Budżet, ludzie i szum alertów

Nie ma wiarygodnego uniwersalnego odsetka: publikowane reguły kciuka znacznie się różnią, więc zacznij od swoich ryzyk i obowiązków, a nie od benchmarku. Najpierw policz, ile kosztowałby Cię incydent: dni bez systemów, utracone zamówienia, odtwarzanie, obowiązki zgłoszeniowe i kary umowne. Potem zapewnij podstawy chroniące przed najczęstszymi atakami, z których wiele kosztuje niewiele: uwierzytelnianie wieloskładnikowe, szybkie aktualizacje, ochronę stacji końcowych, kopie offline lub niezmienialne, które testujesz, i spisany plan, do kogo dzwonić. Dodaj to, co każą pokazać klienci, ubezpieczyciele lub NIS2, na przykład wykrywanie, rejestr incydentów i zgłaszanie. Dopiero wtedy porównuj narzędzia i wybieraj te, które publikują ceny, by budżetować uczciwie. Zostaw część budżetu na ludzi: czas kogoś, kto czyta alerty, i firmę od reagowania na incydenty, do której możesz zadzwonić. NetSenX publikuje swoje plany i ma plan Free, więc koszt wykrywania w sieci znasz przed planowaniem.

Na tym, co zatrzymuje najczęstsze ataki albo umożliwia odtworzenie: uwierzytelnianiu wieloskładnikowym, aktualizacjach, ochronie stacji końcowych, przetestowanych kopiach zapasowych i numerze telefonu do kogoś, kto pomoże w incydencie. To niewiele w porównaniu z przestojem, a cięcia dają małe oszczędności i usuwają zabezpieczenia, o które ubezpieczyciele i klienci pytają w pierwszej kolejności. Kopie offline lub niezmienialne decydują, czy ransomware oznacza zły tydzień, czy koniec firmy, a test odtwarzania to jedyny dowód, że działają. Zachowaj logi i historię alertów potrzebne, by odpowiedzieć, co się stało i kiedy, bo dowodów nie da się wytworzyć po fakcie. Jeśli budżet musi się skurczyć, tnij narzędzia, których nikt nie używa, dublujące się licencje i funkcje, których nigdy nie włączono, a nie podstawy. Plan Free NetSenX utrzymuje podstawowe wykrywanie w sieci bez kosztów, więc monitoring nie musi być pozycją, która znika.

Zsumuj dla jednego dnia roboczego cztery pozycje: utracony przychód lub marżę, wynagrodzenia wypłacane, gdy ludzie nie mogą pracować, koszt odtworzenia oraz kary i koszty pośrednie. Utracony przychód to to, co normalnie fakturujesz lub sprzedajesz w ciągu dnia, albo marża na tym, dla części firmy, która staje bez IT. Bezczynne wynagrodzenia to pracownicy, którzy nie mogą pracować, razy ich dzienny koszt. Odtworzenie obejmuje nadgodziny, pomoc z zewnątrz, sprzęt zastępczy i przywracanie danych. Koszty pośrednie to kary za opóźnione dostawy, ekspresowa wysyłka, by nadrobić zaległości, utraceni klienci i, jeśli chodzi o dane osobowe, praca przy zgłoszeniach. Policz sumę dla jednego dnia, a potem zapytaj, ile dni naprawdę trwałoby odtworzenie po ransomware przy obecnych kopiach zapasowych. Używaj własnych danych, nie średnich branżowych, i zapisz założenia, by dział finansów mógł je sprawdzić. Wynik mówi, ile warty jest tydzień zapobiegania i wykrywania.

