Бизнесу нужна постоянная площадка для системного анализа киберинцидентов и выработки мер реагирования

В России настало время создать единую, авторитетную, постоянно действующую площадку, где можно было бы представителям бизнеса системно обмениваться опытом предупреждения кибератак, обсуждать экстренные меры снижения ущерба от них, вырабатывать принципы экстренного реагирования. К такому выводу пришли участники профильной сессии на ПМЭФ-2026 в Санкт-Петербурге. Это естественное, казалось бы, решение наталкивается на страх участников рынка подпасть под регуляторные меры воздействия и штрафы за раскрытие информации о случившихся киберинцидентах, показало обсуждение. Для изменения ситуации потребуются изменения в соответствующие законы и нормативные акты. В этих условиях страховщики готовят свои предложения по теме киберстрахования.

ВРЕД ЗАМАЛЧИВАНИЯ

Ключевым кейсом в ходе обсуждения на сессии стал кейс "Страхового дома ВСК" о крупном киберинциденте, произошедшем в ноябре прошлого года. Компания заявила о нем регуляторам и правоохранителям в установленном порядке, в декабре было заведено уголовное дело. До сих пор страховщик испытывает определенные затруднения в связи с последствиями этой атаки. Председатель совета директоров компании ВСК Сергей Цикалюк поделился в ходе выступления основными выводами, связанными с этой атакой.

В ходе интерактивного голосования на сессии ни один из участников не ответил положительно на вопрос о полном исключении возможности кибератаки на его компанию. При этом порядка 65% голосовавших допустили существенный ущерб от такой атаки и 35% - несущественный.

Заместитель председателя правления Сбербанка Станислав Кузнецов в ходе выступления на сессии обратил внимание: "Сегодня регулирование построено по принципу - наказывать за открытость и поощрять сокрытие. Условно говоря, взломали компанию - надо наказать".

"Мне кажется, что регулирование точно должно в этом смысле развернуться на 180 градусов, нам надо всем подумать, как поощрять то, чтобы инциденты обсуждались, говорилось о них открыто. Молчание бизнеса сегодня на самом деле играет на руку всем киберпреступникам", - заявил Кузнецов.

Он признался, что по опыту зачастую первая реакция контрагента на негативные результаты проводимого круглосуточного мониторинга безопасности при выявлении опасных ситуаций в киберпространстве такая: "У нас все в порядке, у нас ничего страшного не произошло".

Кузнецов привел такой пример: "Был случай, когда я позвонил одному из заместителей руководителя федерального ведомства с информацией о том, что на наших радарах зафиксирован взлом не менее 500 компьютеров в разных регионах страны по линии этого ведомства. Происходящее может привести к колоссальному ущербу, хакеры находятся внутри инфраструктуры. Нужны меры по пресечению распространения вреда, знаем какие, задача не сложная".

Ответ прозвучал неожиданно:"Откуда вы узнали? Что себе позволяете? Этого быть не может, никого больше не информируйте!". Было ясно, что руководитель "не понимал, что делать, дав возможность преступникам действовать во внутренней инфраструктуре. Это печально", сделал вывод Кузнецов.

В ходе обсуждения темы он предложил создать рабочую группу технических специалистов, которые бы имели "возможность собираться мгновенно, затем донести информацию о любом инциденте руководителю координационного штаба".

"Нам надо переключить сознание, корпоративную культуру каждой компании в другой режим: есть проблема - эту проблему надо решать", - убежден Кузнецов.

Представитель Сбербанка отметил редкую позицию ВСК, которая решилась открыто проанализировать полученный опыт.

КИБЕРГИГИЕНА ХРОМАЕТ

Большая часть госорганов и компаний, являющихся владельцами объектов критической информационной инфраструктуры (КИИ), не выполняют базовые требования по обеспечению безопасности таких объектов, такие данные привел первый заместитель директора Федеральной службы по техническому и экспортному контролю (ФСТЭК) Виталий Лютиков, выступая на той же сессии ПМЭФ-2026.

