«День простоя может стоить сотни миллионов рублей»

Малый и средний бизнес уязвимы для кибератак, потому что часто экономят на информационной безопасности. Как сейчас выглядит киберугроза? Какие киберинциденты попадают под страховое покрытие? Есть ли советы компаниям, которые думают о безопасности своих данных? Об этом ведущий “Ъ FM” Марат Кашин поговорил с начальником управления страхования ответственности компании «Ингосстрах» Дмитрием Шишкиным.

— Здравствуйте.

— По данным «Лаборатории Касперского» за 2026 год, 82% из опрошенных предприятий малого и среднего бизнеса сталкивались с киберинцидентами. И в общем малый и средний бизнес является, к сожалению, очень хорошей и легкой целью для мошенников и для киберпреступников, потому что уровень кибербезопасности и киберзащиты, а также расходов на информационную безопасность в этой сфере бизнеса крайне невысок. Тем более очень важным фактором является развитие искусственного интеллекта. Потому что сейчас мошенники активно его используют и полностью автоматизируют первоначальный этап разведки и внедрения в периметр компаний. Очень важно отметить, что через попадание именно, скажем, в компанию малого бизнеса они могут попасть через нее в крупный. Потому что многие крупные компании нанимают подрядчиками как раз компании из МСБ.

— Да, очень многие подрядчики — IT, логистические — имеют доступ к внутренним системам крупных компаний.

— С начала 2026 года на первом месте, наверное, стоит ритейл. Потом идут промышленные предприятия, транспортно-логистические и финансовые. А основные атаки — это попытка использования различных эксплойтов, то есть недостатков программного обеспечения, социальная инженерия и, конечно, вирусы-вымогатели.

— В данном случае важно понимать, что это нематериальное событие может привести к серьезному материальному ущербу. Например, возьмем приостановку коммерческой деятельности. Компания не работает, соответственно, не получает прибыль, но несет в то же время затраты на проценты, на зарплаты сотрудников и так далее. Соответственно, все эти затраты можно оценить, они известны, недополученную прибыль можно посчитать. И как раз, наверное, сейчас это основное ядро возмещения.

Даже у средних компаний день простоя может стоить и десятки, и сотни миллионов рублей. По поводу утечки данных — в России, к сожалению, с этим сложно в плане того, что со штрафами все понятно: они прописаны в законе. А вот как человеку, данные которого утекли, доказать, что ему реально в результате этого был причинен вред, — очень сложно. А без доказанного вреда претендовать на какую-то значимую выплату нереально.

— Основные риски, которые покрываются, — это целенаправленная атака, DDoS, всякие различные хакерские действия: взлом, шифрование, проникновение в систему и так далее. Также это просто технические сбои из-за ошибок в работе программ и оборудования. При этом нужно отметить, что покрываются в том числе и умышленные действия сотрудников. Конечно, каждое страховое покрытие, каждый договор содержит определенные исключения, но они достаточно логичны и связаны, например, с такими вещами, как повторный инцидент. То есть уже произошел убыток, расследовали, выявили, как злоумышленники смогли осуществить атаку, дали инструкции, как это устранить, но клиент не устранил. У него были инструкции, он этого не сделал, и опять происходит повторный такой же инцидент. Вот он, конечно, уже не покрывается, да.

— К сожалению, это, наверное, использование нелицензионного программного обеспечения.

— Для крупных компаний, у которых ИБ уже выстроена, четко все работает, конечно, мы со своей стороны можем дать какие-то рекомендации, но это, скорее, будет вторым мнением. С малым и средним бизнесом ситуация немного другая. У них, к сожалению, уровень информационной безопасности обычно не очень высокий. Поэтому мы совместно с компанией 4sec предложили комплексный продукт, который включает в себя две составляющие. Первая — это как раз полное ядро информационной безопасности. То есть выстраивание внутренних процессов, мониторинг, бэкап систем и постоянное их обновление. Но в случае, если вдруг все-таки происходит инцидент, он застрахован. И вторая часть — это как раз страхование, которое возмещает уже те потери, которые, к сожалению, все-таки могут произойти при любом уровне кибербезопасности.

— Первый совет — это представить, сколько конкретно стоит день простоя вашей компании. Второе — выстроить систему реагирования внутри: план того, что действительно делать, когда вас отключат от всех систем. Лучше продумать это заранее, чтобы, когда это произойдет, спокойно, методично действовать. И после этого, конечно, уже задуматься о страховании.