Ile naprawdę kosztuje darmowy skaner (TCO policzony na przykładzie)

"Używamy darmowego skanera, więc zarządzanie podatnościami nic nas nie kosztuje." Słyszę to zdanie regularnie i za każdym razem mam ochotę zapytać o jedną rzecz: skoro nic nie kosztuje, to dlaczego ktoś poświęca na to swój czas. Licencja za 0 zł jest darmowa. Proces wokół niej nie jest, tylko jego koszt nie przychodzi w formie faktury, więc łatwo udawać, że go nie ma.

Chcę ten koszt policzyć, ale z twardą zasadą, której się trzymam: żadnych wymyślonych kwot podawanych jako fakt. Cały rachunek stoi na jawnych założeniach, które możesz podmienić na swoje. To ma być "policz sam", a nie "uwierz mojej liczbie".

Scenariusz

Weźmy konkret: 15 serwerów Linux, skanowane darmowym Trivy, świetnym skanerem projektu Aqua Security. Firma podlega pod jakiś reżim audytowy, więc potrzebuje nie tylko skanować, ale też udowadniać proces. To typowa sytuacja małej lub średniej firmy pod KSC czy ISO 27001.

Policzymy cztery składniki, z których żaden nie jest w cenie licencji.

Składnik 1: czas admina na przegląd i konsolidację

Trivy da Ci wynik per maszyna. Ktoś musi te wyniki przejrzeć, odsiać szum, skonsolidować w jeden obraz floty i zdecydować, co z tym zrobić. Przy 15 maszynach to nie jest zero.

Założenie do podmiany: X godzin miesięcznie na przegląd i konsolidację. Powiedzmy roboczo 6 godzin. Stawka godzinowa admina jako parametr, nazwijmy ją S. Koszt miesięczny tego składnika to 6 razy S, rocznie 72 razy S. Jeśli u Ciebie admin robi to w 3 godziny, wstaw 3. Jeśli w 12, wstaw 12. Chodzi o to, żeby liczba była Twoja, nie moja.

Składnik 2: budowa i utrzymanie nadbudowy

Sam skan to za mało na audyt, o czym pisałem osobno. Potrzebujesz warstwy procesu: historia skanów, terminy napraw, właściciele, raporty. Jeśli używasz tylko darmowego skanera, tę warstwę budujesz sam: baza na wyniki, skrypty porównujące skany w czasie, arkusz albo prosty system na terminy, generator raportów.

To ma dwa koszty. Jednorazowy koszt budowy, liczony w dniach albo tygodniach pracy, zależnie od ambicji. I stały koszt utrzymania, bo skrypty się psują, formaty się zmieniają, ktoś musi to doglądać. We własnym rachunku wpisz D dni budowy razy dniówka oraz rzeczywistą liczbę godzin utrzymania miesięcznie. Ten składnik jest najbardziej niedoszacowywany, bo budowę robi się raz z entuzjazmem, a utrzymanie ciągnie się latami po cichu.

Składnik 3: przygotowanie dowodów na audyt

Raz w roku, albo częściej, ktoś składa dowody za okres. W modelu darmowego skanera bez porządnej nadbudowy to jest to, o czym pisałem: dni zbierania screenshotów i rekonstruowania historii. Założenie do podmiany: liczba dni pracy przed audytem razy dniówka. Jeśli masz dobrą nadbudowę z punktu 2, ten koszt spada, ale wtedy urósł punkt 2. Koszt nie znika, tylko przenosi się między rubrykami.

Składnik 4: ryzyko operacyjne

Tego nie wycenię kwotowo, bo każda liczba byłaby zmyślona, a obiecałem tego nie robić. Opiszę jakościowo, bo pominięcie tego składnika byłoby nieuczciwe w drugą stronę.

Nieodnotowany critical. W ręcznym procesie łatwo o to, żeby jedna krytyczna podatność przepadła w szumie i nikt jej nie obsłużył w terminie. Koszt takiego zdarzenia jest zerowy, dopóki nie jest katastrofalny, i to jest właśnie natura ryzyka.

Odejście jedynej osoby. Nadbudowa z punktu 2 zwykle mieszka w głowie jednej osoby. Gdy ta osoba odchodzi, proces odchodzi z nią, a odtworzenie go kosztuje więcej niż zbudowanie od nowa. To realny koszt, którego nikt nie wpisuje do arkusza, dopóki nie uderzy.

Jeden przeliczony wariant

Zbierzmy to z jawnymi założeniami, które nazywam wprost: admin 6 godzin miesięcznie na przegląd, stawka S, budowa nadbudowy jednorazowo 5 dni, utrzymanie 3 godziny miesięcznie, przygotowanie audytu 4 dni rocznie, dniówka jako 8 razy S.

Rocznie w godzinach admina: przegląd 72 godziny, utrzymanie 36 godzin, audyt 32 godziny, budowa rozłożona przez amortyzację 8 godzin przy założeniu, że nadbudowa żyje pięć lat. Razem około 148 godzin rocznie razy S, plus ryzyko operacyjne, którego nie wyceniam. Podstaw swoją stawkę S i dostaniesz konkretną liczbę, która nie jest moja, tylko Twoja, i którą możesz porównać z ceną gotowej platformy.

Uczciwie po drugiej stronie: gotowa platforma to też koszt, roczny abonament, który trzeba wpisać jawnie. Sens rachunku nie polega na tym, żeby wyszło "darmowe jest drogie", tylko żeby oba scenariusze były policzone tą samą miarą. Dopiero wtedy porównanie ma wartość.

Kiedy darmowe naprawdę wygrywa

I tu jest punkt, którego nie ominę. Przy 2 czy 3 serwerach i braku obowiązku audytowego cały ten rachunek wygląda inaczej: przegląd zajmuje pół godziny, nadbudowa nie jest potrzebna, bo nie ma komu udowadniać procesu, audytu nie ma. W tym scenariuszu darmowy skaner wygrywa i płatna platforma byłaby wydatkiem bez zwrotu. To nie jest ustępstwo, tylko uczciwa część tego samego rachunku: koszty rosną z liczbą maszyn i z wymogiem dowodowym, a przy małej skali są realnie bliskie zeru.

Policz swój wariant

Jeśli chcesz zobaczyć te trzy drogi zestawione obok siebie, darmowy skaner sam, skaner z własną nadbudową i skaner z gotową nadbudową, z kosztami i ograniczeniami każdej, porównaj je na jednej stronie.

Darmowy skaner jest darmowy w rubryce "licencja". W rubryce "całkowity koszt posiadania" ma cenę, tylko płaci się ją w godzinach i w ryzyku, a nie przelewem. Warto tę cenę policzyć świadomie, zanim policzy ją za Ciebie audyt albo odejście jednej osoby.

Źródła i założenia

• Trivy: oficjalna dokumentacja skanera
• Oficjalne FAQ do ustawy o KSC

Podane 148 godzin to wyłącznie ilustracja oparta na jawnych założeniach z tekstu, a nie średnia rynkowa.