Due aziende vengono colpite dallo stesso ceppo di ransomware nella stessa settimana. Stesse 200 ore di analisi forense, contenimento e ripristino. Una paga all'incirca $60.000 e ha i responder che fanno triage entro due ore. L'altra paga ben oltre $150.000, trascorre il primo giorno a negoziare un contratto mentre i sistemi restano spenti, e incontra il suo team di risposta per la prima volta durante la settimana peggiore della storia dell'azienda. La differenza non è mai stata il malware. È stato un contratto firmato mesi prima, con il mare calmo — un retainer per la risposta agli incidenti — e se ciascuna azienda avesse capito cosa aveva comprato.
Se la tua azienda dovesse cercare su Google una società di analisi forense mentre gli attaccanti si muovono tra le tue condivisioni di file, questo post fa per te. Spiega cosa compra davvero un retainer IR, come registrare il blocco prepagato sui tuoi libri contabili, cosa succede alle ore che non usi mai e cosa fa la "tariffa di picco" d'emergenza alle ore oltre il blocco. La contabilità conta quanto il contratto: un retainer registrato male gonfia silenziosamente le tue attività per tutto l'anno, poi ti sorprende due volte — una quando le ore inutilizzate scadono, e di nuovo quando arriva la fattura per l'eccedenza.
Cosa compra davvero un retainer
Un retainer per la risposta agli incidenti è un blocco prepagato di ore di responder comprato prima che ci sia qualcosa in fiamme. Paghi in anticipo un numero definito di ore (o crediti) su un termine di 12 mesi e, in cambio, ottieni due cose che un cliente che si presenta senza appuntamento non può comprare: un SLA di triage contrattuale, di solito da una a quattro ore, e una tariffa di consumo pre-negoziata per ogni ora lavorata dall'azienda. Senza di esso, la mobilitazione si estende a 24–72 ore mentre definisci l'ambito e stipuli il contratto partendo da zero, e ogni ora viene fatturata alla tariffa d'emergenza.
Il mercato offre cinque modi per acquistare all'incirca la stessa protezione, e i prezzi pubblicati si raggruppano in modo utile:
| Modello | Cosa paghi | Riferimento pubblicato |
|---|---|---|
| Blocco prepagato / retainer annuale | Canone fisso per un numero prestabilito di ore | IBM X-Force indica $37.000–$105.000/anno; documenti del Regno Unito mostrano livelli da 50/150/250 ore |
| Oraria trattenuta | Canone annuale più una tariffa di consumo per ora usata | Le tariffe trattenute di consumo vanno da circa $175 a $400/h |
| Oraria d'emergenza, senza retainer | Tariffa premium, fatturata per incarico | Il lavoro d'emergenza di primo livello va da $800 a $1.500/h |
| Abbonamento MDR (monitoraggio più risposta) | Abbonamento annuale per utente | Arctic Wolf indica $44.000/anno fino a 100 utenti |
| Team interno | Organico moltiplicato per il costo aziendale | Cinque responder senior è il minimo abituale per una copertura 24/7 reale |
Due cose spiccano. Primo, la maggior parte delle grandi aziende non pubblica alcuna tariffa oraria — Mandiant, CrowdStrike, Kroll e Unit 42 quotano tutte per incarico — quindi i numeri sopra sono riferimenti di pianificazione, non preventivi. Fatti mettere per iscritto le tue tre cifre: la tariffa d'emergenza senza retainer, la tariffa di consumo con retainer e il canone annuale. Secondo, confronta uno qualsiasi di questi prezzi del retainer con la posta in gioco: lo studio 2025 di IBM Cost of a Data Breach colloca la violazione media globale a $4,44 milioni e quella media negli Stati Uniti a un record di $10,22 milioni. Un retainer a cinque cifre è un errore di arrotondamento rispetto a un singolo incidente — ed è esattamente per questo che la sua contabilità merita più attenzione di quella che di solito si riserva a un errore di arrotondamento.
