Мы консалтинговое агентство по кибербезопасности из 4 человек — у нас кривая упаковка услуг и ценообразование?

Мы втроём сидели ровно в такой же яме. Забили на разовые аудиты, перевели местный средний бизнес из финтеха и логистики на ежемесячные договоры мониторинга по 2.000 фунтов. Сейчас висят 12 постоянных клиентов, капает 24.000 фунтов в месяц на полном спокойствии, не думая о том, что будем есть в следующем месяце.

Переходить на подписку надо постепенно. 1) Прозвоните всех клиентов за последний год, кому делали пентесты. 2) Зайдите с посылом: «Уязвимости мы закрыли, но за последние полгода могли появиться новые векторы атак, давайте проверим». 3) В конец КП добавьте предложение годового обслуживания с четырьмя проверками и ежемесячной оплатой.

С абонентской моделью будьте аккуратнее. Малый и средний бизнес очень неохотно платит за безопасность помесячно — бюджеты обычно выделяют, только когда уже взломали или прижала проверка регулятора. Если вы не предложите клиентам аудит под стандарты, снижающий стоимость киберстраховки или помогающий им закрывать их собственных b2b-клиентов, ретейнер продать будет тяжело.

Чтобы избежать расползания объёма работ, обязательно пропишите в договорах эти 3 пункта: 1) Список IP и доменов, входящих в объём проекта, фиксируется, новые активы — за отдельный счёт. 2) Повторный тест на подтверждение после отчёта проводится максимум 1 раз. 3) Запросы на доработку, не закрытые в течение 14 дней после презентации отчёта, считаются выполненными.

почасовая ставка убивает консалтинг... ну чем быстрее решаешь, тем меньше зарабатываешь, прям обратный стимул. делайте пакеты с фиксированным объёмом и привязывайте к месячному контракту, и голова не будет болеть.

edit: выше написал неправильно, извините.

На рынке Великобритании регулирование цепочек поставок и стандарты корпоративного аудита становятся всё строже. Если вместо прямой продажи технического сканирования вы предложите клиентам обещание обеспечить тот уровень безопасности, который им нужен для участия в корпоративных тендерах, вы гораздо легче сможете убедить их платить ежемесячные консалтинговые взносы.

В первый год мы сделали пентест для клиента из e-commerce за 4 000 фунтов. 8 месяцев они звонили при каждом переносе сервера с «шеф, гляньте, а?» мы не могли отказать и дошли до точки банкротства. Потом жёстко очертили границы и сказали: либо договор на поддержку за 1 200 фунтов в месяц либо почасовая оплата — и они с радостью перешли на договор.

Продавайте клиенту не потраченные на него часы, а устранённый риск и корпоративное спокойствие; как только вы привяжете цену к часам, предметом торга станет не ваша техническая экспертиза а ваш секундомер.

edit: исправил несколько опечаток.

Есть один момент, который меня интересует. Спешка в решениях оборачивается исправлениями через полгода.

Изменить привычку сложнее и дороже, чем выстроить систему.

Я столкнулся с тем же два года назад. Больше всего времени у нас уходило на то, что было непонятно, кто принимает решения.

Конечно, если ваша ситуация отличается, всё меняется.

Очень актуальная тема. Ошибка, сделанная на стороне консалтинг по кибербезопасности обычно исправима, но дорого.

Чем сложнее отменить решение, тем медленнее его принимайте. Я бы пошел этим путем.

Согласен с этим. Большая часть потерь времени копится на задачах ожидающих согласования.

Если делаете впервые, начните с малого масштабирование потом. Надеюсь это будет полезно.

Посмотрю с другой стороны, я на стороне поставщика. При принятии решений записывайте и худший сценарий, а не только лучший.

Я бы пошел этим путем.

здесь нужно провести различие. короче без измерений мы вседга приходим к одному и тому же.

это мое мнение, не утверждаю, что оно единственно верное.

Я тоже об этом думал. Если делаете впервые, начните с малого, масштабирование потом.

Это мое мнение, не утверждаю, что оно единственно верное.

Пишу это, чтобы вы не совершили ту же ошибку. Люди защищают не процесс, а привычку. Сопротивление идет оттуда.

Начните с небольшого эксперимента, не привязывайте всё сразу. Проверено опытом.

У нас было так. Ищите дыру в ведре; лить воду сверху не решает проблему.

Надеюсь, это будет полезно.

Хочу предупредить. Прежде чем принимать решение, посмотрите, какие данные у вас есть.

Первые три месяца все идет хорошо проблемы всплывают на четвертом. Конечно если ваша ситуация отличается, всё меняется.