Почему бизнес считает кибербезопасность вопросом айтишников, пока не становится поздно

Кибербезопасность в малом и среднем бизнесе почти всегда числится за айтишником. Отдельного бюджета на неё нет, отдельного человека — тоже, и год за годом это работает: серьёзных инцидентов не случается. Мелкие время от времени возникают, но их тихо разгребают своими силами, не привлекая внимания руководства.

Директор в это время занят выручкой, клиентами, командой. Кибербезопасность звучит как техническая тема, которая должна решаться сама собой где-то на уровне серверов и антивирусов — до тех пор, пока не выясняется, что решается она совсем не сама.

Логика «мы никому не интересны»

Рассуждение почти всегда одинаковое: компания небольшая, ничего секретного не производит, крупных сумм на счетах нет — значит, ломать её никому не интересно. В воображении хакер охотится за банками и корпорациями. Бухгалтерия на двадцать человек в эту картину обычно не вписывается.

Проблема в том, что современные атаки почти никогда не бывают адресными. Автоматические сканеры проверяют тысячи компаний подряд и ищут первую подвернувшуюся дыру: слабый пароль, незакрытое обновление, случайно открытый порт. Конкретная жертва их не интересует. Размер компании здесь ни при чём — важна только доступность.

Малый бизнес в этой логике даже привлекательнее крупного: меньше защиты, меньше внимания к вопросу, больше шансов, что доступ получат и не заметят этого месяцами.

Слабые места, которые появляются незаметно

Начинается всё с обычных бытовых компромиссов. Один пароль на несколько сервисов, потому что запоминать разные неудобно. Общий доступ к почте у двух сотрудников, потому что так исторически проще. Старый ноутбук уволившегося менеджера, до сих пор залогиненный во внутренние системы.

Каждое из этих решений принималось ради удобства и экономии времени, и по отдельности ни одно не выглядит катастрофой. Компания продолжает работать, никто не бьёт тревогу — пока перечень таких мелочей не начинает работать против самой компании.

Отдельная история — подрядчики и внешние сервисы. Доступ к CRM выдали агентству на время одного проекта и забыли отозвать. Бухгалтер работает из дома через тот же пароль, что и три года назад. Каждая такая точка — потенциальная дверь, о существовании которой в компании уже никто не помнит.

Похожая картина обычно складывается и с личными устройствами. Сотрудники заходят в рабочую почту с личного телефона, синхронизируют пароли через браузер на компьютере, которым пользуется вся семья. Граница между рабочим и личным цифровым пространством стирается незаметно, а вместе с ней исчезает и контроль над тем, кто и с какого устройства имеет доступ к данным компании.

Когда мелочи превращаются в инцидент

Реальные истории обычно скучнее голливудских взломов. Обычный сценарий выглядит скромно: фишинговое письмо, которое сотрудник открыл в понедельник утром между десятком других писем, или бот, перебравший тысячи паролей и наткнувшийся на тот самый, слишком простой, чтобы его забыть.

С этого момента событие может развиваться по-разному. Иногда это просто спам с корпоративного адреса — неприятно, но не смертельно. Иногда — доступ к переписке с клиентами, истории платежей, внутренним документам. А иногда — шифровальщик, который блокирует все файлы компании разом и требует деньги за разблокировку.

Момент, в который взлом становится заметен, редко совпадает с моментом, когда он произошёл. Между проникновением и его обнаружением часто проходят недели, а то и месяцы — и всё это время доступ к системам компании есть у кого-то постороннего.

Реальная цена одной ошибки

Прямые потери — это то, что видно сразу: выкуп за расшифровку данных, оплата экстренного восстановления систем, часы простоя, за которые никто не работает и не зарабатывает. Но самая дорогая часть обычно лежит в другом месте.

Клиенты, чьи данные утекли, редко узнают об этом из вежливого письма компании. Обычно источник — новости или собственный неприятный опыт, например звонок мошенников, представившихся сотрудниками именно этой компании. Доверие восстанавливается годами, а теряется за один инцидент.

Для компаний, которые работают с юрлицами по договору, есть и более прозаичный риск: пункт про защиту данных в контракте, невыполнение которого превращается в судебный спор и разорванные отношения с ключевым клиентом. Штрафы регулятора за утечку персональных данных давно перестали быть гипотетической угрозой из презентации консультанта — это отдельная и вполне реальная строка расходов.

