Ile kosztuje porządek w podatnościach: policz sam

Seria „Od pierwszego serwera do raportu”, odcinek 3 z 9

Na spotkaniu o wdrożeniu ktoś pyta, ile to właściwie kosztuje. Pada cena abonamentu, po czym rozmowa staje. Brakuje drugiej strony porównania: ile czasu firma przeznacza dziś na zebranie wyników, ich uporządkowanie i przygotowanie informacji dla zespołu lub zarządu? Nie chodzi o wycenianie ryzyka incydentu ani o obietnicę, że praca zniknie. Chodzi o własny, jawny rachunek.

Poniższy kalkulator porównuje szacowany koszt pracy w dwóch wariantach. Wpisujesz wielkość floty, godziny, które poświęcasz lub poświęciłbyś na ręczny proces, własną stawkę godzinową oraz czas, który nadal zostanie z Secvalis. To Ty dostarczasz założenia. Wynik jest tylko tak dobry, jak te założenia.

Co dziś robisz ręcznie (albo co musiałbyś robić)

Przez ręczny proces rozumiem powtarzalne zbieranie i zestawianie informacji o podatnościach. Administrator uruchamia skaner, na przykład Trivy, odkłada wyniki, porządkuje listę, ustala plan dalszych działań i składa raport. W większej flocie dane mogą pochodzić z różnych hostów, a ich format lub moment wykonania może się różnić. Zanim da się je omówić, ktoś musi ustalić, co jest aktualne i jak powiązać pozycję z właściwą maszyną.

Nie wliczaj tu automatycznie całej pracy administratora. Instalowanie poprawek, testowanie aplikacji, akceptowanie ryzyka i organizowanie okna serwisowego pozostają osobnymi zadaniami. Kalkulator dotyczy zbierania i zestawiania wyników podatności. Jeśli dzisiaj takiego procesu nie ma, wybierz tryb „dopiero muszę zacząć” i oszacuj, ile czasu zajęłoby jego regularne wykonywanie. Nie wpisuj zera tylko dlatego, że praca nie została jeszcze przypisana do timesheetu.

Tryb „robię to dziś ręcznie” pasuje, gdy masz już cykliczny proces i możesz zmierzyć jego aktywny czas. Tryb „dopiero muszę zacząć” służy firmie, która chce porównać koszt usługi z nakładem potrzebnym na uruchomienie własnego procesu. W obu przypadkach pytanie o godziny znaczy to samo: ile czasu w miesiącu zajmuje albo zajęłoby zbieranie i zestawianie wyników dla całej wskazanej floty?

Dlaczego ta praca trwa dłużej, niż się zakłada

Pod polem H kalkulator pokazuje osiem kroków, które składają się na cały cykl:

1. logowanie na każdą maszynę i uruchomienie skanera (np. Trivy)
2. zebranie i zapis wyników w jednym miejscu
3. łączenie duplikatów: ta sama CVE na wielu maszynach
4. sprawdzenie każdej CVE: ważność, znane exploity, CISA KEV, czy pakiet jest faktycznie używany
5. ustalenie priorytetów i terminów, plan działań
6. sprawdzenie, co z poprzedniej listy zostało naprawione
7. pilnowanie systemów bez wsparcia producenta (EOL)
8. raport albo notatka dla przełożonego, audytora lub klienta

Skanowanie można zautomatyzować, na przykład Ansible. To nie ono zjada czas. Najwięcej pracy zajmuje triaż. Przy 10 serwerach i 2-3 tys. wyników HIGH/CRITICAL na serwer otrzymujesz 20-30 tys. pozycji. Ile unikalnych CVE zostanie po deduplikacji, zależy od tego, jak podobne są serwery. Jeśli przyjąć 2-6 tys., sprawdzenie każdej przez 3 minuty zajęłoby 100-300 h. W praktyce grupuje się więc pracę według pakietu i poprawki, a osobno sprawdza pozycje z KEV, wysokim EPSS lub ważnym kontekstem. Do tego dochodzą poprawki przenoszone przez dostawcę dystrybucji do starszych wersji pakietów (backport). Sam numer wersji upstream może wtedy wprowadzać w błąd, a niejasne przypadki trzeba sprawdzić w komunikacie dostawcy.

