرد، نقطه سر‌به‌سر معمولاً کاملاً داخل یک حادثه جدی واحد قرار می‌گیرد: با نرخ برداشت ۳۰۰ دلار در برابر نرخ اضطراری ۷۵۰ دلار، یک پروژه ۱۰۰ ساعته با قرارداد نگهداری ۳۰٬۰۰۰ دلار به‌علاوه هزینه است در برابر ۷۵٬۰۰۰ دلار بدون آن — هزینه قبل از حادثه دوم خودش را جبران می‌کند، و SLA ارزیابی قراردادی ارزشی روی آن است. بلوک را برای حادثه‌ای که برایش برنامه‌ریزی می‌کنید اندازه بگیرید، نه حادثه‌ای که امیدوارید، و برای مازادی که هنوز بدهکار خواهید بود اگر حادثه بزرگ از بلوک فراتر رود، یک ذخیره نقدی بودجه‌بندی کنید. قرارداد نگهداری نرخ را می‌خرد. حادثه را سقف نمی‌گذارد.
اگر قرارداد نگهداری می‌فروشید، تصویر آینه‌ای اعمال می‌شود
بسیاری از خوانندگان در طرف دیگر این قرارداد هستند — MSPها، مشاوران امنیتی و شرکت‌های IT که بلوک‌ساعت‌های پیش‌پرداخت خودشان را می‌فروشند. حسابداری آینه خریدار است: پیش‌پرداخت مشتری درآمد شما نیست، درآمد معوق است، یک بدهی برای کاری که بدهکارید. درآمد را فقط همان‌گونه که ساعت‌ها تحویل داده می‌شوند شناسایی کنید، موجودی تحویل‌نشده را در ترازنامه نگه دارید (تحت ASC 606 یک بدهی قراردادی است)، و سوختن را به‌عنوان درآمد فقط زمانی شناسایی کنید که ساعت‌ها واقعاً تحت شرایط قرارداد منقضی شوند — نه زمانی که مطمئن هستید مشتری از آن‌ها استفاده نخواهد کرد. همان نظم مغایرت‌گیری اعمال می‌شود: اگر موجودی معوق شما و موجودی پیش‌پرداخت مشتری‌تان با هم اختلاف داشته باشند، یکی از شما اشتباه می‌کند، و گزارش ساعت‌ها آن را حل می‌کند. شرکت‌هایی که کل پیش‌پرداخت را به‌عنوان درآمد روز اول شناسایی می‌کنند، درآمد را بیش از واقع و تعهدات را کم‌نمایش می‌دهند، و شکاف را در جریان بررسی‌های لازم برای فروش کشف می‌کنند، زمانی که خریدار هر دلار کار تحویل‌نشده را به‌عنوان بدهی‌ای که به ارث می‌برد قیمت‌گذاری می‌کند.
سال در یک دفتر کل چگونه به نظر می‌رسد
اینجا یک سال کامل قرارداد نگهداری برای یک خریدار است: یک بلوک ۴۰٬۰۰۰ دلاری از ۱۰۰ ساعت خریداری‌شده در اکتبر، یک حادثه ۲۲ ساعته که در فوریه با نرخ ۳۰۰ دلار در ساعت برداشت شده، ۸ ساعت مازاد اضطراری با نرخ ۷۵۰ دلار در همان حادثه (یک هجوم ۱۵۰ درصدی بالاتر از نرخ برداشت)، و موجودی استفاده‌نشده که هنگام انقضای دوره بدون حادثه بیشتر حذف می‌شود. اگر دفاترتان را در متن ساده نگه می‌دارید، مستندات راه‌اندازی را پوشش می‌دهد، و Fava موجودی پیش‌پرداخت را به نموداری تبدیل می‌کند که می‌توانید در طول دوره خالی شدنش را تماشا کنید:
2025-10-01 open Assets:Cash:Operating USD
2025-10-01 open Assets:Prepaid:IR-Retainer USD
2025-10-01 open Liabilities:Payable USD
2025-10-01 open Expenses:Security:Incident-Response USD
2025-10-01 * "Sentinel IR" "Annual retainer, 100 prepaid hours"
Assets:Prepaid:IR-Retainer 40000.00 USD
Assets:Cash:Operating -40000.00 USD