Mów o ryzyku biznesowym, nie o funkcjach: jak długo awaria zatrzymałaby firmę, ile czasu i kar kosztowałby incydent podlegający zgłoszeniu, którzy klienci lub które umowy wymagają dowodów bezpieczeństwa i czego dziś nie widzisz. Najpierw użyj własnych liczb, takich jak przychód z dnia roboczego, pracownicy bezczynni podczas przestoju i kary umowne, bo zarząd ufa im bardziej niż średnim branżowym. Jeśli przytaczasz dane publiczne, podaj źródło i rok: raport IBM Cost of a Data Breach 2025 szacuje na przykład globalny średni koszt naruszenia na 4,44 mln USD, co mówi więcej o dużych firmach niż o Twojej. Potem przedstaw decyzję: ile narzędzie kosztuje rocznie, co pokazuje, czego teraz nie widać, i czego nie robi. Na koniec pokaż je we własnej sieci: plan Free NetSenX nie ma limitu czasu, więc zarząd zobaczy prawdziwe wyniki, zanim firma wyda choćby jedno euro.

W NetSenX zależy to od liczby monitorowanych urządzeń, a nie od liczby pracowników, a w wielu 50-osobowych firmach ta liczba jest niewielka. Urządzenie to host z agentem NetSenX, a jeden agent na porcie SPAN lub TAP obserwuje cały segment sieci i liczy się jako jedno urządzenie. Typowe biuro z jednym głównym przełącznikiem i kilkoma serwerami, które chcesz obserwować bezpośrednio, może więc zmieścić się w planie Starter za 49 € miesięcznie do 10 urządzeń albo w planie Pro za 99 € do 25 urządzeń, jeśli potrzebujesz monitoringu Shadow AI lub OT. Ceny nie zawierają VAT, a płatność roczna kosztuje dziesięciokrotność ceny miesięcznej. Plan Free za 0 € obejmuje 3 urządzenia bez limitu czasu, co wystarcza, by najpierw przetestować go we własnej sieci. Doliczyć trzeba czas osoby czytającej alerty; to też realny koszt.

W NetSenX cena zależy od liczby monitorowanych urządzeń, a nie od liczby pracowników: Starter kosztuje 49 € miesięcznie za maksymalnie 10 urządzeń, Pro 99 € za maksymalnie 25, Business 249 € za maksymalnie 100, a Enterprise od 999 € miesięcznie (ceny netto, bez VAT; plan Free kosztuje 0 €). Urządzenie to host z agentem NetSenX, a jeden agent na porcie SPAN lub TAP obserwuje cały segment sieci — firma zatrudniająca 200 osób nie potrzebuje więc 200 urządzeń. Wielu dostawców NDR klasy enterprise nie publikuje cennika i wycenia każde wdrożenie indywidualnie. Jest też Solo, za 19 € miesięcznie, dla dokładnie jednego urządzenia i jednego użytkownika.

Zwykle dlatego, że każda transakcja jest negocjowana: dostawca chce dopasować cenę do Twojego budżetu, łączyć usługi w pakiety i utrudnić porównanie z konkurencją. Ceny tylko na zapytanie są typowe dla produktów bezpieczeństwa klasy enterprise, gdzie wdrożenie obejmuje sprzęt, czujniki w każdej lokalizacji, usługi wdrożeniowe i rabaty wieloletnie. Utrudnia to budżetowanie małej i średniej firmie: tygodnie rozmów mijają, zanim dowiesz się, czy produkt w ogóle mieści się w zakresie, a odnowienia mogą zdrożeć bez ostrzeżenia. Gdy dostawca nie publikuje cen, poproś o pełny koszt na piśmie: jednostkę licencji, minimalny okres, sprzęt, instalację, wsparcie, szkolenia i warunki odnowienia. Zapytaj, czy dodanie lokalizacji, segmentu lub modułu zmienia cenę. NetSenX publikuje ceny każdego planu, od Free po Enterprise, z tego samego katalogu planów, który stosuje produkt, więc znasz koszt przed pierwszą rozmową.