Sui tuoi libri, un retainer è un'attività, non un costo
Ecco l'errore che fanno la maggior parte delle piccole imprese: arriva la fattura del retainer da $40.000 in ottobre, e l'intero importo finisce nella spesa per la sicurezza di quel mese. Ottobre sembra terribile, gli undici mesi successivi sembrano artificialmente puliti, e lo stato patrimoniale non mostra mai ciò che possiedi davvero: $40.000 di tempo futuro dei responder.
Un retainer prepagato è una spesa prepagata, un'attività corrente. Hai pagato in contanti un beneficio economico che non hai ancora consumato: ore di tempo esperto disponibili su richiesta per tutta la durata del contratto. L'acquisto sposta denaro tra conti di attività — la cassa scende, il retainer prepagato sale — e non tocca affatto il conto economico. Solo man mano che le ore vengono consumate (o scadono, ne parliamo sotto) il costo diventa spesa.
Non è pedanteria. Registrare l'intero retainer come costo subito sottostima le tue attività per il saldo non consumato in ogni mese del termine, sovrastima la spesa del primo mese e nasconde lo schema di draw-down che ti dice se il retainer è stato dimensionato bene. Se rinnovi annualmente, la distorsione si ripete ogni anno e la spesa per la sicurezza anno su anno diventa illeggibile. Registra l'attività, poi registra come costo il consumo. La tua chiusura di fine mese ti ringrazierà.
Consumare il blocco man mano che gli incidenti lo erodono
Pensa al blocco prepagato come pensi a un saldo bancario: ogni incidente è un prelievo, e il saldo residuo è un'attività che puoi ancora spendere. Ogni mese (o dopo ciascun incarico), prendi l'estratto ore dalla tua azienda IR e sposta il valore consumato dall'attività prepagata alla spesa per la sicurezza alla tariffa di consumo. Un incarico di contenimento di 22 ore consumato a $300 l'ora è una spesa di $6.600 nel mese in cui il lavoro è avvenuto — non nel mese in cui hai prepagato.
Tre abitudini contabili mantengono onesto il draw-down:
- Riconcilia le ore come la cassa. L'estratto ore dell'azienda è il tuo estratto conto per questo conto. Registra saldo iniziale, ore consumate, tariffa applicata e saldo finale ogni mese, anche nei mesi tranquilli in cui la scrittura è "nessuna variazione". Il mese in cui smetti di riconciliare è il mese in cui passa inosservata una "valutazione" contestata di 14 ore.
- Accantona il lavoro svolto ma non ancora fatturato. Se i responder hanno lavorato l'ultima settimana del mese e l'estratto ore arriva a metà del mese successivo, registra un rateo: addebito spesa per la sicurezza, accredito debito. Altrimenti il mese dell'incidente sembra economico e il mese della fattura sembra costoso, e nessuno dei due riflette la realtà.
- Separa le ore consumate dall'eccedenza nel conto economico. Le ore consumate dentro il blocco e le ore d'emergenza fatturate oltre sono eventi economici diversi a tariffe molto diverse. Un unico conto di spesa può contenerli entrambi solo se non vuoi mai poter rispondere a "quanto ci ha fatto risparmiare davvero il retainer?" — quindi usa sottoconti o una disciplina di note che ti permetta di separarli.
Le ore che non usi mai: scadenza, riporto e svalutazione
La clausola più silenziosa del retainer è cosa succede alle ore che non consumi mai. La maggior parte dei contratti sceglie uno di tre trattamenti: le ore scadono senza valore alla fine del termine, una porzione limitata si riporta al termine successivo, oppure le ore inutilizzate si convertono in servizi proattivi come esercitazioni tabletop o valutazioni di compromissione. I livelli depositati di IBM, per esempio, includono unità di servizio proattivo insieme alle ore di risposta — un percorso di conversione integrato.
Qualunque cosa dica il tuo contratto, i tuoi libri devono essere d'accordo. Se 40 delle tue 100 ore scadono inutilizzate alla fine del termine, il saldo prepagato residuo non è più un'attività — è una perdita. Svalutalo: addebito spesa per la sicurezza (o un conto di svalutazione, se vuoi rendere la scadenza visibile separatamente), accredito dell'attività prepagata a zero. Saltare questa scrittura è il modo in cui i conti prepagati accumulano saldi fantasma che sovrastimano le attività per anni.
