Прививка кибербезопасности: 5 шагов к цифровому иммунитету компании

Абсолютной защиты от киберугроз не существует. Но для компаний критически важна способность предотвращать максимально возможное количество инцидентов, а если они все‑таки произошли — быстро восстанавливаться. Тем более сейчас, когда количество кибератак на российские организации кратно растет: так, за 2024 год их число увеличилось примерно в 2,5 раза, — а сложность непрерывно повышается. Способность реагировать на угрозы, моментально оправляться от последствий и использовать полученный опыт для совершенствования системы защиты определяет антихрупкость бизнеса.

Фокус бизнеса постепенно смещается с внедрения систем информационной безопасности к обеспечению защиты на всех уровнях компании, то есть ее «цифрового иммунитета».

Что такое цифровой иммунитет бизнеса

Цифровой иммунитет строится из множества элементов и не сводится к какому‑то одному ключевому инструменту. Антивирус, резервное копирование данных, DLP или SIEM — все это важные составляющие защиты. Но сила иммунитета определяется тем, насколько эффективно функционирует система в целом и, в конечном счете, насколько сильно ее самое слабое звено.

Очень часто таким слабым звеном оказываются не технические средства защиты, а люди. Поэтому работа с цифровым иммунитетом должна выстраиваться параллельно по нескольким ключевым трекам:

На уровне технологий она подразумевает внедрение современных программных и аппаратных СЗИ, организацию мониторинга сетевой активности не только на границе периметра, но и внутри, ролевой доступ к данным и множество других методов и инструментов, вплоть до интеллектуальных видеокамер.

К организационным мерам относятся внедрение политик безопасности, обучение сотрудников, создание культуры кибербезопасности в организации, риск‑ориентированный подход к защите систем и данных, а также грамотное управление информационными системами.

Как укрепить цифровой иммунитет компании

Сами люди — серьезная угроза для бизнеса с точки зрения информационной безопасности. Сотрудники на своих рабочих местах часто халатно относятся к управлению паролями, пересылают важные документы через публичные мессенджеры, переходят по сомнительным ссылкам, полученным по почте, отправляют моделям ИИ конфиденциальные данные. Поэтому для укрепления цифрового иммунитета важно минимизировать риски, связанные с командой.

Один из ключевых факторов успеха здесь — индивидуальная осведомленность сотрудников. Они должны понимать риски, связанные с использованием цифровых технологий, уметь распознавать мошеннические схемы и в целом разумно относиться к корпоративным ресурсам. Это достигается путем персональной работы с каждым членом команды. К сожалению, большое количество компаний не уделяет этому не просто должного или приоритетного, а вообще никакого внимания. Вы можете входить в их число, если организационно‑распорядительная документация лежит в красивой папке — и лишь некоторые сотрудники знают, что такая папка где‑то есть.

Шаг 1. Оценить реальный масштаб проблемы

Чтобы оценить реальное положение дел, обычно достаточно спросить нескольких сотрудников, что они будут делать при возникновении инцидента: например, в случае когда вирус‑шифровальщик заблокировал доступ к корпоративным ресурсам. Если они знают, где хранятся резервные копии, насколько они актуальны, как их развернуть, а также уверенно отвечают на вопросы о последовательности действий — уровень цифрового иммунитета в компании достаточно высокий.

Но чаще всего это не так. И в таких случаях важно провести дополнительные исследования:

Проанализировать поведение пользователей и выявить группы риска. Это можно сделать с помощью тестов, наблюдений, а также специальных инструментов (например, User Behaviour Analytics, UBA);

Проверить системы на уязвимости, используя современные технические средства, в том числе с применением ИИ. Кроме того, можно привлечь специалистов для проведения пентестов, Chaos Engineering (намеренного создания ситуаций сбоев) или Bug Bounty (тестирования на проникновение в ИТ‑инфраструктуру, которое проводят специалисты по «этичному хакингу).