Bo wiele produktów bezpieczeństwa wycenia się za czujnik, za lokalizację lub za moduł, więc wzrost, który wydaje Ci się mały, oznacza dla dostawcy nowy sprzęt, licencje i usługi. Drugie biuro może oznaczać drugie urządzenie, nowy segment kolejną licencję czujnika, a funkcja taka jak analiza ruchu szyfrowanego czy monitoring OT może być osobnym modułem z własną ceną. Przed podpisaniem poproś dostawcę o wycenę Twojego prawdopodobnego następnego kroku: jeszcze jednej lokalizacji, dwa razy większej liczby urządzeń, modułu, którego pewnie zechcesz za rok. Sprawdź, czy umowa ogranicza podwyżki przy odnowieniu. W NetSenX jednostką jest urządzenie: host z agentem, przy czym jeden agent na porcie SPAN lub TAP liczy się jako jedno urządzenie dla całego segmentu. Funkcje są w planie, a nie w osobnych modułach, a katalog planów pokazuje, który plan co zawiera, więc koszt wzrostu widać z wyprzedzeniem.

Licencja to tylko część: dolicz sprzęt, instalację, czas ludzi na czytanie i strojenie alertów, szkolenia i koszt odejścia. Sprzęt to urządzenia lub czujniki w każdej lokalizacji i cykl ich wymiany. Instalacja obejmuje porty lustrzane lub TAP-y na przełącznikach i ewentualne usługi wdrożeniowe. Czas ludzi to często największy koszt: ktoś musi codziennie czytać alerty i analizować poważne, a hałaśliwe narzędzie kosztuje więcej w godzinach niż w licencjach. Dodaj podwyżki przy odnowieniu, dodatkowe moduły potrzebne później i przechowywanie danych, jeśli produkt zapisuje rekordy ruchu. Na koniec pomyśl o wyjściu: czy przy odejściu wyeksportujesz alerty i dowody? Porównuj produkty w horyzoncie trzech lat, nie jednego. NetSenX nie ma własnego sprzętu: jeden agent na hoście podłączonym do portu SPAN lub TAP obserwuje segment, ceny są opublikowane, a alerty wyjaśnione prostym językiem, by skrócić czas na każdy z nich.

Bardzo różnie, bo MDR wycenia się za stację, za użytkownika lub za lokalizację, a pod tą samą nazwą kryje się bardzo różny zakres. MDR (managed detection and response) to usługa: analitycy całą dobę śledzą Twoje alerty i reagują. Cena zależy od liczby objętych stacji lub użytkowników, od tego, jakie czujniki są w cenie, czy dostawca reaguje za Ciebie, czy tylko powiadamia, od czasu reakcji w umowie i od tego, czy reagowanie na incydent po włamaniu kosztuje dodatkowo. Poproś dwóch lub trzech dostawców o oferty na ten sam zakres, na piśmie, i porównuj to, co dzieje się o 3:00, a nie tylko kwotę miesięczną. Sprawdź minimalne okresy umowy i co zostaje Ci przy odejściu. MDR i wykrywanie w sieci to różne rzeczy: NetSenX jest oprogramowaniem, nie usługą zarządzaną, i może działać obok dostawcy MDR, z alertami e-mailem w każdym planie, przez Slack lub webhook od planu Pro i do SIEM od planu Business.

Zwykle tak, jeśli chodzi o koszt licencji, ale to nie zamiennik: narzędzie wykrywa, a człowiek decyduje i reaguje. Analityk bezpieczeństwa to pensja plus szkolenia, urlopy i fakt, że jedna osoba nie obsłuży sama nocy i weekendów. Wykrywanie w sieci działa o każdej porze, nie bierze urlopu i obserwuje urządzenia, których nikt nie sprawdziłby ręcznie, ale nie oceni, czy dziwne połączenie to serwis dostawcy, czy intruz, nie zadzwoni do właściwej osoby i nie odtworzy serwera. Dla większości małych i średnich firm realny wybór to nie narzędzie albo analityk, tylko narzędzie plus ludzie, których już masz: administrator, dostawca IT i firma od reagowania na incydenty pod telefonem. Porównaj uczciwie z własnymi danymi płacowymi. NetSenX kosztuje od 0 € w planie Free do 249 € miesięcznie w planie Business i jest zbudowany tak, by generalista mógł działać na podstawie alertów, nie będąc specjalistą od bezpieczeństwa.

