Дві компанії зазнають атаки одного й того ж штаму програм-вимагачів того самого тижня. Ті самі 200 годин криміналістики, стримування та відновлення. Одна платить приблизно $60 000, і її фахівці з реагування починають сортування протягом двох годин. Інша платить значно більше $150 000, витрачає перший день на узгодження контракту, поки системи залишаються вимкненими, і вперше зустрічає свою команду реагування під час найгіршого тижня в історії компанії. Різниця ніколи не була в зловредному програмному забезпеченні. Вона була в контракті, підписаному місяцями раніше, у спокійну погоду — retainer для реагування на інциденти — і в тому, чи розуміла кожна компанія, що саме вона купила.
Якщо вашій компанії довелося б шукати в Google криміналістичну фірму, поки зловмисники рухаються вашими файловими ресурсами, ця стаття для вас. Вона пояснює, що насправді купує retainer для реагування на інциденти, як обліковувати передоплачений блок у власних книгах, що відбувається з годинами, які ви ніколи не використали, і що аварійна «ставка підсилення» робить із годинами понад блок. Бухгалтерський облік тут важливий не менше за контракт: неправильно облікований retainer тихо завищує ваші активи цілий рік, а потім дивує вас двічі — спочатку коли невикористані години спливають, а потім коли надходить рахунок за перевитрату.
Що насправді купує retainer
Retainer для реагування на інциденти — це передоплачений блок годин фахівців із реагування, куплений до того, як щось загориться. Ви платите наперед за визначену кількість годин (або кредитів) на 12-місячний термін, і в обмін отримуєте дві речі, які не може купити клієнт «з вулиці»: законтрактований SLA на сортування, зазвичай від однієї до чотирьох годин, і попередньо узгоджену ставку списання за кожну годину роботи фірми. Без нього мобілізація розтягується до 24–72 годин, поки ви визначаєте обсяг і укладаєте контракт із нуля, а кожна година тарифікується за аварійною ставкою.
Ринок пропонує п'ять способів купити приблизно однаковий захист, і опубліковані ціни корисним чином групуються:
| Модель | Що ви платите | Опублікований орієнтир |
|---|---|---|
| Передоплачений блок / річний retainer | Фіксована плата за встановлену кількість годин | IBM X-Force вказує $37 000–$105 000/рік; британські документи показують рівні 50/150/250 годин |
| Погодинний із утриманням | Річна плата плюс ставка списання за використану годину | Утримувані ставки списання становлять близько $175–$400/год |
| Погодинний аварійний, без retainer | Преміальна ставка, рахунок за кожне залучення | Аварійна робота топрівня становить $800–$1 500/год |
| Підписка MDR (моніторинг плюс реагування) | Річна підписка на користувача | Arctic Wolf вказує $44 000/рік для до 100 користувачів |
| Внутрішня команда | Кількість працівників × повна вартість | П'ять старших фахівців із реагування — звичайний мінімум для справжнього цілодобового покриття |
Виокремлюються дві речі. По-перше, більшість великих фірм узагалі не публікують погодинної ставки — Mandiant, CrowdStrike, Kroll і Unit 42 усі надають ціну за кожне залучення — тож наведені цифри є орієнтирами для планування, а не пропозиціями. Отримайте власні три цифри письмово: аварійна ставка без retainer, ставка списання за retainer і річна плата. По-друге, порівняйте будь-яку з цих цін retainer із масштабом ставок: дослідження IBM 2025 Cost of a Data Breach показує середню глобальну вартість порушення $4,44 мільйона, а середню для США — рекордні $10,22 мільйона. Retainer із п'ятизначною сумою — це похибка округлення порівняно з одним інцидентом, і саме тому його облік заслуговує більшої уваги, ніж зазвичай отримує похибка округлення.
