Executive Summary

3 факта:

• 80% успешных атак используют 20% типовых уязвимостей. Закрыв их, вы снижаете риск на 80% без миллионных бюджетов.
• Для среднего бизнеса без CISO в штате минимальный защитный контур стоит 200–500 тыс/год. Первый взлом — в 10–50 раз дороже.
• Регуляторные требования (152-ФЗ, 187-ФЗ) касаются не только банков. Промышленность и телеком — под прицелом.

2 риска:

• «У нас маленькая компания, никому не нужны» — 60% атак нацелены на средний бизнес именно из-за слабой защиты.
• «Поставим антивирус и firewall — и хватит» — этого недостаточно. Социальная инженерия обходит любую периметровую защиту.

1 совет:
Начните с трёх вещей: контроль доступа (кто и к чему имеет доступ), резервное копирование (которое реально работает), обучение сотрудников основам гигиены. Это закрывает 70% рисков.

---

Проблема: безопасность — это дорого? Нет. Взлом — дорого

Каждый второй собственник среднего бизнеса говорит мне: «Кибербезопасность — это для банков и госкомпаний. У нас нечего красть».

Статистика говорит обратное: 60% атак нацелены именно на средний бизнес. Потому что защита там слабее. А данные — контракты, базы клиентов, переписка, доступ в банк-клиент — стоят денег.

При этом полноценный SOC или штатный CISO для компании на 200–500 человек — роскошь. Но минимальный защитный контур, который закрывает 80% рисков, стоит копейки по сравнению с ценой одного успешного взлома.

---

Принцип Парето в кибербезопасности: 20% мер, 80% защиты

1. Контроль доступа (Identity & Access Management)

Самая частая дыра: у уволившегося сотрудника доступ к CRM и почте остаётся полгода, у стажёра — права админа, у всего отдела — общий пароль на облачной папке.

Минимальный набор:

• Отключение доступа уволенным сотрудникам в день увольнения (автоматизация через AD или HR-интеграцию)
• Принцип минимальных прав: каждому сотруднику — только то, что нужно для работы
• Двухфакторная аутентификация (2FA) на критических системах: почта, банк-клиент, CRM, VPN
• Парольная политика: 8+ символов, смена раз в 90 дней, без общих паролей

Бюджет: от 50 тыс/год (Google Workspace / Яндекс 360 с 2FA включён)
Закрывает риски: утечка данных по вине сотрудников, атаки через скомпрометированные учётки

2. Резервное копирование (Backup & Disaster Recovery)

Второе место в топе причин простоя — не технический сбой, а атака шифровальщика (ransomware). Без бэкапов компания платит выкуп или теряет данные навсегда.

Минимальный набор:

• Ежедневное резервное копирование критичных данных (ERP, 1С, CRM, почта)
• Правило 3–2–1: 3 копии данных на 2 разных носителях, 1 — вне офиса (облако или другой сервер)
• Ежемесячная проверка восстановления (backup бесполезен, если его нельзя развернуть)
• Хранение бэкапов в read-only режиме (чтобы шифровальщик не добрался и до них)

Бюджет: от 100 тыс/год (облачный бэкап + локальный NAS)
Закрывает риски: шифровальщики, сбои оборудования, человеческая ошибка

3. Обучение сотрудников (Security Awareness)

Самая дешёвая и самая недооценённая мера. 90% успешных атак начинаются с письма сотруднику: фишинг, поддельный счёт, просьба «перевести деньги срочно».

Минимальный набор:

• Базовый инструктаж для всех новых сотрудников (30 минут)
• Ежеквартальная рассылка с примерами реальных фишинговых писем
• Понятный регламент: «куда звонить, если пришло подозрительное письмо»
• Фишинг-симуляции (бесплатные инструменты: Gophish, Lucy)

Бюджет: от 0 (внутренними силами) до 200 тыс/год (с привлечением внешнего тренера)
Закрывает риски: фишинг, социальная инженерия, утечки по неосторожности

4. Защита периметра (Network & Endpoint)

Традиционный firewall + антивирус — база, которую нельзя игнорировать, но и полагаться только на неё — ошибка.

Минимальный набор:

• Межсетевой экран (firewall) с базовыми правилами сегментации
• Антивирус / EDR на всех рабочих станциях и серверах
• Обновления безопасности (patch management) — автоматические или ежемесячные
• VPN для удалённого доступа (OpenVPN / WireGuard / корпоративный)

Бюджет: от 150 тыс/год
Закрывает риски: типовые атаки снаружи, заражение через внешние носители

---

Чек-лист: минимальный защитный контур

• Доступ уволенных сотрудников отключается в день увольнения
• 2FA включена на почте, банк-клиенте, CRM
• Пароли длиннее 8 символов, меняются раз в 90 дней
• Ежедневный бэкап критичных систем по правилу 3–2–1
• Бэкапы хотя бы раз в месяц проверяются восстановлением
• Сотрудники проходят базовый инструктаж по безопасности
• Фишинг-симуляции проводятся раз в квартал
• Firewall настроен с сегментацией сетей
• Антивирус / EDR стоит на всех рабочих станциях
• Обновления безопасности устанавливаются автоматически

0–3 «да»: уровень риска критический. Начните с IAM и бэкапов — это самое больное.
4–7 «да»: базовый контур есть, но есть дыры. Усильте обучение и бэкапы.
8–10 «да»: хороший уровень. Добавьте пентест раз в год.

---

Что НЕ надо делать в безопасности (распространённые ошибки)

«Купим дорогой SIEM и всё решит». SIEM без человека, который анализирует события, — мёртвый груз. Для среднего бизнеса SIEM — оверинжиниринг.

«Наймём CISO за 500 тыс/мес». Если у вас 200 человек, CISO будет нечем заниматься половину времени. Лучше аутсорс безопасности — 50–100 тыс/мес за экспертизу по запросу.

«Запретим все мессенджеры и соцсети». Сотрудники найдут обход. Вместо запретов — обучение и контроль доступа к критичным данным.

«У нас есть бэкап — мы в безопасности». Если бэкап лежит на том же сервере, что и рабочие данные — шифровальщик найдёт и его.

---

Резюме

Кибербезопасность для среднего бизнеса — не про миллионные бюджеты и собственный SOC. Это про дисциплину и базовые принципы.

Четыре кита:

1. Контроль доступа (IAM) — кто и куда может зайти
2. Бэкапы (Backup) — что делать, если данные потеряны
3. Обучение (Awareness) — самый дешёвый и эффективный инструмент
4. Периметр (Network) — firewall + антивирус + обновления