Narzędzie obserwuje każde połączenie o każdej porze i je zapamiętuje; człowiek rozumie firmę, decyduje i naprawia. Administrator na pół etatu nie przeczyta ruchu sieciowego przez całą noc, nie zauważy, że drukarka o 2:00 zaczęła łączyć się z zewnętrznym serwerem, ani nie porówna zachowania pięćdziesięciu urządzeń w tym tygodniu z zeszłym miesiącem. Narzędzie do wykrywania to potrafi i zachowuje zapis, o który zapyta dochodzenie lub ubezpieczyciel. Ale narzędzie nie rozpozna, czy nowe połączenie to zaplanowany serwis dostawcy, nie zdecyduje o odłączeniu serwera finansowego w czasie zamknięcia roku, nie porozmawia z pracownikami ani nie odtworzy kopii. Połączenie działa, gdy narzędzie filtruje i wyjaśnia, a człowiek poświęca kilka minut dziennie na to, co ważne. NetSenX jest zbudowany pod taki podział: alerty wyjaśnione prostym językiem w każdym planie, wysyłane e-mailem, a decyzje i działania zapisywane w dzienniku audytu.

Tak. Plan Free obejmuje do 3 urządzeń, przechowuje historię alertów przez 30 dni i zawiera wyjaśnienie każdego alertu prostym językiem oraz NetSenX Math Guarantee. Bez limitu czasu i bez karty kredytowej.

Nie ma oddzielnego okresu próbnego. Każde nowe konto zaczyna od planu Free — do 3 urządzeń, bez karty płatniczej, bez limitu czasu. Plan Free chroni komputery, na których zainstalowano agenta; monitorowanie segmentu sieci czujnikiem SPAN lub TAP jest dostępne od planu Starter. Przejdź na plan płatny, gdy potrzebujesz więcej możliwości — zmiana planu obowiązuje natychmiast.

Tak: w NetSenX plan roczny kosztuje dziesięciokrotność ceny miesięcznej, więc dwa miesiące masz gratis, a zrezygnować możesz w każdej chwili bez podawania powodu. Rezygnację składa się w sekcji rozliczeń w panelu. Domyślnie działa ona z końcem już opłaconego okresu: do tego czasu zachowujesz plan i nic więcej nie jest pobierane. Potem konto działa dalej w planie Free, z jego funkcjami i limitami. Opłaty miesięczne nie są zwracane za resztę miesiąca. Przy pierwszej subskrypcji rocznej polityka zwrotów przewiduje zwrot proporcjonalny, jeśli poprosisz o niego w krótkim terminie po zapłacie; po tym terminie oraz przy odnowieniach opłaty roczne nie są zwracane. O odnowieniu rocznym informujemy wcześniej e-mailem. Umowy Enterprise podlegają własnemu zamówieniu. Ceny nie zawierają VAT; pełne warunki zawiera polityka zwrotów i rezygnacji.

Tak. Zweryfikowane organizacje non-profit, uczelnie i akredytowane laboratoria badawcze otrzymują 50% zniżki na plany Starter i Pro albo rozszerzony limit urządzeń w planie Free. Napisz na sales@netsenx.com wraz z potwierdzeniem statusu.

Karty kredytowe i debetowe (Visa, Mastercard, AmEx), polecenie zapłaty SEPA przy planach rocznych oraz przelew bankowy dla umów Business i Enterprise. Wszystko przetwarzane przez unijnych dostawców płatności posiadających certyfikat PCI-DSS — certyfikat należy do dostawcy, nie do NetSenX.

Plany roczne Business i Enterprise mogą być fakturowane z terminem płatności 30 dni. Dla rocznych planów Starter i Pro fakturowanie ręczne można uzyskać po zatwierdzeniu. Każda płatność automatycznie generuje fakturę zgodną z VAT.

