Как организовать стратегию кибербезопасности

BIS Journal беседует с Антоном Сергеевым, директором Центра программных разработок и цифровых сервисов МИЭМ НИУ ВШЭ, академическим руководителем программы «Кибербезопасность как стратегия». 

В мае 2025 года штраф за утечку персональных данных вырос с сотен тысяч до 15 млн рублей, а с 2026 года за повторный инцидент компания платит по-новому: от 1 до 3% годовой выручки, но не менее 20 млн рублей, потолок — 500 млн. Для среднего бизнеса это вопрос выживания, а не «неприятность для ИТ-отдела». По данным InfoWatch, средний ущерб от утечки в России в 2024 году — 11,5 млн рублей, а с учетом расследования и репутационных потерь эксперты оценивают его до 140 млн; каждый второй успешный взлом заканчивается уходом данных из компании.

О том, как руководителю превратить защиту из статьи расходов в инструмент управления бизнесом, рассказал Антон Сергеев, директор Центра программных разработок и цифровых сервисов МИЭМ НИУ ВШЭ, академический руководитель программы «Кибербезопасность как стратегия».

— Антон Валерьевич, сейчас все чаще звучит мысль, что кибербезопасность становится управленческой задачей. Но у многих руководителей она по-прежнему «живет» в ИТ-отделе. Что изменилось?

— Информационная безопасность всегда была обеспечивающим направлением: она должна прикрыть компанию от рисков и обеспечить работоспособность зарабатывающих и обслуживающих сервисов даже в условиях атаки. Изменился масштаб последствий. Раньше инцидент означал простой рабочих процессов и головную боль сисадмина. Сегодня он может означать штраф регулятора, утечку клиентской базы, остановку производства, вопросы к совету директоров и от него, и, как следствие, огромные репутационные потери. Пока ИБ живет как «техническая тема», руководство видит только ее стоимость, и не видит, от каких потерь эта стоимость оберегает. Как только последствия становятся управленческими, и сам вопрос становится управленческим: не «какие firewall купить», а «какие бизнес-процессы мы не можем позволить себе потерять». Даже на короткое время.

— Классический вопрос. Что труднее, спланировать атаку или выстроить защиту?

— Планирование киберопераций и многоуровневой защиты (Defense-in-Depth) представляет собой классическую задачу теории игр с неравновесными условиями. Вопрос о том, что сложнее — проектирование вектора атаки или реализация защитной стратегии, кроется в фундаментальной асимметрии киберпространства: атакующему достаточно найти единственную уязвимость (Zero-Day, устаревшую версию ПО с уязвимостью, слабое звено в цепочке поставок или человеческий фактор), в то время как защитник обязан удерживать периметр абсолютно целостным на 100%.

При этом и планирование атак, и защитные действия требуют высокой квалификации. Современные кибератаки организованы как полноценные ИТ-проекты. Для серьезных атак нужны абсолютно такие же специалисты, как и для защиты: аналитики, программисты, тестировщики вредоносного программного обеспечения, сетевые специалисты и руководитель проекта. И даже специальные HR-менеджеры — ведь найти специалистов для такого дела тоже непростая задача. Подобные команды работают распределенно, а их участники физически находиться в разных странах.

При этом инфраструктура атакующих во многом совпадает с инфраструктурой обычных IT-компаний: они используют те же языки программирования, облачные платформы и инструменты разработки. Хакерские системы становятся более организованными, требуют значительного финансирования, и через это часто напрямую или косвенно связаны с компаниями, государственными или политическими организациями, а также криминальными структурами. Эти группировки действуют системно и целенаправленно. Обладая значительными ресурсами и профессиональным менеджментом, они провели 14 172 кибератаки — это не просто действия «отдельных лиц», а хорошо выстроенные операции с участием заинтересованных и влиятельных игроков.

Что делать компании? Выстраивать системную защиту, опираясь на высокую квалификацию специалистов, поддержку регулятора и правильные управленческие решения.

— С чего руководителю начинать, если у компании нет стратегии защиты?

— Стратегия — отправная точка всех действий организации. Она превращает защиту из набора разрозненных мер в системный процесс, жестко привязанный к бизнес-целям. Без нее невозможно понять, что именно нужно защищать, от кого и какими силами. Я сравниваю это с армией: разумный военачальник не разрабатывает стратегию в одиночку. Есть штаб, есть заблаговременно подготовленные планы, есть ресурсное обеспечение. В информационной безопасности так же: один человек, даже очень квалифицированный, не должен и не может держать это в голове.

