Почему под удар попадают именно небольшие компании?
В отчёте о состоянии IT-безопасности BSI (Федеральное ведомство по информационной безопасности Германии) называет малый и средний бизнес одной из трёх главных целей атак, наряду с IT-провайдерами и муниципалитетами. Их атакуют чаще, чем можно было бы ожидать по их доле. Причина редко в том, что они особенно интересны. Их просто легче взломать: нет своего IT-отдела, старые пароли, непроверенные резервные копии.
Какие атаки встречаются чаще всего?
- Программы-вымогатели (ransomware): данные шифруют, а за доступ требуют выкуп. По оценке BSI, одна из двух самых больших угроз для компаний.
- Фишинг и CEO-fraud: поддельные письма, счета или звонки, всё чаще с помощью ИИ и дипфейков.
- Украденные пароли: одного повторно используемого пароля достаточно, чтобы попасть в почту или облако.
- Атаки через подрядчиков: тот, у кого есть доступ к вашим системам, может стать и лазейкой.
Что защищает лучше всего?
Делать всё сразу не нужно. Больше всего дают такие основы:
- Двухфакторная аутентификация (MFA) для почты, облака, онлайн-банкинга и всех админских аккаунтов.
- Автоматические обновления операционных систем, программ, роутеров и сайта.
- Резервные копии по правилу 3-2-1: три копии, два места хранения, одно из них офлайн. И регулярно проверять, что восстановление работает.
- Навести порядок в правах доступа: каждый получает только то, что нужно. Аккаунты бывших сотрудников блокировать сразу.
- Менеджер паролей вместо бумажек и одинаковых паролей везде.
- Обучать сотрудников: распознавать фишинг, сообщать о подозрительных письмах, при смене платёжных реквизитов всегда уточнять по телефону.
- План на случай ЧП: кто отвечает, кому звоним, какие системы важнее всего? Для начала хватит одной страницы.
Что NIS2 означает для моей компании?
Закон о реализации директивы NIS 2 вступил в силу 6 декабря 2025 года. Как правило, он касается компаний с более чем 50 сотрудниками или годовым оборотом более 10 млн €, которые работают в одном из перечисленных секторов, например в обрабатывающей промышленности, пищевой отрасли, обращении с отходами, почтовых и курьерских услугах или цифровых сервисах. Компании должны сами проверить, подпадают ли они под закон, и затем зарегистрироваться в BSI.
К обязанностям относятся, в частности, управление рисками (например, шифрование и двухфакторная аутентификация), обязанность сообщать об инцидентах и обучение руководства. Даже те, кого закон напрямую не касается, часто чувствуют NIS2 косвенно: крупные клиенты всё чаще требуют подтверждений от поставщиков.
Как понять, где я сейчас?
Для малых компаний без своего IT-отдела есть CyberRisikoCheck по DIN SPEC 27076, разработанный совместно с BSI. В интервью рассматривают 27 требований из шести тематических областей. После этого вы получаете отчёт с оценкой рисков и списком самых важных мер.
Хорошее начало — и простая инвентаризация: какие есть устройства, программы и аккаунты, у кого к чему доступ, где лежат важные данные?
Сколько стоит IT-безопасность и кто за неё платит?
Основы недороги: двухфакторная аутентификация и автообновления часто ничего не стоят, менеджер паролей и сервис резервного копирования — несколько евро на человека в месяц. Дороже обходится ЧП: простой, восстановление, потерянные заказы.
На крупные проекты по безопасности есть господдержка, например кредит KfW на цифровизацию: для IT-безопасности к нему дополнительно предусмотрен грант.
Как мы работаем в Kosmo Team?
- На IT-Check проверяем безопасность и DSGVO на базовом уровне: аккаунты, права доступа, резервные копии, обновления.
- Внедряем важнейшие меры в порядке наибольшего эффекта.
- Наш партнёр обучает вашу команду защите от фишинга.
- Для компаний, подпадающих под NIS2, и для заявок на господдержку мы планируем проекты так, чтобы требования были задокументированы.