Кіберзахист для малого та середнього бізнесу: яким є масштаб загроз і що робити, якщо немає бюджету. Розповідає СЕО DigVel Олександр Бабко

Усвідомлюючи, що кількість кібератак проти українців продовжує зростати і ворог має певні успіхи на цьому фронті, Олександр вирішив боротися і з цією загрозою та зібрав команду, яка покриває всі аспекти кібербезпеки для малого та середнього бізнесу. У матеріалі для Forbes BrandVoice він розповів, чому під приціл кіберзлочинців потрапляють навіть малі підприємці, до яких втрат може призвести кібератака та як цьому запобігти.

Ризики для малого й середнього бізнесів

Зазвичай на старті підприємці не переймаються питаннями кібербезпеки: немає грошей, часу, фахових спеціалістів у команді. Водночас їм здається, що це не пріоритетний напрям. Мовляв, хакери полюють на великі компанії, а інший бізнес – поза увагою кіберзлочинців. Але це не так. У мене був випадок, коли власник компанії зі штатом 350 людей запевняв, що вони точно нікому не цікаві, а ми за місяць нарахували близько тисячі спроб атак на їхню інфраструктуру.

Сьогодні зловмисники у переважній кількості випадків беруть не якістю жертв, а кількістю. Їм байдуже, чи це великий концерн, чи домашній комп’ютер фрилансера – будь-яка інформація має свою цінність та ціну. Тому малий і середній бізнес може потрапити під кібератаку навіть випадково – й втратити приватні дані, інтелектуальні активи, а головне – довіру клієнтів.

Наведу два показові приклади, як кібератака може призвести до критичних втрат.

• Конструкторська компанія зазнала атаки зловмисників, які зашифрували всі їхні креслення, розрахунки та моделі за кілька років роботи. Дані просто зникли й уже не підлягали відновленню.
• У телеканала викрали Google-аккаунт, на якому зав’язана вся його онлайн-присутність: пошта, YouTube, соцмережі, реклама. Фактично у них залишився тільки прямий ефір, але охоплення миттєво упало на 60–80%.

Повномасштабна війна принесла нові кібервиклики. З 2022 року Україна – найбільш атакована країна світу. У 2023-му кількість зламів збільшилася на 62,5%.

Щороку український бізнес зазнає 148 000 зареєстрованих кібератак. Тому ризики зросли для всіх українських компаній.

Якщо йдеться про прицільні атаки, насамперед кіберзлочинців цікавить приватний сектор, який володіє обліковими даними споживачів. Так, зламавши онлайн-магазин із тактичним спорядженням, можна вкрасти інформацію про персональні дані та локації воїнів і волонтерів. Інший фокус атак – на медіа та підрядників державних установ. Наприклад, охоронна компанія встановлює камери відеонагляду, через які хакери намагаються отримати доступ до захищеного периметра.

Також протягом останніх двох років посилилася тенденція до знищення даних. Якщо раніше кіберзлочинність намагалася отримати вигоду й брала дані «в заручники», то зараз вони частіше намагаються саме завдати збитки: людям, компаніям, державі.

Краще щеплення, ніж лікування

Питання кібербезпеки малого та середнього бізнесу в Україні мало чим відрізняється від світового. Але варто зазначити, що у випадку з компаніями з України рівень захищеності не відповідає рівню загроз. За нашим досвідом, у чотирьох із пʼяти компаній відсутній базовий контроль безпеки. Вони мають як витоки облікових даних, так і слабкі незахищені місця в інфраструктурі.

Нерідко підприємці замислюються про ті самі «базові засоби захисту», починають про них читати й тонуть в обсязі та складності інформації. Кібербезпека – широкий домен, у який важко увійти. Людина не знає, який варіант краще обрати та як його впровадити. А тому просто вирішує нічого не робити, бо занадто важко, дорого і «наразі на нас не нападали».

Але ідея кібербезпеки у тому, що вона має будуватися превентивно. Зазвичай ми робимо щеплення, а не лікуємось від гепатиту чи правця. Та й вилікувати бізнес не завжди можливо: якщо компанія втратила всі дані, це може призвести до банкрутства й необхідності починати з нуля. Немає сенсу розгортати кіберзахист, коли вас уже «кібервбили».

Водночас це не означає, що коли стався кіберінцидент, то не треба звертатися за допомогою, бо «нічого не вдієш». Ймовірність того, що вам вдасться відновитися, якщо ви попередньо звертали увагу на кіберзахист, значно вища.

Наприклад, один із наших клієнтів – телекомунікаційна компанія – став жертвою атаки на свої новинні канали. Хакери здійснили напад пізно ввечері, але вже за кілька хвилин ми розпочали дії з усунення наслідків. Наша команда за години зробила те, що вимагає тижнів, і запобігла суттєвим збиткам. Уже наступного дня діяльність більшості функцій було відновлено.

Кіберзахист без бюджету та технічних фахівців

Створюючи компанію, ми від початку орієнтувалися на потреби малого та середнього бізнесу. В Україні загалом небагато компаній, які забезпечують кіберзахист. А ті, що є, здебільшого працюють із великими організаціями, фінансовими установами й обʼєктами критичної інфраструктури. Водночас саме на малий та середній бізнес припадає понад 60% нашої економіки, тому ми поставили мету – не допустити зупинення їхньої діяльності.

Зараз ми працюємо над стандартом кіберстійкості, який плануємо викласти у відкритий доступ. На відміну від інших наявних матеріалів і стандартів, він написаний простою мовою і зрозумілий нетехнічним фахівцям. Тож навіть ті підприємці, у яких немає бюджету на надмірні витрати й команду професіоналів, можуть сфокусувати зусилля на простих і дієвих засобах.

Стандарт визначає п’ять послідовних рівнів стійкості з контрольними точками й осяжними результатами. Їхнє впровадження займає близько півтора року, залежно від розміру компанії та вмотивованості керівництва. Але навіть досягнення другого рівня, яке потребує до чотирьох місяців, уже закриває ключові ризики для бізнесу.

Наприклад, мінімальні дії, які кожен може зробити тут і зараз:

Ми надаємо клієнтам супровід і реагування на інциденти, проводимо аудити та пентести, консультуємо, допомагаємо побудувати політику безпеки. Та головне – намагаємося змінювати свідомість підприємців і менеджерів, аби вони краще зрозуміли масштаб і реальність загрози. Всі охоче інвестують у фізичну безпеку, міцні двері та ґрати на вікнах, але кіберпростір вимагає не меншої уваги.

Ще один напрям нашої роботи – створення в Україні партнерської мережі кіберзахисників. Ми впевнені, що одна окрема компанія не здатна покрити всі проблеми, пов’язані з кіберзагрозами. Тому налагоджуємо зв’язки з колегами по ринку. Завжди готові підхопити їхні завдання, які вони не встигають виконати, а також ділимося своїми, якщо не справляємося самостійно. Зараз час не для конкуренції, а для взаємодії заради спільної мети.