Зрелость киберзащиты стала важным аспектом оценки бизнеса

Зрелость киберзащиты стала важным аспектом оценки бизнеса

Российские компании все чаще рассматривают кибербезопасность не как техническую статью расходов, а как условие бесперебойной работы. Атака на корпоративную систему способна остановить производство, расчеты и поставки, а утечка данных - лишить компанию клиентов. После нескольких лет быстрого роста рынка информационной безопасности (ИБ) бизнес стал внимательнее считать затраты. Руководству важно понимать не только то, от каких угроз защищена компания, но и сколько денег она рискует потерять при сбое и как быстро сможет восстановиться.

По данным, которые приводит директор профильного департамента холдинга "Ц1" Александр Шипков, в 2025 году российский рынок ИБ достиг 364,4 миллиарда рублей, прибавив 16,1 процента. Росту способствовали увеличение числа атак, импортозамещение, цифровизация и требования регуляторов. При этом универсальной доли расходов на защиту в ИТ-бюджете нет: для банка, промышленного предприятия и торговой сети последствия одинаковых угроз могут существенно различаться.

Директор по информационной безопасности "Т1 Облако" Алексей Кубарев выделяет два этапа изменения расходов. Сначала предприятия срочно заменяли зарубежные решения и усиливали защиту от новых угроз. Теперь все чаще пытаются получить максимальную отдачу от уже приобретенных продуктов. По его оценке, на средства и услуги ИБ приходится около 14 процентов коммерческого ИТ-рынка, но переносить эту пропорцию на бюджет отдельной компании нельзя.

"Сначала средства направляли на срочную замену ушедших с рынка зарубежных средств защиты, противодействие резко возросшему количеству угроз и выполнение усилившихся требований регуляторов. Это были вынужденные траты, поэтому рынок рос рывками. Сейчас наступает этап более осознанного потребления, и бюджеты растут далеко не у всех", - объясняет Кубарев.

Наиболее дорогими становятся атаки, способные нарушить основные операции компании. Шипков приводит результаты исследования за июль 2025 - июнь 2026 года: потери крупных российских организаций от вирусов-вымогателей составляли от 50 миллионов до 1,5 миллиарда рублей, а в 98 процентах успешных атак нарушалась основная деятельность предприятий. Ущерб складывается из простоя, затрат на восстановление, недополученной выручки и репутационных потерь.

"Шифровальщик на неделю останавливает отгрузки, а утечка персональных данных грозит оборотным штрафом. Это уже вопросы выручки, юридических рисков и репутации, то есть зона ответственности собственника и топ-менеджмента. Информационная безопасность давно стала базовым условием устойчивости и непрерывности бизнеса", - подчеркивает Кубарев.

ИТ-директор облачной платформы RCloud Валентин Соколов напоминает, что одним из основных способов проникновения в корпоративную инфраструктуру остаются фишинг и социальная инженерия. Сотрудник может открыть вредоносное вложение или передать доступ злоумышленнику, после чего под угрозой окажутся уже финансовые и производственные процессы. "Наиболее серьезные финансовые риски несут атаки программ-вымогателей: они останавливают работу компании и приводят к прямым потерям, включая простой сервисов и дорогое восстановление инфраструктуры. При этом основным способом проникновения по-прежнему остаются фишинг и социальная инженерия, то есть человеческий фактор", - говорит Соколов.

Генеральный директор компании "Декодика" Наталья Кошеляева обращает внимание и на внутренние ошибки. Ручная обработка документов, неверно настроенные права доступа и передача конфиденциальных сведений через незащищенные каналы создают риски даже без внешней атаки. По мере роста объемов информации контролировать ее движение между подразделениями становится сложнее.

"Практически все ключевые процессы связаны с обработкой данных - от документооборота и финансовых операций до взаимодействия с клиентами. Потеря документов, нарушение их целостности или ограничение доступа к корпоративным системам могут остановить работу. Поэтому безопасность необходимо закладывать непосредственно в бизнес-процессы", - отмечает Кошеляева.

Еще один источник риска - программные компоненты, от которых зависят корпоративные системы. Генеральный директор Axiom JDK Роман Карпов считает, что перестройка цепочек поставок не устранила технологические зависимости: часть угроз переместилась на уровень компонентов и их обновлений.