Il lato del fornitore rispecchia esattamente il tuo, il che vale la pena sapere prima di negoziare. Sui libri dell'azienda il tuo prepagamento è ricavo differito — una passività, cassa incassata per lavoro non ancora erogato — e le ore inutilizzate che scadono diventano ricavo dell'azienda alla scadenza, una categoria che i contabili chiamano breakage. Le tue ore scadute sono il loro margine. Non è una critica; è leva. Le aziende che guadagnano dalla breakage spesso la barattano: chiedi tetti di riporto, conversione delle ore inutilizzate in servizi proattivi, o un blocco più piccolo con una tariffa di ricarica più economica invece di un blocco grande progettato per scadere. Ogni ora convertita in un'esercitazione tabletop è un'ora che resta un'attività invece di diventare una svalutazione.
La tariffa di picco: quanto costano davvero le ore oltre il blocco
Ora la clausola che decide se il retainer si ripaga da solo. Le ore dentro il blocco vengono fatturate alla tariffa di consumo che hai negoziato in condizioni di calma. Le ore oltre il blocco — e ogni ora per un'azienda senza alcun retainer — vengono fatturate alla tariffa d'emergenza, e il divario è l'intera economia del prodotto.
Fai la divisione sui tuoi preventivi, ma aspettati che la tariffa d'emergenza si collochi all'incirca dal 50 al 150 percento sopra la tariffa di consumo nella maggior parte delle aziende — la stessa azienda che consuma il tuo blocco a $300 l'ora può fatturare emergenze senza appuntamento a $450–$750 — mentre gli incarichi d'emergenza di primo livello vanno da $800 a $1.500 l'ora contro tariffe di consumo di $175–$400. Il picco si somma anche al tempismo: notti, fine settimana e analisi forense specializzata impilano premi sopra la tariffa d'emergenza base.
L'aritmetica del punto di pareggio è abbastanza semplice da calcolare prima di firmare. Confronta (ore previste × tariffa d'emergenza) con (ore previste × tariffa di consumo) + canone del retainer per un incidente della dimensione che pianifichi davvero. Poiché il canone del retainer viene accreditato sulle ore usate, il punto di pareggio di solito sta ben dentro un singolo incidente serio: a una tariffa di consumo di $300 contro una d'emergenza di $750, un incarico di 100 ore costa $30.000 più il canone con un retainer contro $75.000 senza — il canone si ripaga prima del secondo incidente, e lo SLA di triage contrattuale è valore in più. Dimensiona il blocco sull'incidente che pianifichi, non su quello che speri, e metti in budget una riserva di cassa per l'eccedenza che dovrai comunque se il grande evento supera il blocco. Il retainer compra la tariffa. Non limita l'incidente.
Se vendi retainer, vale l'immagine speculare
Molti lettori sono dall'altra parte di questo contratto — MSP, consulenti per la sicurezza e aziende IT che vendono le proprie block-hours prepagate. La contabilità rispecchia quella dell'acquirente: il prepagamento di un cliente non è il tuo ricavo, è ricavo differito, una passività per il lavoro che devi. Riconosci il ricavo solo man mano che le ore vengono erogate, mantieni il saldo non erogato nello stato patrimoniale (secondo l'ASC 606 è una passività contrattuale) e riconosci la breakage come ricavo solo quando le ore scadono davvero secondo i termini del contratto — non quando sei fiducioso che il cliente non le userà. Vale la stessa disciplina di riconciliazione: se il tuo saldo differito e il saldo prepagato del tuo cliente non concordano, uno dei due sbaglia, e il registro delle ore lo risolve. Le aziende che riconoscono l'intero prepagamento come ricavo del primo giorno sovrastimano il reddito, sottostimano gli obblighi e scoprono il divario durante la due diligence per una cessione, quando l'acquirente prezza ogni dollaro di lavoro non erogato come una passività che eredita.