"Мы уже длительное время находимся в состоянии напряженного противостояния в сфере кибербезопасности, - сказал он. - Но к сожалению, именно по базовым показателям (обеспечения ИБ на объектах КИИ - ИФ) у нас картина в лучшую сторону не меняется. Да, есть, конечно, определенные подвижки, но общее состояние продолжает оставаться не очень хорошим".

По словам Лютикова, в настоящее время ФСТЭК России осуществляет мониторинг состояния ИБ 4,5-5 тыс. госорганов, компаний и организаций, являющихся владельцами объектов КИИ. У 54% из них на периметре продолжают оставаться незакрытыми критические уязвимости. При этом он подчеркнул, что речь идет об известных уязвимостях.

Еще около 69% поднадзорных организаций не применяют двухфакторную аутентификацию для привилегированных пользователей, а 42% продолжают использовать в своей инфраструктуре пароли, установленные по умолчанию.

По его оценке, подходы к организации мер информбезопасности меняются медленно, в том числе в регионах.

"Мы, решая одну из задач по приграничным территориям, проанализировали IP на периметре. Выяснилось, что 29 тыс. IP-адресов вообще не задействованы были. В результате они были заблокированы безболезненно организациями нескольких регионов. Компании даже не знали, зачем вообще эти адреса существовали, а это колоссальная поверхность для потенциальной атаки", - привел пример Лютиков.

Он отчасти признал наличие проблемы в подходах к раскрытию информации.

"Детальность раскрытия информации по инциденту надо еще посмотреть, тут могут быть свои особенности. Раскрывать надо не организационно-правовые или финансовые аспекты, но технические детали", - допустил он.

"Мы в таком технологическом укладе находимся - сказать, что меня не взломают, практически невозможно Это надо принять. При внедрении того или иного нового цифрового сервиса надо оценивать, какие риски несет нарушение его функционирования, резервные процессы предусмотреть. Как только цифра развивается, аналоговые процессы деградируют и стремятся к нулю", - предупредил Лютиков.

Он также подчеркнул важность проверки подрядчиков компаний на соответствие требований к информбезопасности, это делают системно единицы.

Около 20% российских компаний взломано киберпреступниками, но не знают об этом, заявил в ходе выступления на той же площадке директор группы компаний BI.Zone (головная компания группы - ООО "БИЗон", "Безопасная информационная зона", занимается разработкой различных ИБ-решений, предоставлением ИБ-услуг) Дмитрий Самарцев.

"По нашей собственной оценке, каждая пятая российская компания взломана и не знает об этом, - сказал Самарцев. - Мы сталкиваемся с огромным количеством инцидентов, когда преступник находится в инфраструктуре (компании) больше полугода, иногда годы. А ИТ-службы и службы информационной безопасности организаций об этом не знали".

По его словам, в настоящее время в топ-3 целей киберпреступников входят государственный (14% инцидентов), финансовый (11%) секторы, а также логистика (10%).

"Более 40% атак - это шпионаж, добыча информации, - добавил Самарцев. - Причем доля таких атак растет с каждым годом (годом ранее BI.Zone оценивал долю шпионских атак в 37% - ИФ)".

По оценкам компании, средний ущерб от одной успешной кибератаки в настоящее время составляет не менее 50 млн рублей.

"В отдельных случаях эта сумма значительно больше, - отметил Самарцев. - Часто преступники просят выкуп за расшифровку или восстановление работоспособности инфраструктуры. И за последние годы объем этих выкупов увеличился в разы".

ПРОВЕРЬТЕ БОКОВОЙ ВХОД

Опасность, которая пришла в ВСК в виде кибератаки, как раз выбрала путь через партнера, аудитора страховой компании, рассказал участникам встречи председатель совета директоров "Страхового дома ВСК" Сергей Цикалюк. Аудитор страховщика не в полной мере исполнял требования по инфобезопасности, но это выявилось позже.

В фокусе повышенного внимания для руководства компаний должно быть достаточное финансирование бюджета на меры инфобезопасности, ответственный IT-директор должен точно знать алгоритм действий в экстремальных условиях при любом масштабе атаки. У руководителя самой компании также должна быть полная готовность реагировать на инцидент и понимание того, какими путями минимизировать риски для компании, для клиентов и ее партнеров, как взаимодействовать с регуляторами, перечислил Цикалюк.

