Взломать можно, продать сложно
Мнение эксперта
Фото: «АйТи Бастион»
Фото: «АйТи Бастион»
Рынок малого и среднего бизнеса остается неприступным для ИБ-компаний и интеграторов не первый год. Интерес понятен: компаний много, потенциал для защиты есть, а продажи пока не соответствуют ожиданиям. По этому поводу в отрасли уже существует объяснение: заказчику незнакомы риски и денег у него недостаточно. Но что предлагается рынку? Система, рассчитанная на отдельную службу безопасности, предполагает вместе с приобретением лицензии еще и наличие компетенций для ее обслуживания. Можно снизить цену вдвое, но второй системный администратор в штате не появится, а на первом — бухгалтерия, серверы и рабочие места.
Злоумышленнику тем временем достаточно одной доступной уязвимости. Открытый удаленный доступ и слабые пароли для захвата серверов 1С и почт небольших компаний ищут автоматические сканеры — без всякого предварительного интереса к конкретной компании. Для вымогательства достаточно того, что атакуемая компания не сможет нормально работать без зашифрованных данных. В 2025 году первоначальные требования за расшифровку для МСБ составляли от 240 тыс. до 4 млн рублей. Пока предприниматель и вендор не могут договориться о цене и условиях защиты, расходы появляются там, где не ждали.
Из вышеописанного очевидно: потребность в защите определенно есть. Чтобы выяснить, почему она не вырастает в покупку, мы заказали исследование спроса на PAM (англ. Privileged Access Management — «контроль привилегированного доступа») в малом и среднем бизнесе. Из интервью с собственниками предприятий складывается знакомая многим ситуация: внешний специалист подключился, провел работы, а что именно он сделал — остается загадкой, особенно если что-то пошло не так. Саму же PAM-систему участники исследования нередко относили к инструментам корпораций, а некоторые и вовсе не были знакомы с этим классом решений. Возможно, именно восприятие является главным препятствием к покупке — насколько хорошо мы объяснили необходимость продукта, прежде чем объявлять клиента неготовым к нему?
Для бизнеса важнее, сможет ли он завтра восстановиться после сбоя и продолжить работу в штатном режиме. На языке разработчика тот же разговор часто может превращаться в перечисление преимуществ системы, и чем длиннее список — тем, кажется, убедительнее цена. Только заказчик еще не понял, для чего ему весь этот набор. Участники исследования просят быстрое развертывание, простое управление и готовые сценарии эксплуатации. А пока разработчики пытаются обосновать достоинства функций, которые потребителю не особо нужны, предприниматели выстраивают защиту, как умеют: вручную собирают журналы событий, поручают администратору следить за подрядчиками в неурочное время. Ограничения у такого подхода есть, но он уже вошел в рутину и часть задач закрывает. Поэтому конкурент разработчиков — уже принятое в компаниях решение обходиться без специализированных технологий. И для его пересмотра мало критиковать существующую защиту, нужно объяснить, как события могут развиваться во время или после инцидента — возможно, получится быстрее установить его причину, снимется часть ручной работы с администратора или же инцидента в принципе удастся избежать.
Небольшой компании нужна возможность взять под контроль доступ подрядчиков к важным серверам по посильной цене и без длительного освоения. Расширять возможности системы бизнес сможет уже по мере необходимости. Не менее существенен выбор модели обслуживания системы. Конечно, можно администрировать ее самостоятельно, но если свободных рук нет, то, возможно, будет разумнее передать согласованные задачи провайдеру по подписке и вовсе не брать систему «на баланс». При этом подписка не должна оставлять заказчика с теми же обязанностями, от которых он рассчитывал избавиться. При любом варианте PAM дополняет базовые меры защиты, включая резервное копирование и обновления.
Большой потенциал рынка не превратится в выручку лишь потому, что атаки продолжаются. Можно еще несколько лет убеждать предпринимателей потратиться, подкрепляя каждую презентацию новой историей взлома. Но это значит, что мы снова требуем от заказчика измениться, ничего при этом не меняя в собственном подходе. Формировать культуру безопасности придется и через собственную работу: объяснять без профессионального высокомерия, показывать настройку на понятной задаче и сопровождать заказчика в освоении системы. А прежде — признать, что отказ от продукта не обязательно означает отказ от защиты как таковой.