Инциденты есть всегда, а разборов почти не бывает!

Если честно, в России мало компаний, которые действительно умеют разбирать инциденты так, как это делают зрелые ИБ-команды. Формально разбор проводится почти везде — есть акты, журналы, протоколы, отчёты, ссылки на регламенты. Но если посмотреть на содержание этих документов и на то, что происходит после каждого инцидента, картинка становится совсем другой. Чаще всего разбор — это формальность, а не инструмент повышения устойчивости.

Как руководитель отдела методологии и экспертизы ИБ SECURITM с 15-летним опытом ИБ в различных сферах деятельности компаний, я вижу, что у специалистов есть два самых сложных вызова.

Первый — в самом начале пути, когда нужно из множества регуляторных требований и разрозненных процессов собрать работающую систему, которая не будет тормозить бизнес, но даст реальную защиту.

Второй — когда все стандарты формально соблюдены. Именно тогда возникает самый правильный вопрос: «А наша система действительно защищает компанию или мы просто красиво закрываем чек-листы для аудиторов?»

Оба сценария сводятся к одной проблеме: формальное соответствие не равно реальной безопасности. Именно на стыке этих вызовов нужен практический инструмент, который превращает методологию из теории в рабочий механизм управления рисками.

Такой инструмент существует.

Российская отрасль информационной безопасности за последние три года пережила редкий по масштабу и глубине цикл трансформаций. Уход зарубежных вендоров, рост регуляторных требований, технологический рывок отечественных разработчиков, внедрение  ИИ в инфраструктуру и процессы — всё это создало совершенно новую рыночную реальность. Насыщенную, противоречивую, но точно — динамичную.

По данным SECURITM и итогам обсуждений с экспертами отрасли, рынок вошёл в стадию переосмысления как инструментов ИБ, так и самой роли информационной безопасности в компании. Сегодня ИБ стала выполнять управленческую функцию уровня топ-менеджмента. Попробуем разобраться, что именно происходит на рынке и куда он движется.

Информационная безопасность в ритейле всегда была сложным аспектом бизнеса. В отличие от многих других отраслей, здесь любой сбой моментально становится финансовым: если остановился сайт или платёжный шлюз, клиент буквально разворачивается и уходит. Если не работает кассовое ПО — магазин стоит. Если произошла утечка клиентских данных — в ход идут штрафы, репутационные потери и утрата доверия.

За последние годы я неоднократно сталкивался с ситуацией, когда ритейлинговая компания вкладывает значительные средства в ИБ — покупает новые средства защиты, нанимает людей, масштабирует инфраструктуру — а проблемы только нарастают. Инциденты не исчезают, атаки проходят успешно, аудиты показывают низкую зрелость процессов. Снаружи всё выглядит так, будто ИБ-служба просто «не справляется», но на деле корень проблемы совершенно другой.

И почти всегда это не из-за бюджета или людей, а из-за процессов.

18 ноября 2025 года вступили в силу изменения в порядок категорирования объектов критической информационной инфраструктуры. Постановление Правительства Российской Федерации №1762 полностью перестраивает подход к определению объектов КИИ, их значимости и последующим обязанностям субъектов. Фактически государство перезапускает весь механизм категорирования: от выявления объектов до контроля соблюдения требований.

Актуальная редакция порядка категорирования объектов критической информационной инфраструктуры уже доступна в сервисе SECURITM. Но нужно отметить, что факт публикации документа — только начало. Компании столкнутся с необходимостью пересматривать методики, документы, процессы мониторинга и всю архитектуру учета объектов КИИ.

Мы разобрались, что именно меняется и как организациям подготовиться к переходу на новую систему.

Постановление №1762 меняет важное

Если раньше категорирование строилось вокруг понятия «критических процессов», которые нужно выявить, описать, оценить и на их основе определить значимость объектов ИТ-инфраструктуры, то теперь этот элемент исключён полностью. В новой редакции нет анализа процессов, значимость больше не исходит из потребностей конкретной компании и не зависит от того, как она структурирует свои сервисы.

Когда мы вспоминаем о потерях из-за информационной безопасности, чаще всего в голове начинают крутиться крупные утечки, взломы или штрафы от контролирующих органов. Но реальность куда менее эффектная и куда более болезненная. Бизнес теряет деньги не только из-за громких инцидентов, а ежедневно — из-за ИБ-рутины, хаоса в процессах, неэффективной организационной модели и отсутствия единой системы управления. Это те потери, которые не попадают в новости, даже редко учитываются в самих компаниях, но именно они незаметно вымывают ресурсы бизнеса.

Часто встречаются ситуации, когда организация годами наращивает парк средств защиты, нанимает новых сотрудников, проходит аудиты — и всё равно продолжает жить в мире бесконечных инцидентов и «затыкания дыр». Давайте разберём, где и почему бизнес теряет деньги из-за неэффективной ИБ, какие маркеры указывают на системные проблемы и как автоматизация процессов всё это может изменить.