Zmęczenie alertami to sytuacja, w której zespół dostaje więcej alertów, niż może przeczytać, więc ludzie zaczynają je ignorować, a prawdziwy atak ginie w szumie. Zwykle bierze się z narzędzi z ustawieniami domyślnymi, które oznaczają każde nietypowe zdarzenie, z dublujących się alertów kilku produktów o tym samym i z alertów, które nie mówią, dlaczego są ważne. Małe zespoły radzą sobie na cztery sposoby. Ograniczają źródła: do ludzi trafiają tylko istotne alerty, reszta zostaje jako zapis. Oznaczają powtarzającą się normalną aktywność, taką jak kopie zapasowe i serwery aktualizacji, by przestała alarmować. Grupują alerty należące do jednej historii. I wybierają narzędzia, których alerty same się tłumaczą, więc każdy zajmuje minuty, a nie godzinę. Raz w miesiącu przeglądaj, co zamknięto jako nieszkodliwe. NetSenX w każdym planie wyjaśnia każdy alert prostym językiem, pozwala oznaczać fałszywe alarmy i podaje ograniczenie fałszywych alarmów dopiero wtedy, gdy pozwolą na to Twoje dane kalibracyjne.

Nie ma normalnej liczby; liczy się to, czy Twój zespół może przeczytać każdy alert, który trafia do człowieka, i zareagować na te ważne. Narzędzie, które wysyła małemu zespołowi setki alertów dziennie, nie jest bezpieczniejsze, tylko rzadziej czytane. Przydatna miara: alert, który trafia do człowieka, powinien dość często prowadzić do działania lub decyzji. Jeśli prawie żaden nie prowadzi, narzędzie wymaga strojenia albo poziom alertów jest źle ustawiony. Jeśli dany typ alertu jest w Twojej sieci zawsze nieszkodliwy, oznacz go tak albo zdecyduj, że należy do logu, a nie do czyjejś skrzynki. Spodziewaj się więcej alertów w pierwszych tygodniach, gdy narzędzie uczy się sieci, a Ty oznaczasz normalną aktywność, i mniej później. Zmierz własny tydzień: alerty otrzymane, przeczytane, podjęte działania. NetSenX nie obiecuje liczby alertów; wyjaśnia każdy tak, by jego przeczytanie zajmowało minuty.

Tyle, by dało się działać bez śledztwa: który host i jakie konto, co zaobserwowano, kiedy się zaczęło, dlaczego to nietypowe dla tego hosta, jak pewne jest narzędzie i co sprawdzić dalej. Dobry alert mówi też, gdzie są dowody, na przykład których połączeń dotyczy, by czytelnik mógł to potwierdzić, i które inne alerty należą do tej samej historii. Alert, który podaje tylko nazwę reguły lub wynik, odsyła analityka z powrotem do surowych danych, a w małym zespole oznacza to zwykle, że zostanie zignorowany. Oceniając narzędzie, poproś o trzy prawdziwe alerty i daj je osobie, która czytałaby je o 8:00: czy w pięć minut zdecyduje, czy eskalować? Każdy alert NetSenX w każdym planie zawiera wyjaśnienie prostym językiem, dlaczego powstał i jakie cechy ruchu wpłynęły na jego wynik, a dziennik audytu zachowuje, co z nim zrobiono i kto.

Nie ma jednej uczciwej liczby: zależy od sieci, strojenia i sposobu liczenia fałszywych alarmów, a dane dostawców rzadko są mierzone niezależnie. Wskaźnik zmierzony w laboratorium, na ruchu innej firmy lub dla innego typu alertów niewiele mówi o Twoim poniedziałkowym poranku. Każdej liczbie zadaj trzy pytania: zmierzona na czyich danych, dla jakich alertów i w jakiej jednostce, na dzień, na host czy na alert? Dla Ciebie liczy się wymiar praktyczny: ile alertów co tydzień trafia do człowieka i jaka ich część prowadzi do działania. Mierz to sam od pierwszego miesiąca. NetSenX nie podaje wskaźnika. Warstwa split-conformal ogranicza odsetek fałszywych alarmów wśród zgłaszanych alertów, gdy pozwolą na to Twoje własne dane kalibracyjne, czyli ruch oznaczony przez Twój zespół jako nieszkodliwy; do tego czasu panel mówi to wprost, zamiast pokazywać liczbę, której nie da się uzasadnić.

