Технологии Бизнес Мультимедийная статья Фонтанка pro

Вас зашифровали — платите выкуп! Как небольшим компаниям защититься от киберзлодеев

30 сентября 2025, 12:39 11 492

Малый и средний бизнес, тот самый МСБ, даже не заметил, как стал привлекательной добычей для ИТ-злоумышленников. Почему это произошло, что делать и можно ли игнорировать угрозу без ущерба для финансового здоровья компании, разбирались эксперты «Pro IT Дзен» — закрытого мероприятия, организованного ИТ-интегратором Sympace. «Фонтанка» послушала и сделала выводы.

Вывод № 1. Взломать незащищенный МСБ — дешево и просто

«Для малого бизнеса основная угроза — автоматизированные атаки, которые приводят к шифрованию и потере данных, — отметил Антон Бочкарев, основатель компании „Третья Сторона“. — Вот реальный пример. Предприятие закупает овощи и фрукты у местных поставщиков и направляет их в сетевые гипермаркеты, а всю информацию собирает в две базы 1С. К ним „залетел“ шифровальщик с выкупом 1,7 млн рублей. В итоге они сторговались до 1,5 млн и заплатили, что, конечно же, не рекомендуется. Я даже не знаю, получилось ли у них полноценно восстановить базы, но это было для бизнеса трагедией и огромным ущербом.

Такие атаки максимально распространены, так как дешевы для злоумышленников. Раньше преступники приходили к крупному бизнесу и просили огромные деньги, а сейчас могут автоматизировано «раскатывать» шифровальщики по МСБ и требовать выплаты. Человек минимально подключается на каждом этапе».

Вывод № 2. Информационная безопасность начинается с базовых инструментов и правил

«Малому бизнесу стоит подумать о минимальной защите внешнего периметра, чтобы избежать „детских“ ошибок, — подчеркнул Рустам Гусейнов, председатель ИБ-кооператива RAD COP. — Вроде открытого на внешнем контуре порта, по которому умелец может подключиться к вашей 1С с помощью автоматизированного сканера, чтобы удалить или зашифровать базу. Плюс полезен мониторинг информации, которая поступает вовне. Он стоит недорого, пару десятков тысяч в месяц, но вы будете узнавать об утечках и негативных упоминаниях бренда.

Если у вас все-таки есть системный администратор или возможность оплатить надежное облако, где это реализовано, соблюдайте базовую гигиену: ролевые модели, разграничение прав, мониторинг доступа к чувствительным активам, резервное копирование. Здесь я бы призвал ориентироваться на какой-то популярный стандарт информационной безопасности (ИБ), существуют даже простые варианты для бесплатного скачивания».

Основатель Клуба профессиональных управленцев PMPRO.club Арсений Маслов, последние четверть года лично отстраивавший с нуля малый бизнес, поделился своим подходом.

«Мы решили все отправить в облака: почту, календарь, ERP и т. д., — рассказал Арсений. — Когда только начинаешь, нужно полностью перекладывать риски на провайдеров, которые готовы за тебя их тащить. А не думать о том, как самостоятельно защищать почтовый сервер. Следующий момент: мы создали внутренний регламент, в котором говорится, что сотрудники могут ходить на любые сайты, но только с личных устройств. С корпоративных — нельзя никуда. Доступ не блокируется, но все об этом знают. Получается своеобразная проверка на осознанность. С теми, кто ее не проходит, мы прощаемся. Люди, вообще, являются самой большой проблемной зоной, поэтому я сторонник цифровизации. Если человека можно убрать из процесса, это надо сделать».

Дмитрий Федосов, менеджер по продажам и проектам компании MyQ, напомнил, что существенный процент утечек происходит на бумажных носителях и с этим тоже надо что-то делать.

«Как правило, в любой компании, подойдя к принтеру, вы можете увидеть кипы невостребованных документов — с финансовой информацией, персональными данными и т. д. Системы управления печатью призваны повысить уровень безопасности: не только предотвратить потерю информации, но и ограничить доступ к ИТ-инфраструктуре через печатающие устройства. Даже если какой-то нехороший человек, проникнув в офис или во внутренний ИБ-контур, попытается воспользоваться печатным устройством как уязвимостью, он не сможет этого сделать», — объяснил Дмитрий.

