Regneeksempler, tilbud og valg af leverandør
Intern sikkerhed eller administreret ydelse? Sådan regner I på døgnovervågning selv
Hvad det koster at bemande sikkerhedsovervågning internt sammenlignet med MDR eller SOC som service – med illustrative regneeksempler, tilbagebetalingstid og hybridmodeller.
For de fleste SMV'er er det billigere at købe døgnovervågning som administreret ydelse end at bygge den selv, fordi en reel døgnbemanding kræver flere personer: et døgn har 168 timer om ugen, og én fuldtidsansat dækker omkring 37. Intern sikkerhed giver mening, når virksomheden er stor nok til at udnytte personalet fuldt, har særlige systemer, eller vil have kompetencen i huset – og ofte som hybrid, hvor egne folk ejer styringen og en leverandør tager nætter og weekender. Denne guide viser, hvordan I regner på det.
Guiden hører under valg af leverandør trin for trin. Alle beløb er illustrative og ikke løndata eller markedspriser.
Hvorfor døgndækning er dyrt at bygge selv
En uge har 168 timer. En fuldtidsstilling er 37 timer, og efter ferie, sygdom og uddannelse er der færre effektive timer. For at have én person på vagt hele tiden skal I bruge mindst 4–5 fuldtidsstillinger – og vagt i hjemmet med tilkald har også en pris og en grænse for, hvor hurtigt der reageres.
Dertil kommer:
- Værktøjer: licenser til EDR, SIEM og logopbevaring.
- Kompetence: Sikkerhedsanalytikere skal holdes opdateret om nye angrebsmetoder.
- Sårbarhed: Én nøgleperson, der rejser, efterlader et hul.
Illustrativt regnestykke: intern døgnbemanding
Eksempel for en virksomhed med 80 ansatte. Alle tal er konstruerede.
| Post | Beregning | Pr. år |
|---|---|---|
| 5 analytikere | 5 × 650.000 kr. (løn inkl. pension og omkostninger, illustrativt) | 3.250.000 kr. |
| Værktøjer (EDR, SIEM, log) | Skøn | 300.000 kr. |
| Uddannelse | 5 × 25.000 kr. | 125.000 kr. |
| I alt | 3.675.000 kr. |
Til sammenligning kan SOC som service for samme virksomhed illustrativt koste 40.000 kr. om måneden = 480.000 kr. om året. Forskellen er så stor, at en intern døgnbemanding sjældent giver mening for en SMV.
Realistisk alternativ: hybrid
De fleste SMV'er vælger mellem tre modeller:
| Model | Hvem gør hvad | Passer til |
|---|---|---|
| Fuldt administreret | Leverandøren overvåger og reagerer døgnet rundt; I har en kontaktperson | Virksomheder uden egen it-sikkerhedskompetence |
| Hybrid | Egen it-medarbejder i dagtimerne, leverandør om natten og i weekender | Virksomheder med 1–3 it-folk |
| Internt med ekstern støtte | Egne folk overvåger; leverandør leverer værktøj, beredskab og test | Større virksomheder med eget sikkerhedsteam |
Regneeksempel med tilbagebetalingstid
Illustrativt eksempel. En virksomhed med 60 ansatte har i dag en it-medarbejder, der bruger ca. halvdelen af sin tid på sikkerhed, og den køber ekstern hjælp ad hoc. Den overvejer at skifte til MDR med døgnrespons.
I dag (pr. år):
- Halvdelen af en it-stilling til sikkerhed: 0,5 × 600.000 kr. = 300.000 kr.
- Licenser til egne sikkerhedsværktøjer: 60.000 kr.
- Ekstern hjælp ad hoc: 80.000 kr.
- I alt: 440.000 kr.
Med MDR (pr. år):
- MDR: 65 enheder × 220 kr. × 12 = 171.600 kr.
- It-medarbejderens tid til sikkerhed falder til 20 %: 0,2 × 600.000 = 120.000 kr.
- Ekstern hjælp: 20.000 kr.
- I alt: 311.600 kr.
Årlig besparelse: 440.000 − 311.600 = 128.400 kr. Den frigjorte tid bruges til andre opgaver – besparelsen er kun reel, hvis tiden faktisk bruges produktivt.
Engangsinvestering: opstart 25.000 kr. + udrulning og intern tid 40.000 kr. = 65.000 kr.
Tilbagebetalingstid: 65.000 / 128.400 ≈ 0,5 år. Med tilbagebetalingsberegneren kan I lægge en årlig ændring ind, fx en prisstigning, der reducerer besparelsen.
Bemærk det modsatte tilfælde: Er besparelsen negativ – fordi I i dag næsten intet bruger på sikkerhed – betaler løsningen sig ikke hjem på omkostninger. Så skal beslutningen tages ud fra risiko, kunde- og lovkrav.
Hvad der ikke kommer med i regnestykket
- Værdien af undgåede hændelser er reel, men kan ikke forudsiges præcist. Regn den ikke ind som en fast besparelse.
- Kvalitet om natten: En leverandør med mange kunder ser flere angreb og genkender mønstre hurtigere.
- Kendskab til forretningen: Egne folk ved, hvilken server der må slukkes, og hvilken der ikke må.
- Afhængighed: En leverandør kan hæve prisen eller stoppe. Se exit, logdata og leverandørskift.
Tjekspørgsmål før beslutningen
- Hvor mange timer bruger vi reelt på sikkerhed i dag – og af hvem?
- Hvem reagerer i dag på en alarm kl. 3 om natten?
- Hvor meget af den frigjorte tid kan bruges til andet?
- Kræver kunder, forsikring eller NIS2 dokumenteret døgnovervågning?
- Hvem i virksomheden skal eje leverandørforholdet?
Se de samlede regneeksempler i regneeksempler efter virksomhedsstørrelse og tjek kontraktpunkterne i SLA og kontraktspørgsmål.
Kompetencer, I bør beholde internt
Selv med en fuldt administreret løsning bør nogle opgaver blive i huset:
- Ejerskab af risikobilledet: Hvilke systemer er kritiske, og hvad må lukkes?
- Leverandørstyring: Opfølgning på rapporter, SLA og faktura.
- Beslutninger ved hændelser: Ledelsen og en intern ansvarlig træffer de forretningsmæssige valg.
- Adgangsstyring: Hvem får og mister adgang, når medarbejdere kommer og går.
Det kræver ikke en fuldtidsstilling, men det kræver en navngiven person med tid afsat.
Ofte stillede spørgsmål
Kan vores it-partner ikke bare overvåge?
Mange it-partnere tilbyder overvågning. Spørg, om det er bemandet døgnet rundt, og om det er sikkerhedsovervågning (angreb) eller driftsovervågning (nedbrud og diskplads). Det er to forskellige ting.
Hvornår giver et internt SOC mening?
Typisk først i større organisationer med mange systemer, høj risiko og budget til flere fuldtidsstillinger. For SMV'er er hybrid ofte bedst egnet.
Mister vi kontrollen ved at outsource?
Ikke hvis aftalen er god. Behold ejerskab af licenser, adgang til logdata og ret til rapporter, og hav en intern ansvarlig.
Kilder
- SikkerDigital – råd til virksomheder om sikkerhed og leverandører
- Styrelsen for Samfundssikkerhed – vejledninger om cybersikkerhed
- Retsinformation – NIS2-loven §§ 6–7
