Если вы — генеральный директор, то решения при кибератаке принимать вам, и отвечать за последствия тоже вам. Вам предстоит решить, что остановить, что восстанавливать первым и как выполнять обязательства перед клиентами. ИТ и ИБ предложат варианты, но приоритеты бизнеса и допустимые потери они за вас не определят.
Здесь мы собрали опыт расследования атак и восстановления компаний: кого включить в команду, как действовать при атаке и что подготовить заранее. Начните с разговора со своей командой. Ответы помогут понять, к чему компания готова, каких решений не хватает и что нужно сделать сейчас.
в среднем занимает восстановление критичных бизнес‑процессов после атаки шифровальщика.
Лучший результат — 3 дня, худший — 38.
Практика Jet CSIRT · 2026Начните с обязательного минимума: закрепите ответственность, дайте команде полномочия, защитите резервные копии, проверьте восстановление и закройте очевидные пути входа. Отсутствие одного из этих условий нельзя компенсировать покупкой ещё одной системы защиты.
В таблице два направления: план Б помогает вернуть бизнес к работе, защита снижает вероятность и масштаб ущерба. Меры с отметкой «Обязательно» — отправная точка. Дальнейшие работы включите в программу примерно на год, с учётом масштаба компании. Для каждой задачи назначьте ответственного и способ проверки. Сроки, затраты и сложность оценивайте отдельно.
Когда мне предлагали проект по усилению защиты на девять месяцев, я не хотел, чтобы всё это время компания оставалась с прежними рисками. Мы стали обсуждать, какие слабые места можно закрыть сразу, а какие потребуют больше времени. Так появился поэтапный план: каждый этап должен давать конкретный результат, не дожидаясь завершения всего проекта. Это помогло пересмотреть и сроки, и расходы.
Для каждого этапа укажите, какой риск он снизит и как команда проверит результат.
| Мера | Ценность | Срок / частота | Затраты | Сложность |
|---|---|---|---|---|
| План Б | ||||
| Признать риск, закрепить ответственность за собой | Обязательно | Часы | Низкие | Низкая |
| Быстрая цепочка решений до генерального директора | Обязательно | Дни | Низкие | Средняя (зависит от корп. культуры) |
| Штабные учения | Обязательно | Неделя | Низкие | Низкая |
| Защищённые копии, из которых можно быстро восстановиться | Обязательно | 2 недели | Средние | Средняя |
| Восстановление с замером времени | Высокая | 2 раза в год | Средние | Средняя |
| Чистая площадка, «Бункер», «Цитадель» | Очень высокая | 3–12 месяцев | Высокие | Высокая |
| Защита | ||||
| Объединение ИТ и ИБ | Обязательно | До 3 месяцев | Низкие | Высокая (зависит от корп. культуры) |
| Инвентаризация | Обязательно | До 3 месяцев | Низкие | Средняя |
| Второй фактор для всех внешних подключений | Обязательно | 3 недели | Низкие | Средняя |
| Харденинг базовой инфраструктуры | Высокая | 2 месяца | Невысокие | Средняя |
| Сегментация | Очень высокая | Год, в несколько этапов | Высокие | Высокая |
| Мониторинг | Высокая | 3 месяца | Средние | Средняя |
| Управление подключением подрядчиков | Высокая | 3 месяца | Средние | Средняя |
Мы начинали как все: длинный список задач, дорогие и долгие проекты, при этом ИТ и ИБ обвиняли друг друга и не могли договориться. Заработало, когда я сел с ними за один стол и мы заговорили о целях: снизить риск и сократить ущерб, когда он случится. Многое потом удалось сделать гораздо быстрее, чем мы рассчитывали.
Компании на 10 000+ узлов проходят первый этап киберинтенсива
У всех этих компаний на момент атаки стояли современные средства защиты. По нашей оценке, публично становится известно не более чем о 10% разрушительных взломов в России.
После восстановления систем потери могут увеличиваться: заказчики пересматривают сотрудничество, если через поставщика можно атаковать их инфраструктуру.