ИБ-решения для малого бизнеса, по мнению Антона Бочкарева, «должны стоить копейки и ничего не требовать от компании: ни настройки, ни даже понимания, как это работает». Эксперт предложил всего три проверочных галочки:

защита установлена;
внешний периметр сканируют и выдают понятный результат;
данные — в безопасном облаке, откуда их можно восстановить.

А Рустам Гусейнов выступил с несколько неожиданным заявлением: в некоторых случаях стоит сознательно пойти на риск.

«Часто рациональной стратегией для небольшой компании, не попадающей под госрегулирование, является… игнорировать возможные ИТ-угрозы. Вы выбираете не думать о безопасности, потому что завтра ключевая ставка может подскочить в пять раз и у вас горизонт планирования 3–6 месяцев. Это нормально, не надо стыдиться. Просто скажите громко: „Я малый бизнес, и я небезопасен“, — призвал эксперт.

Вывод № 3. Люди — источник и проблем, и решений

«Мы часто говорим про айтишную часть информационной безопасности, но почему-то забываем про человеческий фактор, — признал Александр Петров, руководитель направления Систем управления печатью компании „Мастер-РМ“. — Даже если периметр закрыт со всех сторон, изнутри и снаружи, нам никогда не исключить человека и его ошибки. Кто должен доносить до людей рекомендации по цифровой гигиене? В первую очередь, владелец бизнеса, потому что это в его интересах.

В любом случае кому-то стоит взять на себя эту ответственность. Возможно, айтишнику, если он есть. Или человеку, приносящему прибыль, которая потом улетучивается из-за неотраженных киберугроз. У нас, например, нет ни ИТ-директора, ни специалиста по ИБ. Я пришел в компанию шесть лет назад — все шесть лет эту лямку тяну, хотя платят мне за другое. Тем не менее, нахожу возможность раз в неделю проводить для персонала тренинги о том, куда надо и не надо лезть».

По мнению Дмитрия Федосова, уровень безопасности во многом зависит от желания руководителя бизнеса: «Он всегда может делегировать ИТ-сотрудникам поиск на рынке подходящих решений, чтобы они попытались протестировать, внедрить и посмотреть, какие риски это закрывает. Ну и, естественно, за какие деньги. Не знаю, как у других, у нас документация предоставляется по запросу. Дистрибутивы, тестовые лицензии — берите, разворачивайте, пробуйте».

Исполнительный директор компании Sympace Павел Ерастов согласился, что об информационной безопасности должен, в первую очередь, заботиться собственник — лично или делегируя задачу кому-то из подчиненных. «Если сравнивать компанию с домом, то кто как не владелец следит за тем, чтобы двери были прочными, замки надежными и камеры видеонаблюдения работали. Или хозяин заводит собаку, которая охраняет и не пускает воров за порог, — подчеркнул он. — И, разумеется, в основе цифровой гигиены — инструкции для персонала: куда можно ходить, куда — строго запрещено, что можно делать, а что категорически нельзя. Конкретно у нас в компании есть и инструкции, и регулярная смена паролей на устройствах, и облачная инфраструктура, которая защищается уже провайдером».

Куда идти МСБ, который не готов рисковать?

Компания Sympace не просто так затеяла на «Pro IT Дзен» дискуссию о кибербезопасности. ИТ-интегратор считает, что ИБ-решения — это инвестиция в будущее и для каждой компании найдется полезный вариант по карману. Даже если вы не знаете, что вам требуется, и не в курсе, где у вас «внешний периметр», обращайтесь. Кредо Sympace: «Мы ваш ИТ-друг. Вы спокойно работаете, мы внедряем ИТ». Информационной безопасности это тоже касается.

Команда Sympace — эксперты в трех направлениях ИТ. Компания работает с серверным оборудованием и системами хранения данных: от проектирования и поставки до сборки и настройки. К ней всегда можно обратиться за источниками бесперебойного питания для ЦОД. ИТ-интегратор не только подберет ИБП, но и проведет пусконаладку, а потом обеспечит обслуживание. За глубокой экспертизой в ПО — тоже в Sympace. Знатоки софта проконсультируют и предложат то, что нужно именно вам, найдут демоверсию на пробу и проведут пилотное внедрение.