Есть и менее очевидная цена — время команды. После серьёзного инцидента сотрудники неделями работают в режиме разбора завалов вместо своих обычных задач: восстанавливают данные вручную и объясняются с клиентами, которые об этом узнали. Проверка того, что ещё могло пострадать, растягивается на отдельную задачу сама по себе. Проект, который планировался на этот квартал, откладывается — вся команда занята последствиями того, что можно было предотвратить заранее.

Что на самом деле нужно бизнесу для защиты?

Здесь полезно разделить два уровня. Первый — базовая гигиена, которая закрывает большинство реальных атак: обновления систем без задержек на месяцы, разные пароли для разных сервисов, двухфакторная аутентификация на почте и в критичных сервисах, резервные копии, которые действительно можно восстановить. Формальная отметка о выполнении по расписанию здесь мало что значит сама по себе.

Второй уровень — управление доступом. Кто и к чему имеет доступ прямо сейчас, соответствует ли это реальным обязанностям сотрудника, что происходит с доступом при увольнении. Большинство компаний удивляются, когда впервые честно проходятся по этому списку: доступов почти всегда больше, чем нужно, а следов забытых учётных записей — больше, чем кажется.

Дорогие решения из корпоративного мира — SOC, отдельная служба безопасности, круглосуточный мониторинг — малому и среднему бизнесу обычно не нужны вовсе. Базовая гигиена и разумное управление доступом закрывают подавляющее большинство реальных сценариев атак на компанию такого размера.

Обучение сотрудников сюда тоже входит, хотя про него почему-то вспоминают в последнюю очередь. Большинство успешных атак начинаются с человека: с вложения, которое открыли, или ссылки в письме, выглядевшем как обычная переписка. Техническая защита в такой сценарий вообще не вмешивается. Полчаса объяснения, на что обращать внимание, снижают этот риск сильнее, чем половина технических мер вместе взятых.

С чего обычно начинают наводить порядок

Первый шаг обычно обходится без покупки нового софта. Достаточно простой инвентаризации: какие сервисы использует компания, кто в них залогинен, какие пароли не менялись годами. Эта картина обычно оказывается неприятным сюрпризом даже для директоров, которые считали, что примерно представляют, что происходит в компании.

Дальше — закрытие самых очевидных дыр: смена общих паролей на уникальные, включение двухфакторной аутентификации там, где она поддерживается, отзыв доступов у людей и подрядчиков, которые давно не работают с компанией. Это не требует бюджета крупного проекта — требует лишь того, чтобы кто-то один раз сел и прошёлся по списку до конца.

Резервное копирование стоит проверить отдельно и буквально. Вопрос здесь не в наличии копий — они почти всегда формально есть. Вопрос в том, можно ли из них реально восстановить данные прямо сейчас. Копия, которая ни разу не проходила проверку на восстановление, с равной вероятностью может оказаться пустой в момент, когда она понадобится.

Без явного ответственного риск не снижается

В компании без штатного специалиста по безопасности эта роль обычно распределена между всеми и поэтому не принадлежит никому. Айтишник считает, что закрывает базовые вопросы в рамках своей обычной работы. Директор считает, что раз серьёзных инцидентов не было, значит, всё более-менее под контролем.

Ни один из них не ошибается специально — просто у вопроса кибербезопасности нет владельца, который бы регулярно возвращался к нему и проверял актуальность защиты. Чаще всего его решают один раз и на годы о нём забывают.

Партнёр со стороны в этой роли полезен именно тем, что регулярно возвращается к инфраструктуре компании как к отдельной задаче: что изменилось за последний год, какие новые сервисы подключены, чей доступ пора закрыть. Бизнесу не обязательно разбираться в технических деталях самому. Важно, чтобы этот вопрос кто-то держал на контроле постоянно — регулярная сверка раз в квартал стоит дешевле, чем разбор инцидента, который уже случился.

Компания, которая один раз наводит порядок в паролях и доступах, не становится неуязвимой навсегда. Она просто перестаёт быть самой лёгкой мишенью из тысяч, которые автоматически сканирует каждый бот. Для автоматической атаки этого обычно достаточно, чтобы она прошла мимо и нашла себе жертву полегче.