Финансовая модель MDR / MSSP-провайдера

Описание

MDR/MSSP-провайдер — бизнес по оказанию услуг постоянного мониторинга кибербезопасности и реагирования на инциденты для корпоративных клиентов на основе годовой подписки. Экономика модели строится вокруг трёх компонентов: привлечения и удержания клиентов, структуры подписных пакетов с разным уровнем сервиса и стоимости, а также операционных затрат на содержание центра мониторинга (SOC) с круглосуточной работой.

Инвестиционная фаза включает приобретение лицензий на SIEM- и SOAR-платформы, подписки на потоки данных об угрозах, оборудование для SOC и найм первой очереди аналитиков. Затраты могут составлять от нескольких десятков до сотен миллионов рублей в зависимости от масштаба: модель позволяет учесть как покупку, так и аренду программного обеспечения.

Операционная деятельность детализирована до сменного графика персонала: аналитики первой и второй линии, инженеры смен, руководитель SOC. Штат растёт нелинейно — порогами при достижении определённого числа клиентов. Отдельно проработаны лицензионные отчисления, которые часто привязаны к объёмам обрабатываемых событий или количеству конечных точек.

Существенное влияние на экономику оказывает возможность применения IT-льгот: пониженные тарифы страховых взносов и нулевая ставка налога на прибыль для аккредитованных организаций. Модель проверяет выполнение условий для сохранения льготы. Также встроены расчёты штрафов за нарушение SLA, что критично для реалистичного прогноза.

Модель ориентирована на создание нового провайдера или оценку действующего бизнеса. Она не покрывает консолидацию нескольких центров или управление партнёрской сетью — это отдельные продукты.

Особенности моделирования

• Расчёт численности аналитиков через сменный график: круглосуточная работа 24/7 требует 5 смен, каждая смена — 2–3 аналитика с учётом отпусков и больничных. Рост штата моделируется лестницей по мере набора клиентов.
• Моделирование пакетов услуг (базовый, расширенный, премиум) с индивидуальными параметрами: время реакции, объём хранимых событий, наличие проактивного поиска угроз. Тарифы и структура потребления ресурсов SOC различны для каждого пакета.
• План привлечения клиентов: прогноз количества новых клиентов в месяц, отток, миграция между пакетами, цикл сделки и конверсия из воронки продаж.
• Лицензионные расходы: моделируются как фиксированные ежегодные платежи за платформу и переменные — за агентов, объём журналов или число пользователей, с возможностью оптовых скидок.
• SLA-метрики и штрафы: расчёт среднего времени до реакции на основе загрузки аналитиков; при превышении порогов — расчёт финансовых санкций в процентах от месячной платы клиента.
• Налоговый блок с проверкой критериев IT-льготы (доля профильных доходов, среднесписочная численность, аккредитация) и пересчётом налога на прибыль и страховых взносов помесячно.

Что входит в базовую версию

• Настройка пакетов услуг и тарифов: базовый, расширенный, премиум с заданием цен, лимитов по времени реакции и ресурсам.
• Капитальные затраты: лицензии SIEM/SOAR, серверная инфраструктура, оборудование рабочих мест SOC, предынвестиционный консалтинг.
• Фонд оплаты труда с посменным графиком: аналитики уровней 1 и 2, инженеры, руководители смен, административный персонал. Расчёт ставок, отпусков, больничных, премий.
• Операционные расходы: подписки на потоки данных об угрозах, аренда и охрана помещения SOC, каналы связи, обучение персонала.
• План продаж и клиентская база: динамика привлечения новых клиентов, отток, миграция между пакетами, сезонность.
• Расчёт показателей выполнения SLA и штрафных санкций за нарушение.
• Налоговый модуль с IT-льготами: пониженные страховые взносы, налог на прибыль 0% с проверкой условий.
• Финансовая отчётность: отчёт о движении денежных средств (прямой), отчёт о прибылях и убытках, баланс.
• Показатели эффективности: NPV, IRR, дисконтированный срок окупаемости, коэффициент удержания дохода, LTV/CAC.

Типичные ошибки моделирования

• Не закладывают полную потребность в персонале для круглосуточной работы: 5 смен по 2–3 аналитика вместо расчётных 1–2 человек — реальный ФОТ занижается на 40–60%.
• Игнорируют отток клиентов, предполагая только рост — выручка к третьему году оказывается завышенной на 20–30%.
• Используют среднюю цену по всем пакетам без учёта структуры клиентского портфеля — фактический средний чек может быть на 15–25% ниже из-за преобладания базовых пакетов.
• Не проверяют выполнение условий IT-льготы: доля профильной выручки падает при ресейле или недоборе IT-персонала — льгота теряется, налоговая нагрузка возрастает в 2–3 раза.
• Не моделируют штрафы за нарушение SLA — чистая прибыль завышается на 5–10% за счёт отсутствия санкций.
• Завышают первоначальную загрузку SOC, считая, что клиенты выходят на полную мощность сразу после запуска — реальный период набора клиентов может занять 12–18 месяцев, что задерживает окупаемость на 1–1,5 года.