У ваших книгах retainer — це актив, а не витрата
Ось помилка, якої припускається більшість малих компаній: рахунок за retainer на $40 000 надходить у жовтні, і вся сума потрапляє до витрат на безпеку цього місяця. Жовтень виглядає жахливо, наступні одинадцять місяців виглядають штучно чистими, а баланс ніколи не показує того, чим ви насправді володієте — $40 000 майбутнього часу фахівців із реагування.
Передоплачений retainer — це передоплачена витрата, поточний актив. Ви заплатили готівкою за економічну вигоду, яку ще не спожили: години експертного часу, доступні на вимогу протягом терміну контракту. Покупка переміщує гроші між рахунками активів — готівка зменшується, передоплачений retainer збільшується — і взагалі не торкається звіту про прибутки та збитки. Лише коли години списуються (або спливають, докладніше про це нижче), витрата стає витратою.
Це не педантизм. Віднесення всього retainer до витрат наперед занижує ваші активи на неспожитий залишок щомісяця протягом терміну, завищує витрати першого місяця та приховує схему списання, яка показує, чи правильно підібрано розмір retainer. Якщо ви поновлюєте його щороку, спотворення повторюється щороку, і витрати на безпеку рік до року стають нечитабельними. Обліковуйте актив, потім відносьте на витрати споживання. Ваше закриття місяця вам подякує.
Списання блоку в міру використання його інцидентами
Сприймайте передоплачений блок так, як ви сприймаєте залишок у банку: кожен інцидент — це зняття, а залишок — це актив, який ви ще можете витратити. Щомісяця (або після кожного залучення) беріть звіт про години від вашої фірми з реагування на інциденти та переміщуйте спожиту вартість із передоплаченого активу до витрат на безпеку за ставкою списання. Залучення зі стримування на 22 години за ставкою $300 на годину — це витрата $6 600 у місяці, коли відбулася робота, а не в місяці, коли ви платили наперед.
Три звички обліку підтримують чесність списання:
- Звіряйте години як готівку. Звіт про години фірми — це ваша банківська виписка для цього рахунку. Записуйте початковий залишок, списані години, застосовану ставку та кінцевий залишок щомісяця, навіть у спокійні місяці, коли проведення — «без змін». Місяць, коли ви припиняєте звірку, — це місяць, коли прослизає спірне «оцінювання» на 14 годин.
- Нараховуйте виконану, але ще не виставлену роботу. Якщо фахівці з реагування працювали в останній тиждень місяця, а звіт про години надходить у середині наступного місяця, зробіть нарахування: дебет витрат на безпеку, кредит кредиторської заборгованості. Інакше місяць інциденту виглядає дешевим, а місяць рахунку — дорогим, і жодне з цього не відображає реальності.
- Відокремлюйте списані години від перевитрати у звіті про прибутки та збитки. Години, списані в межах блоку, і аварійні години, виставлені понад нього, — це різні економічні події за дуже різними ставками. Один рахунок витрат може вмістити обидві, лише якщо ви ніколи не захочете відповісти на питання «скільки насправді заощадив нам retainer?» — тож використовуйте субрахунки або дисципліну мемо-обліку, яка дозволяє їх розділяти.
Години, які ви ніколи не використовуєте: сплив, перенесення та списання
Найтихіший пункт у retainer — те, що відбувається з годинами, які ви ніколи не списали. Більшість контрактів обирає одне з трьох рішень: години спливають без вартості в кінці терміну, обмежена частина переноситься на наступний термін, або невикористані години конвертуються в проактивні послуги, як-от навчальні навчання (tabletop exercises) чи оцінювання компрометації. Подані рівні IBM, наприклад, поєднують блоки проактивних послуг разом із годинами реагування — вбудований шлях конверсії.
Що б не казав ваш контракт, ваші книги повинні з ним узгоджуватися. Якщо 40 із ваших 100 годин спливають невикористаними в кінці терміну, залишок передоплати більше не є активом — це збиток. Спішіть його: дебет витрат на безпеку (або рахунку списання, якщо ви хочете бачити сплив окремо), кредит передоплаченого активу до нуля. Пропуск цього проведення — це те, як рахунки передоплат накопичують фантомні залишки, що завищують активи роками.