Com'è un anno in un libro mastro
Ecco un anno intero di retainer per un acquirente: un blocco di 100 ore da $40.000 acquistato in ottobre, un incidente di 22 ore consumato a $300 l'ora in febbraio, 8 ore di eccedenza d'emergenza a $750 nello stesso incidente (un picco del 150 percento sopra la tariffa di consumo), e il saldo inutilizzato svalutato alla scadenza del termine senza ulteriori incidenti. Se tieni i libri in plain text, la documentazione copre la configurazione, e Fava trasforma il saldo prepagato in un grafico che puoi guardare svuotarsi lungo il termine:
2025-10-01 open Assets:Cash:Operating USD
2025-10-01 open Assets:Prepaid:IR-Retainer USD
2025-10-01 open Liabilities:Payable USD
2025-10-01 open Expenses:Security:Incident-Response USD
2025-10-01 * "Sentinel IR" "Annual retainer, 100 prepaid hours"
Assets:Prepaid:IR-Retainer 40000.00 USD
Assets:Cash:Operating -40000.00 USD
2026-02-14 * "Sentinel IR" "Containment, 22 hours drawn at 300.00 USD per hour"
Expenses:Security:Incident-Response 6600.00 USD
Assets:Prepaid:IR-Retainer -6600.00 USD
2026-02-20 * "Sentinel IR" "Emergency overage, 8 hours at 750.00 USD per hour"
Expenses:Security:Incident-Response 6000.00 USD
Liabilities:Payable -6000.00 USD
2026-03-02 * "Sentinel IR" "Overage invoice paid"
Liabilities:Payable 6000.00 USD
Assets:Cash:Operating -6000.00 USD
2026-09-30 * "Sentinel IR" "Term expired, unused hours written off"
Expenses:Security:Incident-Response 33400.00 USD
Assets:Prepaid:IR-Retainer -33400.00 USDLeggi la storia che raccontano i conti: $6.600 di risposta agli incidenti comprata alla tariffa di condizioni di calma, $6.000 comprata alla tariffa di picco, e $33.400 che non hanno comprato nulla se non l'opzione di chiamare — il prezzo di un blocco sovradimensionato. Quella svalutazione non è un argomento contro i retainer. È un argomento per dimensionare il prossimo blocco sulla base dello storico di consumo di quest'anno invece che sulla proposta dell'azienda, e per negoziare la conversione del residuo inutilizzato in lavoro proattivo prima che scada.
Una checklist di fine mese per chi compra retainer
Metti questa nella checklist di chiusura per ogni mese in cui il retainer è attivo, e la versione di fine anno si scrive da sola:
- Preleva l'estratto ore dell'azienda e riconcilialo con il tuo saldo prepagato — ore iniziali, ore consumate, tariffa, ore finali — prima di registrare qualsiasi cosa.
- Registra come costo le ore consumate nel mese in cui il lavoro è avvenuto, maturando il lavoro non fatturato a fine mese invece di aspettare l'estratto.
- Tieni l'eccedenza in un sottoconto dedicato così il premio di picco resta visibile accanto alla spesa a tariffa di consumo che ha superato.
- Segna in calendario la data di scadenza con un preavviso di 90 giorni: è allora che programmi l'esercitazione tabletop, negozi il riporto o ridimensioni il rinnovo — non la settimana in cui le ore muoiono.
- Al rinnovo, dividi il costo totale degli incidenti dell'anno scorso (consumo + eccedenza + svalutazione) per le ore effettivamente usate. Quella tariffa ibrida, non la tariffa di consumo del dépliant, è il numero contro cui compete il prossimo blocco.
L'azienda che paga $60.000 per le sue 200 ore e quella che ne paga $150.000 hanno comprato contratti diversi — ma hanno anche tenuto libri diversi. Una ha trattato il retainer come un'attività da gestire, riconciliare, consumare e rinnovare sulla base delle evidenze. L'altra l'ha registrato come costo in ottobre e ha incontrato la tariffa di picco come una sorpresa. Firma il retainer prima di averne bisogno, registralo per quello che è, e lascia che lo storico di consumo — non la proposta commerciale — stabilisca il blocco del prossimo anno.