Почему оборудование и люди не спасают, а ИБ превращается в кошмар

В российском корпоративном секторе давно сформировался миф: если купить больше средств защиты, инцидентов станет меньше. На практике компании увеличивают бюджеты, нанимают специалистов, внедряют отдельные решения, но итоговый уровень защищённости остаётся низким. Аудиты фиксируют год от года одни и те же замечания, инциденты продолжают происходить, а ИБ-службы тратят всё больше времени на рутину, вместо того чтобы управлять рисками.

Основная причина — не в недостатке денег и даже не в нехватке кадров. Проблема в том, что процессы не выстроены как система. Когда каталог пользователей заполнен «мусорными» учётными записями, когда на серверах отсутствует базовая гигиена, когда межсетевые экраны работают по правилам пятилетней давности, ни один, даже самый модный продукт не спасёт. Большинство инцидентов в таких организациях происходят не из-за сложных атак, а из-за банальных ошибок: забытые пароли, неотключённые доступы, компьютеры без антивируса, невыданные или неотозванные права.

Любой, кто работает в корпоративной информационной безопасности, знает, что отчётность отнимает больше времени, чем хотелось бы. Формирование отчётов, согласование данных между подразделениями, бесконечные Excel-файлы, ручное копирование показателей из систем — всё это не только демотивирует специалистов, но и напрямую снижает эффективность ИБ. Пока команда занята сводками для аудиторов и контролёров, реальные риски могут оставаться без внимания.

Я нередко наблюдаю, как крупные организации с развитой ИБ-службой тратят недели на подготовку ежеквартальных отчётов, четверть, а то и треть от всего периода, чтобы закрыть квартал. И речь не только о государственных организациях или финансовых компаниях, работающих по различным нормативным требованиям, таким как 152-ФЗ (и подзаконные НПА) или ГОСТ 57580. Даже коммерческие структуры, не обременённые строгим регулированием, сталкиваются с тем, что любая проверка превращается в проект на полгода. Особенно если речь идет про построение различных систем менеджмента информационной безопасности, или соответствие лучшим практикам.

Данные о системах, уязвимостях, инцидентах и планах устранения собираются вручную из множества источников, а после — проходят цепочку проверок и уточнений.

Меня периодически спрашивают: «Как начать процесс управления рисками?» И всякий раз после паузы я ловлю себя на мысли, что мой ответ будет не про то, как начать, а про то, почему большинство компаний останавливается, даже толком не запустившись.

За годы работы с организациями разного уровня — от небольших финансовых структур до крупных промышленных холдингов — я убедился: главная проблема риск-менеджмента не в методологиях и не в математике. Главная проблема — в ручном подходе. Он в любом случае всё сломает. Вопрос лишь во времени.

В финансовой отрасли давно сформировался устойчивый парадокс. Банки оказываются одними из самых защищённых с точки зрения технологий и регуляторного контроля, но при этом значительная часть усилий команд информационной безопасности уходит не на предупреждение угроз, а на подготовку к проверкам и подтверждение соответствия. Аудит воспринимается не как контроль за стабильностью и стимул для развития процессов, а как стресс-проект, который выбивает сотрудников из операционной работы на месяцы.

По мере роста требований регуляторов нагрузка увеличивается. Стандарт ГОСТ 57580, положения Банка России, международные стандарты, внутренние регламенты — всё это формирует массив нормативов, который необходимо не только исполнять, но и постоянно подтверждать доказательной базой. Для крупных банков это тысячи документов, десятки тысяч артефактов, сотни участников согласований. Каждое обновление нормативов заставляет команды заново пересматривать формы контроля, переписывать документы, изменять регламенты и собирать подтверждения. В результате процесс, который должен обеспечивать устойчивость, превращается в бесконечный цикл подготовки к проверкам.

Работа с информационной безопасностью в больших компаниях всегда была задачей непростой. Особенно когда речь идёт о головной организации с десятками дочерних структур, тысячами сотрудников и множеством серверов и сервисов. В таких условиях собрать все данные, понять, что где и как работает, и при этом держать процессы под контролем — задача, которую сложно решить без автоматизации.

Я хочу поделиться нашим опытом, как мы подошли к этой проблеме в SECURITM, и показать, как система помогает руководителям ИБ-служб выстраивать сквозной контроль над подрядчиками и процессами во всей структуре компании.

Компания SECURITM представила современный взгляд на построение систем управления информационной безопасностью (СУИБ) и продемонстрировала, как объединение SGRC-подходов , автоматизации и открытого сообщества специалистов позволяет компаниям эффективно управлять рисками и соответствием требованиям даже при ограниченных ресурсах.

Доступ к грамотному выстраиванию процессов в сфере информационной безопасности должен быть у каждой компании, даже со скромным бюджетом — именно такой подход исповедуют в компании SECURITM. В рамках этой концепции, пять лет назад специалисты компании запустили бесплатную Community-версию ресурса — SECURITM Community.

Её философия проста: дать специалистам по ИБ возможность обмениваться опытом, пользоваться готовыми инструментами и строить эффективную систему безопасности с нуля. И один из свежих примеров того, как это работает на практике, — кейс Пятигорского завода «Импульс». На нём объясним, как работает сообщество.