Сторона постачальника дзеркально відображає вашу, що варто знати до переговорів. У книгах фірми ваша передоплата обліковується як відкладений дохід — зобов'язання, готівка, отримана за ще не надану роботу — і невикористані години, що спливають, стають доходом фірми в момент спливу, категорія, яку бухгалтери називають breakage. Ваші прострочені години — це їхня маржа. Це не критика; це важіль. Фірми, які заробляють на breakage, часто готові цим торгувати: просіть обмеження на перенесення, конверсію невикористаних годин у проактивні послуги або менший блок із дешевшою ставкою поповнення замість великого блоку, розрахованого на сплив. Кожна година, конвертована в навчальне навчання, — це година, що залишається активом, а не стає списанням.
Ставка підсилення: скільки насправді коштують години понад блок
Тепер пункт, який вирішує, чи retainer окупає себе. Години в межах блоку тарифікуються за ставкою списання, яку ви узгодили в спокійних умовах. Години понад блок — і кожна година для компанії без retainer узагалі — тарифікуються за аварійною ставкою, і ця різниця і є всією економікою продукту.
Зробіть ділення на власних пропозиціях, але очікуйте, що аварійна ставка буде приблизно на 50–150 відсотків вищою за ставку списання в більшості фірм — та сама установа, яка списує ваш блок за $300 на годину, може виставляти аварійні залучення «з вулиці» за $450–$750 — тоді як аварійні залучення топрівня становлять $800–$1 500 на годину проти ставок списання $175–$400. Підсилення також посилюється з часом: ночі, вихідні та спеціалізована криміналістика накладають премії поверх базової аварійної ставки.
Арифметика точки беззбитковості достатньо проста, щоб порахувати її до підписання. Порівняйте (очікувані години × аварійна ставка) з (очікувані години × ставка списання) + плата за retainer для інциденту того масштабу, на який ви насправді розраховуєте. Оскільки плата за retainer зараховується проти використаних годин, точка беззбитковості зазвичай лежить значно всередині одного серйозного інциденту: за ставки списання $300 проти аварійної ставки $750 залучення на 100 годин коштує $30 000 плюс плата з retainer проти $75 000 без нього — плата окупається ще до другого інциденту, а законтрактований SLA на сортування є додатковою цінністю. Підбирайте розмір блоку під інцидент, на який ви розраховуєте, а не під інцидент, на який ви сподіваєтеся, і закладайте грошовий резерв на перевитрату, яку вам все одно доведеться сплатити, якщо великий інцидент вийде за межі блоку. Retainer купує ставку. Він не обмежує інцидент.
Якщо ви продаєте retainers, діє дзеркальне відображення
Багато читачів перебувають з іншого боку цього контракту — MSP, консультанти з безпеки та IT-фірми, що продають власні передоплачені блок-години. Облік дзеркально відображає облік покупця: передоплата клієнта — це не ваш дохід, це відкладений дохід, зобов'язання за роботу, яку ви винні. Визнавайте дохід лише в міру надання годин, тримайте ненаданий залишок на балансі (за ASC 606 це контрактне зобов'язання) і визнавайте breakage як дохід лише тоді, коли години справді спливають за умовами контракту — а не тоді, коли ви впевнені, що клієнт їх не використає. Застосовується та сама дисципліна звірки: якщо ваш відкладений залишок і передоплачений залишок клієнта не збігаються, хтось із вас помиляється, і журнал годин це вирішує. Фірми, які визнають усю передоплату як дохід першого дня, завищують дохід, занижують зобов'язання і виявляють розрив під час комплексної перевірки для продажу, коли покупець оцінює кожен долар ненаданої роботи як зобов'язання, яке він успадковує.