Первый шаг для руководителя — запросить у блока ИБ карту ключевых рисков и угроз ИБ. Это сценарии, которые реально остановят бизнес: утечка клиентской базы, остановка ключевого сервиса, компрометация финансовых систем. Важно оценить стоимость этих рисков, расставить приоритеты по их минимизации. Второй шаг — оценить как данные угрозы, в случае наступления негативных событий, будут влиять на работу компании сейчас. И к какому целевому состоянию мы стремимся? Что нужно сделать, чтобы реализация угроз влияла на работу самым минимальным образом? Как поменять процессы, какие технические требования предъявить, какие применить организационные меры? Третий этап — создание стратегии, плана развития, включая приоритезацию мер, бюджетирование, закупки, кадровое обеспечение.  Важно закрепить, что стратегия пересматривается регулярно, как любая корпоративная стратегия. Ландшафт угроз постоянно меняется: документ, написанный три года назад, защищает вчерашнюю компанию. И важный этап любой стратегии — ее реализация. Внедрение решений, контроль исполнения планов, развертывание и настройка СЗИ, работа с людьми и т. п.

— Бюджет на ИБ — сложная тема для руководителя. Часто блок ИБ просит деньги, а бизнес не понимает, зачем. Что с этим делать?

— Вводить правильное бюджетирование. Согласен, ресурсное планирование ИБ — тот важнейший навык руководителя блока, которому почти нигде не учат. По сути, это перевод с технического языка на язык бизнеса. Инвесторов и генеральных директоров редко интересуют отличия между межсетевыми экранами или новыми моделями сканеров кода. Правильное бюджетирование показывает в цифрах, как вложения защищают компанию от остановки производства или штрафа за утечку.

У меня есть простое правило: любое предложение по закупке средств защиты должно приходить к совету директоров в одной из трех валют — предотвращенные потери, сниженный штрафной риск или сохраненная выручка. Если предложение формулируется иначе, я бы вернул его на доработку. И важно понимать: контекст решает все. В банкинге модель угроз одна, в промышленности другая, в торговле третья — у всех разные риски и разные цели бизнеса. Шаблонной стратегии, которую можно скопировать из чужого кейса, не существует. Полностью автоматизировать ее тоже нельзя: многие решения требуют понимания контекста организации и чуткой реакции на изменения. Службы ИБ при этом почти всегда работают с ограниченными ресурсами — поэтому распорядиться ими грамотно важнее, чем просто «получить больше».

— Человек — главная уязвимость: это сегодня уже клише или по-прежнему правда?

— Это правда, и цифры ее подтверждают. По данным InfoWatch, самой авторитетной компании в России повопросам инсайдеров, доля утечек по вине внутренних нарушителей в стране достигла исторического максимума: не менее 89% утечек так или иначе связаны с сотрудниками. В финансовом секторе на инсайдеров приходится около трети всех инцидентов с данными. И важная деталь: доля утечек по вине самих руководителей за год выросла.

Приведу кейс из банковской сферы. Сотрудник воспользовался учетной записью руководителя, получил доступ в закрытый контур, выгрузил данные, замаскировал их под видеофайлы, разбил на части и зашифровал перед передачей за пределы защищенной сети. Это была хорошо подготовленная сознательная попытка вывода данных. Компания смогла достаточно быстро выявить утечку и установить виновника. Но честная оговорка обязательна: современные системы не всегда способны предотвратить утечку при целенаправленных действиях сотрудника. Человек — живой, его поведение сложно предсказать. Но можно.

— И что с этим делать? Ведь в большинстве случаев человек не имеет преступных замыслов. Но при этом, как вы сами сказали, он живой и совершает ошибки. Нельзя же всех уволить.

— Нельзя, да и не нужно. Важно, чтобы, во-первых, формировалась культура доверия в компании, и, во-вторых, сотрудники понимали, что и как нужно делать в случае подозрительной ситуации. Риски у разных поколений разные, и работать с ними надо по-разному. Старшие по возрасту специалисты более уязвимы к социальной инженерии - атакам, когда мошенник «продавливает» человека через доверие, страх или спешку. Плюс, они порой хуже разбираются в технологиях. Молодые сотрудники создают иной риск: Shadow IT, несанкционированное ПО, теневые SaaS-сервисы, личные устройства без корпоративного контроля. Они искренне не видят в этом угрозы — просто привыкли, что удобный сервис всегда под рукой.