"Финансовые последствия могут быть связаны с невозможностью оперативно устранить уязвимость в критическом компоненте. Если его происхождение неизвестно, а у поставщика нет необходимой экспертизы, сроки восстановления защищенности становятся непредсказуемыми. Для бизнеса это риск простоя, нарушения обязательств и потери выручки", - предупреждает Карпов.

С ростом расходов меняется подход к обоснованию инвестиций. Коммерческий директор ARinteg Дмитрий Слободенюк предлагает начинать не с выбора защитных продуктов, а с инвентаризации активов. Бизнесу необходимо определить, какие системы и данные обеспечивают его доходы и во что обойдется их недоступность.

"Каждого владельца компании интересуют собственные потери. Поэтому сначала нужно оценить ценность информации и систем в денежном выражении - не только прямой ущерб, но и потерю рынка, времени, выручки. Когда понятно, какие процессы приносят бизнесу деньги и кто способен на них воздействовать, можно выбирать подходящие средства защиты", - поясняет Слободенюк.

Шипков отмечает, что одного показателя окупаемости инвестиций недостаточно: результат защиты часто заключается в предотвращенном ущербе. Поэтому учитывают вероятность инцидента, стоимость простоя, скорость обнаружения атаки и сроки восстановления. По оценке Соколова, экономическую эффективность вложений в ИБ систематически рассчитывает пока примерно каждая десятая компания. При этом заказчики все чаще сравнивают содержание собственной команды с расходами на управляемые сервисы безопасности.

Кубарев полагает, что руководителям ИБ-подразделений придется защищать каждую статью бюджета. Для предприятий, где защищенность прямо влияет на выручку, эффект посчитать проще. Облачный провайдер, например, может связать качество защиты с количеством корпоративных клиентов. В остальных случаях приходится оценивать ожидаемые финансовые потери и то, насколько конкретный проект снижает вероятность инцидента.

CVO Carcraft Group Борис Беленький считает, что защита данных становится частью корпоративного управления. Руководство должно определить, какие процессы критичны, какой перерыв в работе допустим и кто отвечает за восстановление. Особенно важно это для платформ, которые связывают банки, партнеров и заемщиков.

"Атака редко останавливается на периметре компании. Компрометация программного интерфейса, платежного модуля или подрядчика может обойти собственную защиту. Поэтому киберриск нужно учитывать в закупках, договорах, архитектуре систем и планах непрерывности. ИТ-подразделение не может в одиночку решить, какой уровень риска допустим для бизнеса", - говорит Беленький.

Для инвестора зрелость киберзащиты становится частью комплексной проверки перед сделкой. Партнеров интересуют порядок уведомления об инцидентах, контроль доступа и способность организации восстановить операции. По словам Беленького, тут важен заранее подготовленный план действий в кризисной ситуации.

Генеральный директор агентства комплексного маркетинга "Б4Медиа" Алексей Борисов указывает на репутационный ущерб. Утечка клиентских сведений или фишинговая рассылка от имени бренда способны свести на нет результаты многолетних вложений в продвижение.

"Компании могут серьезно вкладываться в производство, но утечка данных пользователей, взлом личных кабинетов или фишинг от лица бренда способны обнулить результаты длительной работы за считаные часы. Компания теряет не только деньги, но и репутацию", - подчеркнул Борисов.

В ближайшие годы спрос будет смещаться от закупки разрозненных защитных решений к их объединению. По прогнозу Шипкова, предприятия станут активнее использовать автоматизацию, центры мониторинга и реагирования, сервисные модели защиты и регулярную проверку защищенности. Главными критериями останутся снижение рисков и обеспечение непрерывности работы. Отдельное направление - искусственный интеллект. Борисов ожидает роста спроса на защиту ИИ-систем: злоумышленники применяют нейросети для автоматизации атак, а бизнесу потребуется контролировать работу интеллектуальных сервисов и доступ к корпоративной информации. Кошеляева предупреждает, что автоматизация сама по себе не гарантирует безопасности. По мере внедрения ИИ компаниям придется следить, какие данные передаются таким системам, как используются результаты их работы и кто получает доступ к информации. Карпов добавляет, что новые программные продукты должны иметь проверяемый состав компонентов и управляемый процесс обновления.

Источник: "Российская газета"

Фото: magnific.com