Як виглядає рік у книзі
Ось повний рік retainer для покупця: блок на $40 000 зі 100 годин, куплений у жовтні, інцидент на 22 години, списаний за $300 на годину в лютому, 8 аварійних годин перевитрати за $750 у тому самому інциденті (підсилення на 150 відсотків понад ставку списання) і невикористаний залишок, списаний, коли термін спливає без подальших інцидентів. Якщо ви ведете книги в простому текстовому форматі, документація описує налаштування, а Fava перетворює передоплачений залишок у графік, який ви можете спостерігати, як він вичерпується протягом терміну:
2025-10-01 open Assets:Cash:Operating USD
2025-10-01 open Assets:Prepaid:IR-Retainer USD
2025-10-01 open Liabilities:Payable USD
2025-10-01 open Expenses:Security:Incident-Response USD
2025-10-01 * "Sentinel IR" "Annual retainer, 100 prepaid hours"
Assets:Prepaid:IR-Retainer 40000.00 USD
Assets:Cash:Operating -40000.00 USD
2026-02-14 * "Sentinel IR" "Containment, 22 hours drawn at 300.00 USD per hour"
Expenses:Security:Incident-Response 6600.00 USD
Assets:Prepaid:IR-Retainer -6600.00 USD
2026-02-20 * "Sentinel IR" "Emergency overage, 8 hours at 750.00 USD per hour"
Expenses:Security:Incident-Response 6000.00 USD
Liabilities:Payable -6000.00 USD
2026-03-02 * "Sentinel IR" "Overage invoice paid"
Liabilities:Payable 6000.00 USD
Assets:Cash:Operating -6000.00 USD
2026-09-30 * "Sentinel IR" "Term expired, unused hours written off"
Expenses:Security:Incident-Response 33400.00 USD
Assets:Prepaid:IR-Retainer -33400.00 USDПрочитайте історію, яку розповідають рахунки: $6 600 реагування на інцидент, купленого за спокійною ставкою, $6 000, купленого за ставкою підсилення, і $33 400, що не купили нічого, крім опції зателефонувати — ціна завеликого блоку. Це списання — не аргумент проти retainers. Це аргумент за підбір розміру наступного блоку з історії списань цього року, а не з пропозиції фірми, і за узгодження конверсії невикористаного залишку в проактивну роботу до його спливу.
Контрольний список закриття місяця для покупців retainer
Додайте це до контрольного списку закриття кожного місяця, коли retainer активний, і версія на кінець року напишеться сама:
- Отримайте звіт про години фірми та звірте його з вашим передоплаченим залишком — початкові години, списані години, ставка, кінцеві години — перш ніж щось обліковувати.
- Відносьте списані години на витрати в місяці, коли відбулася робота, нараховуючи невиставлену роботу в кінці місяця, а не чекаючи на звіт.
- Тримайте перевитрату в окремому субрахунку, щоб премія за підсилення залишалася видимою поруч із витратами за ставкою списання, які вона перевищила.
- Занесіть дату спливу в календар із попередженням за 90 днів: саме тоді ви плануєте навчальне навчання, узгоджуєте перенесення або коригуєте розмір поновлення — а не того тижня, коли години вмирають.
- Під час поновлення поділіть загальну вартість інцидентів за минулий рік (списане + перевитрата + списання) на фактично використані години. Ця змішана ставка, а не ставка списання з брошури, — це число, з яким конкурує наступний блок.
Компанія, яка платить $60 000 за свої 200 годин, і та, що платить $150 000, купили різні контракти — але вони також вели різні книги. Одна ставилася до retainer як до активу, яким треба керувати, звіряти, списувати й поновлювати на основі доказів. Інша віднесла його до витрат у жовтні та зустріла ставку підсилення як несподіванку. Підпишіть retainer до того, як він вам знадобиться, обліковуйте його як те, чим він є, і нехай історія списань — а не комерційна пропозиція — визначає блок наступного року.