Кибербезопасников нередко называют пессимистами: они вводят правила, требуют дополнительных действий, часто напрягают. Но специалист по безопасности не может быть ни чрезмерным пессимистом, ни оторванным от людей теоретиком. Его задача — реалистично оценивать риски и уметь объяснять их сотрудникам. Можно заходить домой в ботинках и ставить их на диван — так проще. Но люди снимают обувь, потому что понимают, зачем это нужно. Так же работает кибербезопасность: правила могут быть неудобными, но они часть корпоративной культуры и кибергигиены, которую нужно объяснять и прививать.

Отсюда три задачи для руководителя. Первая — оценивать культуру и поведение сотрудников как отдельный риск, наравне с техническими уязвимостями. Вторая — выстроить партнерство между ИБ и HR: обучение не «раз в год по приказу», а встроенное в рабочие процессы. Третья — принять как данность, что часть людей будет нарушать правила, и проектировать контроль так, чтобы одна человеческая ошибка не стоила компании выживания.

— Какие еще вызовы вы видите сегодня?

— Их как минимум два больших. Первый — импортозамещение. В условиях жесткого санкционного давления и перехода к технологическому суверенитету российский ландшафт информационной безопасности столкнулся с беспрецедентной трансформацией. Еще вчера мы работали с одними ИТ-системами и средствами защиты, а сегодня вынуждены работать с другими — часто сырыми и плохо поддерживаемыми, это нужно признавать. Каждая замена — это не только миграция данных, но и заново выстроенная цепочка доверия: новые вендоры, новые обновления, новые ошибки в продакшене. Для руководителя вывод простой: сроки и риски замены инфраструктуры закладываются в стратегию заранее, а не принимаются как форс-мажор под давлением регуляторов.

Второй — искусственный интеллект. Массовое внедрение языковых моделей в критические бизнес-процессы — от финансов до логистики — значительно расширяет поверхность атаки. И часто форсированное внедрение ИИ обгоняет принципы Secure-by-Design — когда защита закладывается в систему изначально, а не достраивается потом.

Классический пример — состязательные атаки. Малозаметное для оператора искажение входных данных: пиксельный шум на фото лица в биометрической системе или на камере распознавания номеров. Для модели этого достаточно, чтобы «принять» чужого за своего или пропустить нарушителя. Добавляются и более изощренные векторы: отравление обучающих выборок, когда модель намеренно учат на испорченных данных, манипуляции с запросами. Без специализированных инструментов валидации данных и робастного тестирования моделей новые технологии становятся уязвимым звеном корпоративной инфраструктуры.

Вывод здесь такой: если в компании появляется нейросеть, которой делегированы решения, — это уже не ИТ-проект, а управленческий. Порядок ввода таких систем в работу должен утверждаться так же строго, как порядок запуска нового продукта.

— Что бы вы посоветовали руководителю, который понял, что его компании все это касается?

— Во-первых, учиться. Технологии, нормативная база и методы атак меняются слишком быстро, чтобы опираться на старые знания. Даже если человек работает в информационной безопасности десятилетиями, ему все равно нужно учиться, иначе он очень быстро превратится в динозавра. Специалисту, и тем более руководителю, нужно видеть, куда движется отрасль, чтобы предугадывать угрозы, а не реагировать на них постфактум.

Во-вторых, выстроить систему, а не коллекционировать меры. Собрать все элементы — карту рисков, бюджетирование, организацию блока ИБ, работу с человеческим фактором — в рабочую целостную картину. Мы скоро проведем двухдневный интенсив «Кибербезопасность как стратегия», где разберем все главные вопросы построения стратегии кибербезопасности именно с точки зрения руководителя. Мы сознательно не требуем технической подготовки: два модуля — «Стратегия киберустойчивости организации» и «Организация защиты: безопасность как результат» — разбирают риск-ориентированный подход, бюджетирование ИБ, построение структуры ИБ-подразделения и ключевые технологии защиты. Среди приглашенных экспертов — представители регуляторов — Минцифры, ЦБ, Роскомнадзора. Кроме того, мы пригласили признанных экспертов от разных сегментов бизнеса, среди них — управленцы крупных ИБ-компаний и ведущих технологических гигантов, аудитория которых исчисляется десятками миллионов человек. У каждого из них за плечами огромный опыт выстраивания кибербезопасности в организации как единого стратегически продуманного комплексного механизма. Подробнее о программе — по ссылке.

Реклама. Федеральное государственное автономное образовательное учреждение высшего образования «Национальный исследовательский университет "Высшая школа экономики"». ИНН: 7714030726, Erid: 2Vfnxx4D63o