ИБ для среднего бизнеса: девять шагов, которые помогут повысить защищенность

В 2025 году атаки на цепочки поставок участились на 90%: хакеры проникают в компании через их подрядчиков, чаще всего взламывают средние предприятия, чтобы добраться до крупного бизнеса. В 2026 году ожидается рост таких атак на 35-40 %, поэтому крупные компании уже требуют от подрядчиков повысить защищенность. Ильдар Галиев, руководитель направления развития услуг «Кросс технолоджис», в статье для Cyber Media предлагает план, который поможет защитить бизнес, репутацию и укрепить отношения с крупными клиентами.

Минимизируем риск взлома и получения штрафа

Если у вас есть клиенты и сотрудники, то регулирование в сфере персональных данных (ПДн) – обязательный аспект вашей работы. Все операторы ПДн должны регистрироваться в Роскомнадзоре. Попытки избежать регистрации не избавят от проблем, а лишь увеличат размер штрафа, который предстоит заплатить. Поэтому важно пройти регистрацию, изучить требования (начать с 152-ФЗ) и следить за изменениями регулирования. Напомним, что за нарушения требований в сфере ПДн предусмотрены санкции в размере до 20 млн рублей.

Регулирование в сфере КИИ (критической информационной инфраструктуры) сейчас активно развивается - пересматриваются подходы по категорированию объектов КИИ и к оценке категорий значимости, ФСТЭК регулярно обновляет и развивает подходы, не так давно появился консолидированный перечень отраслевых объектов КИИ (ФЗ №187), который позволил упростить определение ОКИИ и исключить ошибки в категорировании и определении категории значимости объекта. Чтобы соответствовать требованиям, определите первоочередные меры из списка обязательных и бюджет, который вы готовы выделить на выполнение требований.

Соблюдение требований и стандартов — это основа, но важно не забывать также и о пользовательском опыте. Помня о регулировании, стройте инфраструктуру таким образом, чтобы она была удобной для тех, кто ей пользуется и кто ее администрирует, а также обучайте команду основам информационной безопасности и сообщайте о новых угрозах.

Проводим внутренний аудит ИТ-инфраструктуры и процессов

Внутренний аудит занимает 1-3 месяца в зависимости от масштабов инфраструктуры. Он позволит получить полную картину активов и их состояния: понять, где железо уже устарело, где нужно обновить лицензии, а где вовсе не используется в полную силу. Это важно как для защиты компании, так и для планирования закупок. Еще одно направление – процессы. Может оказаться, что они существуют только на бумаге, или что они небезопасны и/или неэффективны.

Результат этого этапа – актуальная картина активов и процессов, а также план их модернизации, понимание «узких» мест, позволяющих усилить систему защиты. Поскольку для среднего бизнеса ИБ – часто непрофильное направление, на данном этапе также может пригодиться поддержка интегратора.

Формализуем процессы

Формализация включает подготовку политик и регламентов. Назначьте ответственного за ИБ в вашей организации, пропишите его полномочия. Четко разграничьте роли и ответственность в службах ИТ и ИБ, при этом важно сделать их союзниками, а не способствовать усилению конкуренции между подразделениями. Важный шаг – проработать порядок действий в критических ситуациях. Когда за ИБ никто не отвечает, в случае ЧП реагирование оказывается неэффективным, и компания теряет деньги и клиентов.

Подбираем необходимые СЗИ

Когда вы получили полное представление об активах и процессах, а также назначили ответственного, можно перейти к проектированию и внедрению средств защиты. По моему опыту, от аудита до завершения внедрения комплекса средств защиты и проведения испытаний проходит от 6 до 9 месяцев. Реальная же продолжительность зависит не только от проекта, но и от техпроцессов внутри компании, наличия ответственных на местах. В моей практике был случай, когда на сложном производстве работы по развертыванию средства защиты информации можно было вести всего лишь в течении 1-2 дней за год во время технического останова на производственном объекте, предварительно получив одобрение и согласование от всех задействованных служб и подразделений.