Poniższe liczby to szacunek modelowy dla 10 serwerów, a nie pomiar u klientów.

Krok	Kolejny miesiąc	Pierwszy miesiąc
a. Logowanie i skanowanie	1-3 h	2-4 h
b. Zebranie i zapis wyników	2-4 h	4-8 h
c. Łączenie duplikatów	3-6 h	8-16 h
d. Weryfikacja CVE i triaż	8-18 h	25-60 h
e. Priorytety, terminy i plan	4-7 h	8-16 h
f. Kontrola poprzedniej listy	3-5 h	0-2 h
g. Systemy EOL	1-2 h	2-5 h
h. Raport lub notatka	2-4 h	4-8 h
Razem	24-49 h	53-119 h

Model zakłada około 80-160 nowych lub zmienionych pozycji miesięcznie wymagających decyzji oraz 3-6 minut na pozycję. Największą niewiadomą jest liczba pozycji wymagających ręcznej decyzji.

To praca nudna, nielubiana i odwlekana. Brałem udział w audytach. Za każdym razem zbieranie i opracowanie danych było najnudniejszą częścią i odkładano je tak długo, jak się dało. W efekcie praca nie odbywa się co miesiąc, zaległość rośnie, a w dowodach dla audytora widać lukę. Stąd osobna kolumna „pierwszy miesiąc”. Budżetowanie 4 h miesięcznie dla 10 serwerów zwykle oznacza, że część kroków po prostu się nie odbywa.

Do kalkulatora wpisz ustabilizowany miesiąc, nie pierwszy. Zaległości nie doliczaj do miesięcznej oszczędności.

Jak zmierzyć aktywny czas

Najlepiej przez kilka cykli zapisuj czas rzeczywiście poświęcony na kolejne kroki. Oddziel pracę człowieka od czasu, w którym skaner działa sam. Zanotuj przygotowanie uruchomienia, sprawdzenie komunikatów, zebranie plików, połączenie danych, przegląd listy, ustalenie planu i przygotowanie raportu. Nie musisz tworzyć rozbudowanego systemu pomiarowego. Wystarczy notatka przy zadaniu albo arkusz z datą, zakresem i czasem aktywnej pracy.

Jeśli nie masz pomiaru, wpisz własne oszacowanie i nazwij je oszacowaniem. Dla przykładu przyjmijmy 30 godzin miesięcznie dla 10 serwerów. To szacunek, nie pomiar u klienta. Tabela wyżej pokazuje modelowy zakres dla kolejnego i pierwszego miesiąca. Możesz sprawdzić wynik także dla mniejszej i większej liczby godzin. Zobaczysz wtedy, które założenie najbardziej zmienia rachunek.

Stawka godzinowa również należy do firmy. Przyjmij koszt godziny pracy administratora stosowany w Twoich kalkulacjach, netto. Nie jest to koniecznie kwota z wynagrodzenia podzielonego przez czas pracy. Firma może uwzględniać koszty pracodawcy lub przyjąć wewnętrzną stawkę rozliczeniową. Ważne, żeby tę samą stawkę zastosować w obu wariantach.