Шаг 2. Запустить технологический стек

Набор технических средств информационной безопасности должен четко отвечать задачам бизнеса и результатам проведенного аудита. Кроме того, он должен учитывать возможность как внешних атак, так и внутренних угроз. Например, если существует риск фотографирования экрана — можно установить в офисе видеокамеры с широким углом обзора. Если есть риск удаления или модификации данных — внедрить средства управления версионностью и логирования действий.

В самом общем плане в компании стоит в первую очередь внедрить инструменты шифрования передаваемых данных, многофакторной аутентификации и контроля сеансов, мониторинга данных на всех уровнях бизнеса.

Шаг 3. Сформировать культуру кибербезопасности

Чтобы предотвратить внутренние угрозы и укрепить цифровой иммунитет компании, нужно сформировать целостную культуру кибербезопасности. Здесь важна совместная работа HR и ИБ‑специалистов.

Каждого нового сотрудника с первых дней важно информировать о правилах ИБ, установленных в соответствии с законодательством и корпоративным кодексом, а также о штрафных санкциях за их нарушение. Сотрудники должны чувствовать ответственность за результат своих действий: например, понимать, что оставить компьютер незаблокированным так же легкомысленно и опасно, как не запереть дверь, уходя из дома.

Кроме того, важно, чтобы руководители собственными действиями показывали пример ответственного отношения к информационной безопасности. Лидеры должны стать ролевой моделью для команды.

Шаг 4. Развивать навыки сотрудников

Стоит также внедрять инструменты мотивации — например, сейчас популярны форматы геймификации: квесты, игры. Даже сложные технические вопросы можно объяснить на доступном языке — и усилить обучение интерактивной составляющей.

Также для того, чтобы держать людей в тонусе, напоминать о рисках и проверять уровень готовности к ним, полезно время от времени проводить «контролируемые атаки»: например, рассылать «фишинговые» письма и проверять реакцию сотрудников на них, а затем проводить «работу над ошибками». С каждой новой такой рассылкой доля пользователей, которые нажимают на сомнительную ссылку, будет сокращаться.

При всем этом придется учитывать, что далеко не все способны выйти за пределы шаблонов и научиться действовать не по указке. В таких случаях курсы не помогут — и, скорее всего, для таких сотрудников оптимальным решением будет более жесткий режим по ограничению доступа к информационным ресурсам. Вероятнее всего, не все данные, к которым у таких сотрудников есть доступ, действительно нужны им для работы.

Шаг 5. Поставить адекватные KPI

Отдельная задача — формирование адекватной системы KPI для оценки уровня информационной безопасности. Они не должны сводиться к показателям отдельных подразделений, например, ИБ или HR. Ведь количество сотрудников, прослушавших курсы по кибербезопасности, или количество внедренных технических решений еще не говорит о реальной защищенности, которая всегда определяется по самому слабому звену.

Причем важно, чтобы улучшение показаний того или иного индикатора действительно влияло на цифровой иммунитет, а не было формальностью для начисления премий. Для этого нужно комплексно подойти к формированию системы кибербезопасности — от целеполагания и определения критически важных данных до обучения сотрудников основам антифишинга.

Недавно аналитики опубликовали индекс кибербезопасности в российском бизнесе. Средняя оценка уровня кибербезопасности у 1 000 компаний из ключевых секторов экономики составила 5,2 балла по шкале от 0 до 10, где 10 — минимальный риск. Наивысшую оценку в 10 баллов получили всего 4 компании. В своей практике я видел всего несколько бизнесов, где уровень защищенности могу оценить в 60‑70%. В среднем это около 30‑40%.

И чаще всего самое слабое звено в защите компаний — не технологии, а люди. Достаточно просто посмотреть на то, как сотрудники работают за компьютерами — и станет понятно, что в большинстве компаний любая мало‑мальски нетривиальная угроза способна «положить» ИТ‑системы. Укрепление цифрового иммунитета возможно только через работу с людьми и повышение их навыков противостоять угрозам — как внешним, так и внутренним.