Инвестиции в защиту данных: экономия или риск

На протяжении последних лет российский бизнес является одной из главных мишеней для хакеров. Все это происходит на фоне цифровизации, когда информационные технологии становятся основой для процессов организации. По данным аналитиков компании Positive Technologies, в 2026 году количество успешных кибератак в России увеличится на 30-35% по сравнению с 2025 годом. Активность злоумышленников в инфраструктуре несет урон как для репутации, так и бюджета компании.

Нередко финансовые потери, например, от массовой утечки данных или остановки работы производства исчисляются сотнями миллионов рублей. Особенно эти суммы огромны для среднего и малого бизнеса. В таких случаях поможет заблаговременное создание эффективной системы защиты информации, так как это потребует гораздо меньших расходов, чем ликвидация последствий хакерской атаки. Подробнее об этом с конкретными примерами расскажет Илья Куриленко, заместитель генерального директора по развитию компании «Анлим», центра компетенций по информационной безопасности (ИБ).

Прежде стоит сказать о возможных последствиях для организаций при кибератаках. В контексте конструирования системы ИБ их еще называют недопустимыми событиями. Среди них, например, утечка персональных данных. По оценкам компании «Анлим», финансовые потери здесь могут доходить до 500 млн рублей. К тому же злоумышленники могут запросто уничтожить или зашифровать необходимую информацию. В обоих случаях придется направлять деньги либо на восстановление, либо на выкуп. Еще одним последствием является остановка работы организации из-за сбоя в ИТ-системах: тогда предстоит учитывать упущенную прибыль от часов/дней/месяцев простоя, затраты на персонал, оставшегося без работы, восстановление. К тому же наносится урон имиджевой составляющей: атака приводит к претензиям со стороны регуляторов, контрагентов, а также потере доверия клиентов.

Рассмотрим конкретные примеры, которые оставили достаточно неблагоприятный след в деятельности компаний. Один из них – взлом одного из самых крупных американского кредитного бюро Equifax. В 2017 году в организации случилась утечка персональных данных (ПДн) сотни миллионов клиентов из нескольких стран, также были украдены номера порядка двухсот тысяч заемных карт. Компрометация инфраструктуры компании произошла из-за уязвимостей в фреймворке для веб-приложений, хакеры орудовали там больше месяца, в том числе повышали привилегии и расширяли плацдарм для перехода между узлами. После инцидента Equifax под влиянием госрегуляторов только за 9 месяцев с момента инцидента потратила 193,2 млн долларов на улучшение системы ИБ. До утечки данных годовая сумма вложений компании в кибербезопасность составляла 38 млн долларов, то есть в пять раз меньше. Вместе с тем организации был назначен штраф в размере 275 млн долларов, а также компенсации пострадавшим – 425 млн долларов.

Также вспомним о кибератаке на завод пищевой промышленности «Тавр» в Ростовской области, который произошел в 2022 году. Было установлено вредоносное ПО, которое поразило серверы, рабочие станции и информационные системы предприятия. В результате активности злоумышленников работа организации была временно приостановлена. Согласно информации из корпоративного пресс-релиза, экономические потери составили десятки млн рублей.

Теперь произведем гипотетический расчет затрат организации на выстраивание системы защиты информации. Безусловно, этот пример не является аксиомой, но позволит сформировать примерное представление. Предположим, у нас имеется региональная компания с ИТ-инфраструктурой на 300 пользователей, пятью информационными системами и наличием публичных web-приложений. Обрабатываются персональные данные клиентов в больших объемах, более 10 000 субъектов.

Систему безопасности должны обеспечивать, как минимум, штат из двух человек. В их обязанности входит: администрирование внедренных технических решений и анализ защищенности. Допустим, что заработная плата одного специалиста составляет 120 000 рублей, к этому плюсуются налоговые и прочие отчисления в размере 56 400‬ рублей. В итоге годовое содержание отдела из двух сотрудников достигает 4 233 600 рублей.

Кроме персонала в систему защиты входят определенные классы технических решений, часть входят в базовый набор. Стоимость каждого из них взята из расчетов компании «Анлим» в 2025 году и проиндексирована на 25%.

В итоге конечная стоимость на создание системы защиты информации в организации составляет 14 397 600‬ рублей, включая затраты на технические решения (10 164 000 рублей) и персонал (4 233 600 рублей).

Как видно, создание системы защиты данных обходится не дороже последствий от одной кибератаки. К тому же она позволяет поддерживать стабильную работу организации, а также формировать положительный имидж в глазах клиентов и информационном поле.