Jak działa kalkulator

W obu trybach wpisujesz liczbę maszyn N, godziny H, stawkę R oraz godziny Hs, które nadal będą potrzebne po wdrożeniu usługi. W trybie „robię to dziś ręcznie” H to czas, który już poświęcasz. W trybie „dopiero muszę zacząć” H to czas, jaki zajęłoby Ci robienie tego ręcznie. Hs to zwykle ok. 30 minut w tygodniu, czyli ok. 2 h w miesiącu: po zalogowaniu sprawdzasz, co się zmieniło i co jest pilne. Skany według harmonogramu ustawionego raz przy wdrożeniu agenta, zestawienie i raport robi Secvalis. W miesiącu z audytem albo pilną pozycją KEV ten czas może być większy. Kalkulator przyjmie też Hs równe H albo większe. Wtedy wynik wyjdzie ujemny i pokażemy go wprost.

Wyniki pokazują następujący rachunek:

• Dziś: H × R
• Z Secvalis: Hs × R + cena planu
• Różnica miesięczna: koszt dziś minus koszt z Secvalis
• Różnica roczna przy płatności miesięcznej: 12 × różnica miesięczna
• Różnica roczna przy płatności rocznej: 12 × (H - Hs) × R - 10 × cena miesięczna planu

To porównanie szacowanego kosztu pracy i abonamentu. Dodatni wynik oznacza, że w podanych założeniach koszt pracy dziś jest wyższy niż pozostały czas pracy wraz z abonamentem. Nie dowodzi, że firma obniży wydatki o tę kwotę. Odzyskany czas może zostać przeznaczony na inne zadania, a nie zmniejszyć budżet płac.

Przed interpretacją ustaw liczbę maszyn, która ma być rozliczana. Przy zerze kalkulator nie dobiera planu. Powyżej 200 maszyn cena jest indywidualna, więc nie ma podstaw do wyliczenia końcowej różnicy. Puste godziny nie oznaczają zerowego czasu; wpisz wartość dopiero po własnym pomiarze lub oszacowaniu.

Progi cenowe i płatność roczna

Poniżej przedstawiono miesięczny cennik netto i koszt abonamentu w przeliczeniu na jedną maszynę. Roczna opłata wynosi dziesięć miesięcznych opłat. Dla progów pokazuję całą zmianę. Od 11 do 25 maszyn zostajesz na STARTER i dokupujesz pakiety po 5 maszyn za 99 zł netto miesięcznie, najwyżej trzy. Przy 26 maszynach zaczyna się PRO, a przy 51 BUSINESS.

Liczba maszyn	Plan	Abonament miesięczny netto	Koszt miesięczny na maszynę
9	STARTER	199 zł	22,11 zł
10	STARTER	199 zł	19,90 zł
11	STARTER + 1 pakiet	298 zł	27,09 zł
15	STARTER + 1 pakiet	298 zł	19,87 zł
16	STARTER + 2 pakiety	397 zł	24,81 zł
25	STARTER + 3 pakiety	496 zł	19,84 zł
26	PRO	649 zł	24,96 zł
50	PRO	649 zł	12,98 zł
51	BUSINESS	1999 zł	39,20 zł
200	BUSINESS	1999 zł	10,00 zł

To są ceny planów, nie prognoza kosztów pracy. Widzisz też, dlaczego warto sprawdzić swój próg zamiast dzielić najniższą cenę przez dowolną liczbę serwerów. Koszt na maszynę zmienia się skokowo przy zmianie planu. Przy płatności rocznej suma odpowiada dziesięciu opłatom miesięcznym, nie dwunastu.

Dla STARTER daje to 1990 zł netto rocznie (z pakietami 2980, 3970 albo 4960 zł), dla PRO 6490 zł, a dla BUSINESS 19990 zł. Kalkulator powinien pokazywać zarówno koszt miesięczny, jak i roczny zgodny z rzeczywistą opłatą roczną. Nie porównuj rocznej opłaty usługi z jednym miesiącem własnej pracy. Zestaw ten sam okres po obu stronach.