Цикалюк рассказал, что хакеры в процессе атаки немедленно связались с компанией с требованием выкупа в 1 млрд рублей, угрожая утечкой данных клиентской базы. Об этом было доложен в госорганы, но реакции не последовало. Позже выяснилось, что у злоумышленников и не было возможности исполнить угрозу, но в первый момент после атаки это не было понятно. Ущерб от атаки оценивается ВСК в 900 млн рублей.

Цикалюк пояснил, что потом спрашивал представителей других компаний, как те действовали в отношении решения о выкупе, если была атака и подобное требование выдвигалось. Одни признавались, что выкуп заплатили, но подверглись хакерской атаке повторно, другие - что платили частями, единого подхода к решению проблемы не обнаружилось.

Анализируя информацию, связанную с прошлогодним киберинцидентом, компания ВСК пришла к выводу о необходимости активизировать работу над предложениями о введении киберстрахования в стране, которую в настоящее время организует Всероссийский союз страховщиков. ВСК и его партнеры готовы использовать полученный опыт собственного восстановления после атак, а также опыт компаний-партнеров в сфере кибербезопасности. Кроме того, по словам Цикалюка, его компания, как и ряд других страховщиков, заключают договоры киберстрахования с компаниями из разных отраслей экономики и готовы масштабировать этот процесс. Это направление страхования молодое и постоянно совершенствуется.

ЦЕХОВАЯ ПОДДЕРЖКА

Тема разработки системных законодательных подходов к киберстрахованию обсуждается в РФ 10 лет, а в последние 2 года - особенно бурно. При этом обсуждение двигалось по двум абсолютно различным трекам - страхования ответственности операторов за утечки персональных данных в результате кибератаки и страхования имущественного ущерба компаний, которые сами подверглись атаке.

Первый трек пока остановлен ввиду необъятности темы и потенциально космических размеров страховых выплат. А второй идет полным ходом. Всероссийский союз страховщиков (ВСС) инициирует создание закона на эту тему, сообщил "Интерфаксу" президент ВСС Евгений Уфимцев.

Он расценил как позитивную позицию открытости ВСК. "Последствия прошлогоднего киберинцидента обсуждались с узкими техническими специалистами страховщиков на площадке ВСС, коллеги благодарны ВСК за эту информацию и опыт", - сказал он.

"Следует учесть еще один аспект: понимание ВСС происходящего позволило нам как органу саморегулирования на страховом рынке не применять меры административного воздействия за ряд нарушений, допущенных ВСК из-за атаки (например, по срокам во взаиморасчетах). Также и другие участники страхового рынка смогли оказать поддержку ВСК в трудной ситуации. И это уже не было связано со сферой IT или устранением последствий атаки", - добавил Уфимцев.

Вопрос о санкциях за открытость в признании киберинцидента и его последствий в том числе обсуждается в настоящее время разработчиками положений о киберстраховании, сказал Уфимцев. Страховщики предложили следующее решение:

"Мы говорим о том, что при оформлении полиса киберстрахования пострадавший от кибератаки клиент по закону должен освобождаться от административных взысканий, поскольку наличие такого договора подтверждает, что страховщик проверил своего клиента перед его заключением. А сам клиент предпринял все возможные меры для минимизации риска, выполнил все требования законодательства, все нормативно предписанные обязательные нормы. Другое дело, что сам перечень этих позиций для проверки страховщиком перед заключением договора должен быть четко определены законом", - считает глава ВСС. Необходимо исключить ситуации, когда проверка страховщиком проводится формально.

Обсуждение опыта противостояния кибератакам и опыта преодоления негативных последствий в случае их реализации крайне важно для представителей всех отраслей бизнеса, считает Уфимцев. Особенно, если речь идет о крупных игроках. "Как, на каких площадках, в каких форматах эти темы правильно обсуждать - это предмет отдельного разговора", - заключил президент ВСС.