В информационной безопасности есть множество инструментов контроля качества: внутренние тесты, внешние аудиты, пентесты. Но у всех этих методов есть общее ограничение — они формализованы. Атакующие же редко действуют по чек-листам. Их сценарии непредсказуемы, мотивация разнообразна, а креативность нередко выходит за рамки того, что можно предусмотреть в регламенте. Взять для примера хотя бы недавнюю атаку на Аэрофлот.

Кроме того, традиционные проверки ограничены во времени и охвате. Аудит или пентест проводят раз в квартал, или раз в год — и в этот период фиксируют конкретное состояние системы. Но жизнь не стоит на месте: появляются новые уязвимости, обновляются компоненты, меняются архитектурные решения. В результате система, которая вчера считалась «чистой», уже завтра может содержать критические дыры.

Поэтому все больше организаций дополняют традиционные практики Bug Bounty программами. Это формат, при котором к поиску уязвимостей подключаются независимые исследователи со всего мира. Их взгляды и подходы позволяют обнаружить ошибки, которые не удается заметить внутренним специалистам или подрядчикам.

В современном бизнесе требования к соблюдению норм и стандартов становятся неотъемлемой частью стратегического управления. Однако многие компании по‑прежнему воспринимают комплаенс как формальную обязанность, направленную лишь на выполнение минимальных требований регуляторов. Такой подход чреват серьезными рисками, начиная от штрафов и заканчивая потерей репутации.

Разберем, почему комплаенс должен быть интегрирован в бизнес‑процессы, какие риски он помогает предотвратить и какую роль играет автоматизация с использованием SGRC «Security Governance, Risk Management and Compliance» — систем.

Этим летом ФСТЭК России ввел в действие новую редакцию «Методики оценки уровня критичности уязвимостей программных, программно-аппаратных средств».
В результате принятия данного документа прекратила свое действие прежняя методика, которая была утверждена ФСТЭК России еще в 2022 году.

Семь специалистов, семь Excel‑таблиц, и десятки требований регуляторов, которые обновляются со скоростью света.Каждая проверка — это гонка с дедлайном, хаос в переписках и отчаяние в глазах команды. Дошло до того, что отпуск одного сотрудника мог парализовать работу всей службы ИБ. Перемены не приходят в одночасье, обычно осознание того, что нужно что‑то менять приходит слишком поздно — а именно, после первого серьезного инцидента, когда урон уже нанесен.

Когда мы думаем об информационной безопасности в банках, чаще всего представляется гигантская организация с отдельным ситуационным центром, огромным штатом SOC‑аналитиков, миллионами в бюджете, заложенными на киберзащиту и командой проектных менеджеров, которые годами тестируют и внедряют системы и подходы. Но реальность не всегда является такой.

Сотни небольших банков в России и странах СНГ работают в совершенно иных условиях: команда ИБ — это несколько специалистов, бюджет — строго ограничен, а требования регуляторов — те же самые, что и для топ-10 игроков рынка.

Наш кейс — про один такой небольшой банк в России. Всего семь сотрудников в службе ИБ. И при этом — ГОСТ 57580, методические рекомендации 3/8/12, 72 форма отчетности и десятки других обязательных требований, которым нужно соответствовать.

Наша эпоха — эпоха киберугроз.

Мы живем в цифровом мире, где главная ценность — это данные.

Они определяют работу компаний, структуру власти, научные прорывы и составляют значительную часть нашей жизни. Данные — валюта новой экономики. Но при этом они стали и разменной монетой: одни пытаются их защитить. Другие — украсть, исказить, или использовать в своих интересах. Именно поэтому информация всегда 

ГОСТ Р 57580.1-2017, как и любой другой стандарт на территории Российской Федерации, не является обязательным для применения. Однако Банком России выпущены нормативные акты, устанавливающие необходимость применения ГОСТ Р 57580.1-2017. В статье мы расскажем, как можно автоматизировать и упросить процесс проведения оценки соответствия требованиям ГОСТ Р 57580, используя SECURITM.

Под ГОСТом 57580 подразумевается набор критериев, благодаря которым определяется уровень защиты информации в соответствии с требованиями. 

Проверка на соответствие требованиям ГОСТ 57580 в финансовых организациях основывается на том, насколько организация придерживается мер для защиты данных.

Из значимых особенностей ГОСТ 57580, следует отметить выделение стандартом трех направлений оценки:

Федеральный закон от 23 мая 2025 года № 104-ФЗ внес существенные изменения в Кодекс Российской Федерации об административных правонарушениях (КоАП РФ). Теперь существенно увеличились административные санкции за несоблюдение правил информационной безопасности при использовании информационных технологий и средств защиты информации (СЗИ).

Рассмотрим подробнее нововведения и их последствия для бизнеса и пользователей.

В конце 2024 года Государственная дума утвердила поправки в КоАП РФ, которые вводят так называемые «оборотные» штрафы за утечки персональных данных.

Штрафы за утечку персональных данных увеличены в среднем втрое, а также введена ответственность за неуведомление Роскомнадзора о намерении осуществить  обработку ПДн или об утечке данных. Размер штрафа варьируется в зависимости от количества пострадавших субъектов и может достигать 15 миллионов рублей.