Strój wąsko i prowadź zapis: wykluczaj konkretną znaną aktywność na konkretnym hoście, nigdy cały typ alertu w całej sieci. Zacznij od alertów, które powtarzają się najczęściej. Dla każdego potwierdź przyczynę, na przykład serwer kopii zapasowych, który co noc kopiuje dane do macierzy, i oznacz właśnie to zachowanie jako oczekiwane, najlepiej z hostem, celem i oknem czasowym. Resztę wykrywania zostaw bez zmian, aby ten sam wzorzec z dowolnego innego hosta nadal alarmował. Zapisz, kto zdecydował i dlaczego, i co kilka miesięcy przeglądaj wykluczenia, bo zapomniany wyjątek to miejsce, w którym napastnik może się schować. Po strojeniu testuj: uruchom nieszkodliwe skanowanie lub testowe połączenie i sprawdź, czy nadal powstaje alert. W NetSenX fałszywe alarmy oznacza się bezpośrednio na alertach, każda decyzja trafia do dziennika audytu, a ograniczenie fałszywych alarmów jest pokazywane dopiero wtedy, gdy pozwolą na to Twoje oznaczone dane.

Licz się z tym, że pierwsze tygodnie będą najgłośniejsze, i zaplanuj na nie czas; tempo uspokojenia zależy od Twojej sieci i od tego, jak szybko oznaczasz to, co normalne. Narzędzie behawioralne porównuje każde urządzenie z jego własną normą, a jej nauczenie wymaga czasu: zadania miesięczne, raporty na koniec miesiąca czy kwartalna aktualizacja mogą pojawić się dopiero po tygodniach. W tym czasie dużą część wyciszania robią Twoje decyzje: każdy powtarzający się nieszkodliwy alert, który potwierdzisz i oznaczysz, przestaje wracać. W pierwszych tygodniach zaplanuj krótki codzienny przegląd, a po pierwszym miesiącu przegląd wykluczeń. Uważaj na obietnicę, że narzędzie jest ciche od pierwszego dnia: albo ma bardzo mało wykryć, albo ukrywa to, czego nie jest pewne. NetSenX zgłasza alerty od początku, gdy płynie ruch, ulepsza porównania w miarę poznawania sieci i mówi wprost, kiedy Twoje dane nie pozwalają jeszcze na ograniczenie fałszywych alarmów.

Zaplanuj krótki codzienny przegląd i od czasu do czasu dłuższe analizy; dokładny czas zależy od tego, ile alertów generuje narzędzie i jak dobrze każdy się tłumaczy. W praktyce mały zespół potrzebuje trzech rodzajów czasu. Codziennego spojrzenia na nowe alerty, by nic nie czekało tydzień. Cotygodniowego lub comiesięcznego przeglądu zamkniętych alertów, by oznaczyć powtarzającą się normalną aktywność, taką jak kopie zapasowe czy serwery aktualizacji, i przestać ją dostawać. I, gdy przyjdzie poważny alert, czasu na analizę, co może oznaczać godziny, a czasem pomoc z zewnątrz. Pierwsze tygodnie wymagają więcej uwagi niż kolejne, gdy narzędzie i zespół uczą się, co jest normalne. Alerty, które prostymi słowami mówią, co się stało, na którym hoście i dlaczego, skracają czas na każdy z nich. NetSenX wyjaśnia każdy alert prostym językiem w każdym planie i pozwala oznaczać fałszywe alarmy, ale nie usuwa potrzeby, by ktoś je czytał i decydował.