2026-02-14 * "Sentinel IR" "Containment, 22 hours drawn at 300.00 USD per hour"
Expenses:Security:Incident-Response 6600.00 USD
Assets:Prepaid:IR-Retainer -6600.00 USD
2026-02-20 * "Sentinel IR" "Emergency overage, 8 hours at 750.00 USD per hour"
Expenses:Security:Incident-Response 6000.00 USD
Liabilities:Payable -6000.00 USD
2026-03-02 * "Sentinel IR" "Overage invoice paid"
Liabilities:Payable 6000.00 USD
Assets:Cash:Operating -6000.00 USD
2026-09-30 * "Sentinel IR" "Term expired, unused hours written off"
Expenses:Security:Incident-Response 33400.00 USD
Assets:Prepaid:IR-Retainer -33400.00 USDداستانی که حساب‌ها روایت می‌کنند را بخوانید: ۶٬۶۰۰ دلار پاسخ به حادثه که با نرخ هوای آرام خریده شد، ۶٬۰۰۰ دلار که با نرخ هجوم خریده شد، و ۳۳٬۴۰۰ دلاری که چیزی جز حق تماس نخرید — بهای یک بلوک بزرگ. آن حذف استدلالی علیه قراردادهای نگهداری نیست. استدلالی است برای اندازه‌گیری بلوک بعدی بر اساس تاریخ برداشت امسال به جای پیشنهاد شرکت، و برای مذاکره بر سر تبدیل باقیمانده استفاده‌نشده به کار پیشگیرانه پیش از انقضا.
فهرست بازبینی پایان ماه برای خریداران قرارداد نگهداری
این را در فهرست بازبینی بستن هر ماهی که قرارداد نگهداری فعال است قرار دهید، و نسخه پایان سال خودش نوشته می‌شود:
- صورت‌حساب ساعت‌های شرکت را بگیرید و آن را با موجودی پیش‌پرداخت خود مغایرت‌گیری کنید — ساعت‌های ابتدایی، ساعت‌های برداشت‌شده، نرخ، ساعت‌های پایانی — پیش از آنکه چیزی ثبت کنید.
- ساعت‌های برداشت‌شده را در ماهی که کار انجام شده هزینه کنید، و کار صورت‌حساب‌نشده را در پایان ماه تعهدی ثبت کنید به جای آنکه منتظر صورت‌حساب بمانید.
- مازاد را در زیرحساب خودش نگه دارید تا حق‌بیمه هجوم کنار هزینه نرخ برداشت که از آن فراتر رفته قابل مشاهده بماند.
- تاریخ انقضا را با یک هشدار ۹۰ روزه در تقویم بگذارید: آن زمان تمرین رومیزی را برنامه‌ریزی می‌کنید، بر سر انتقال مذاکره می‌کنید، یا تمدید را درست اندازه‌گیری می‌کنید — نه هفته‌ای که ساعت‌ها می‌میرند.
- در تمدید، کل هزینه حادثه سال گذشته (برداشت + مازاد + حذف) را بر ساعت‌های واقعاً استفاده‌شده تقسیم کنید. آن نرخ ترکیبی، نه نرخ برداشت بروشور، عددی است که بلوک بعدی با آن رقابت می‌کند.
کسب‌وکاری که برای ۲۰۰ ساعتش ۶۰٬۰۰۰ دلار می‌پردازد و آن یکی که ۱۵۰٬۰۰۰ دلار می‌پردازد، قراردادهای متفاوتی خریدند — اما دفاتر متفاوتی هم نگه داشتند. یکی با قرارداد نگهداری به‌عنوان دارایی‌ای که باید مدیریت، مغایرت‌گیری، برداشت و بر اساس شواهد تمدید شود رفتار کرد. دیگری آن را در اکتبر هزینه کرد و نرخ هجوم را به‌عنوان یک غافلگیری تجربه کرد. قرارداد نگهداری را پیش از آنکه نیازش داشته باشید امضا کنید، آن را همان‌گونه که هست ثبت کنید، و بگذارید تاریخ برداشت — نه پیشنهاد فروش — بلوک سال بعد را تعیین کند.