Какие СЗИ выбрать? Минимальный набор: антивирусная защита, многофакторная аутентификация, резервное копирование:

• Антивирус защитит устройства в офисе и на производстве, он должен быть на ПК каждого сотрудника.
• Многофакторная аутентификация не даст злоумышленникам выдать себя за сотрудников компании и зайти в вашу сеть при помощи украденного пароля. Данный вид аутентификации требует подтверждения личности с помощью двух или более различных факторов: например, кода из SMS, отпечатка пальца, дополнительной комбинации цифр).
• Резервное копирование – ваша страховка, которая в случае успешной атаки позволит восстановить данные компании – чертежи, схемы, финансовые документы и др.

Сегментируем сеть

Зачем: ограничить распространение возможной атаки

Приведу простой пример: гостевой WiFi не должен быть способом получения доступа ко всем ресурсам компании. Если злоумышленник взломает его, важно, чтобы он не смог пройти из этого сегмента в интранет компании, не получил доступ к системным папкам, поэтому сеть «нарезается» на сегменты, для каждого из которых определяются параметры доступа и список пользователей.

Организуем удаленный доступ для сотрудников

Зачем: минимизировать риск утечки информации

2020-е – время гибридного формата работы, кроме того, во многих компаниях сотрудники выезжают на объекты в различных городах. Вне офиса они подключаются к публичным сетям, которые легко могут взломать хакеры, чтобы получить доступ к файлам, которые отправляет сотрудник, его переписке, а также захватить его рабочий профиль. Чтобы избежать этих проблем, создайте корпоративный VPN, формализуйте процесс подключения к рабочим ресурсам вне офиса и контролируйте удаленный доступ.

Обеспечиваем мониторинг инцидентов кибербезопасности

Зачем: вовремя фиксировать аномалии и предотвращать инциденты

В условиях скромного бюджета у компании вряд ли есть средства на покупку, настройку и обслуживание SIEM-системы, которая отвечает за сбор, анализ и управление информацией о событиях безопасности из различных источников в вашей ИТ-инфраструктуре. В таком случае может быть выгодно подключить SOC (центр кибербезопасности) в формате сервиса (SOCaaS): аналитики будут следить за вашими системами и при возникновении угроз сообщать вам, а при необходимости – рекомендовать, как защититься, и помогать останавливать атаку.

Проводим тестирование на проникновение (пентест)

Зачем: понять, работает ли ваша защита и что в ней улучшить

Пентест – это имитация действий реальных хакеров, он позволяет понять, как в реальности можно взломать компанию. В упрощенном виде такую проверку можно провести силами компании, главное реализовать базовые методы взлома: проверить популярные уязвимости, организовать фишинг-кампании, попытаться взломать внешний периметр компании (например, сайт).

В идеале результат хорошего пентеста – не только список рабочих векторов атаки, но и рекомендации по повышению защищенности с планом работ.

Обучаем сотрудников

Зачем: защитить самое слабое звено киберзащиты любой компании - людей

Ключевое направление — фишинговые атаки: письма и сообщения от «клиентов» или «руководителей», при помощи которых хакеры крадут доступы к системам, данные, а нередко — и средства. Тренируйте сотрудников распознавать фишинг: попробуйте хотя бы раз в месяц отправлять им подозрительные письма, например, содержащие «файл с премиями», чтобы открыть который, нужно ввести логин и пароль от рабочего компьютера.

Тем, кто стал жертвой учебной атаки, понадобится беседа с командой ИБ и дальнейшие «тренировки».

Итог

Информационная безопасность для среднего, да и в целом для бизнеса любых масштабов – это не разовая покупка «волшебного» средства защиты на все случаи жизни, а управляемая регулярная программа работы: от понимания требований законодательства и инвентаризации активов до внедрения базовых мер, проверки эффективности и регулярного обучения людей. Если пройти эти шаги последовательно, компания одновременно снижает риск простоя и потерь, выполняет ожидания крупных заказчиков по безопасности цепочки поставок и повышает доверие к себе как к надежному подрядчику.

Наконец, защищенность нужно подтверждать практикой: мониторинг инцидентов (в том числе через SOCaaS при ограниченном бюджете), пентест и постоянные тренировки сотрудников превращают ИБ из набора формальностей в живой работающий механизм снижения рисков. Такой подход позволяет бизнесу не только переживать рост атак, но и укреплять репутацию, сохраняя конкурентоспособность на рынке, где требования к безопасности из года в год только растут.