Dwa przykładowe scenariusze

Scenariusz dodatni, wyłącznie przykład. Przyjmijmy 10 serwerów, 30 godzin miesięcznie i przykładową stawkę 150 zł netto za godzinę. To nie jest stawka rynkowa ani rekomendacja. Ręczna praca to 30 × 150 zł, czyli 4500 zł miesięcznie. Jeśli po wdrożeniu zostaną 2 godziny pracy, koszt z usługą wynosi 2 × 150 zł + 199 zł abonamentu, czyli 499 zł. Różnica szacunkowa to 4001 zł miesięcznie. To przykład, nie pomiar klienta ani prognoza dla Twojej organizacji. Podmień godziny i stawkę na swoje dane.

Scenariusz ujemny, również przykład. Dla 9 maszyn przyjmijmy 1 godzinę ręcznej pracy miesięcznie, 1 godzinę po wdrożeniu i tę samą przykładową stawkę 150 zł. Koszt pracy dziś wynosi 150 zł, a koszt z usługą 150 zł plus 199 zł, czyli 349 zł. W takim rachunku abonament podnosi szacowany koszt o 199 zł miesięcznie. To prawidłowy wynik, jeśli takie są Twoje założenia. Nie należy go poprawiać przez dopisanie fikcyjnych godzin ani przez wycenę ryzyka incydentu.

Scenariusze nie opisują klientów i nie przewidują efektu dla Twojej organizacji. Stawka 150 zł służy wyłącznie pokazaniu działania mnożenia. Zmień ją na własną. Jeżeli wynik zmienia znak po małej zmianie godzin, to cenna informacja: warto dokładniej zmierzyć proces przed podjęciem decyzji.

Kiedy wynik jest ujemny

Wynik ujemny oznacza, że w podanym scenariuszu szacowany koszt usługi i pozostałego czasu jest wyższy niż szacowany koszt obecnej pracy ręcznej. Powinien pozostać widoczny. Nie musi jednak samodzielnie rozstrzygać, czy usługa jest potrzebna. Cena to tylko jeden z elementów decyzji o sposobie pracy.

Możesz nadal brać pod uwagę uporządkowaną listę zadań dla administratora, raport dla zarządu albo materiały wspierające przygotowanie dowodów. Te korzyści trzeba ocenić oddzielnie, w odniesieniu do procesu firmy. Kalkulator ich nie wycenia i nie zamienia na umowne złotówki. Nie oblicza też kosztu incydentu, kar ani zgodności z przepisami.

Sprawdź wrażliwość wyniku: zmień liczbę godzin pracy pozostałej z usługą, własną stawkę i rozmiar floty. Zadaj sobie pytanie, czy wprowadzone godziny zawierają tylko powtarzalne zbieranie oraz zestawianie informacji. Jeśli uwzględniłeś aktualizacje, testy aplikacji albo spotkania dotyczące akceptacji ryzyka, porównanie przestaje dotyczyć tego samego zakresu.

Czego rachunek nie obejmuje

Wynik nie obejmuje wdrożenia, utrzymania integracji, pogłębionej analizy pojedynczych podatności (np. sprawdzania exploitu pod konkretną aplikację), wykonania poprawek ani przestojów. Nie wycenia ryzyka incydentu i nie mówi, czy organizacja spełnia NIS2, KSC lub ISO 27001. Secvalis wspiera zarządzanie podatnościami na serwerach Linux i przygotowanie dowodów w tym zakresie. To nie zastępuje decyzji administratora ani osoby odpowiedzialnej za ryzyko.

Kalkulator jest punktem do rozmowy wewnątrz firmy, nie raportem z audytu. Zapisz założenia obok wyniku, podaj datę i wróć do niego po kilku cyklach pomiaru. Wtedy będziesz wiedzieć, czy estymacja H i Hs odpowiada rzeczywistemu procesowi. Możesz zacząć od kalkulatora poniżej i wpisać własne wartości.

Potrzebujesz wsparcia przy wdrożeniu? Napisz do mnie: https://sysdevops.eu/kontakt. Zakres, poufność i formalności ustalimy indywidualnie.