Как оценить потери и превратить расчёты в план непрерывности — в материале «Что стоит за простоем бизнеса». Jet Info · 25.09.2026
Взлом может коснуться любой организации независимо от её масштаба. Злоумышленники ищут уязвимые системы по всему интернету, а затем сосредотачиваются на тех, в которых удалось зацепиться. Одни хотят заработать — неважно, на ком. Другим нужна резонансная атака, которая попадёт в новости.
Поэтому атакуют даже организации со штатом в 100 человек. Отсутствие денег на выкуп
Вопрос не в том, взломают ли вас, а в том, насколько вы готовы и что будете делать, когда вас взломают.
* В 2003‑м году наш офис почти полностью сгорел, поэтому знаем об этом риске не понаслышке.
«Суперхакеры» здесь не нужны. Каждый шаг, как правило, становится возможным из‑за обычной ошибки: забытый сервис, вход без второго фактора, плоская сеть, не сделанное вовремя обновление. Типовой план атакующего выглядит примерно так.
Ищет забытые сервисы, удалённый доступ, панели администрирования
Подрядчик, фишинг, украденный пароль, уязвимость
Заводит учётные записи, притворяется администратором
Берёт под контроль виртуализацию
Удаляет или шифрует резервные копии
Встают кассы, сайты, логистика, производство
От входа до удара проходят недели. Медианное время до обнаружения злоумышленника — 14 дней; в реальных расследованиях этот срок достигал шести месяцев. Это окно, в котором ещё можно испугаться вовремя.
Угроза приходит снаружи, а слабые места есть абсолютно у каждой компании. Как правило, дело не в технологиях, а в том, как всё устроено внутри и куда в первую очередь направляют бюджет.
Accenture, Heidrick & Struggles, IANS, Deloitte, Forrester/DRJ, Sophos, Cyber Security News; 80% — наблюдение «Инфосистемы Джет».
В одном из банков в регламенте значилось восстановление за четыре часа. Полноценная тренировка показала около трёх суток: часть копий повреждена, инструкции устарели, порядок запуска систем не отработан.
Последствие
Атакующий сохраняет доступ через забытый сервис или тестовую среду.
Что сделать
Проверить фактический состав систем и подключения, назначить владельцев.
Последствие
При инциденте выясняется, что копии недоступны или их негде запустить.
Что сделать
Восстановить критичный процесс на отдельной площадке с замером времени.
Последствие
Команда ждёт решения человека, который недоступен.
Что сделать
Записать права и заместителей, проверить сценарий отсутствия руководителя.
Последствие
Происходит повторный взлом или шифрование.
Что сделать
Вести расследование параллельно с восстановлением
Последствие
Теряется контекст, появляются противоречивые изменения.
Что сделать
Назначить координатора и проверить передачу работы следующей смене.
Последствие
Причины взлома сохраняются после возвращения бизнеса к работе.
Что сделать
Назначить задачи и подтвердить их выполнение повторными проверками.
Летом 2026 года стало ясно: атака, на которую раньше нужны были группировка и недели,
Чтобы проверить свою систему защиты, мы регулярно предлагаем нас взломать — за вознаграждение. Поучаствовать в таком тестировании может любой желающий — как в составе команды, так и в одиночку. Мы внимательно следим за попытками взлома и извлекаем из них уроки. В одном из последних случаев человек, вооружённый ИИ‑агентом, смог продемонстрировать захват контрольных флагов в инфраструктуре. Даже несмотря на то, что наш центр мониторинга видел, что он делает, атака с помощью ИИ была такой быстрой, что мы просто не успевали реагировать.
Резервные копии, изолированный контур доступа к заказчикам и другие критичные сегменты.
Мы внедрили ИИ в мониторинг и реагирование: стало ясно, что без автоматической реакции команда не успевает сдерживать такие быстрые атаки.
Решение, которое нужно принять заранееОт машины обороняться может только машина.
Обратимые решения передаём автоматике, те, которые могут привести к катастрофе, пока оставляем человеку. Что считать каким, определяете вы, потому что в три часа ночи звонить и выяснять будет некогда.
Владимир Елисеев
Чем быстрее развивается атака, тем меньше времени остаётся на согласования. Человек может заметить угрозу, но не успеть отреагировать. Поэтому первые действия по сдерживанию атаки приходится поручать автоматике. При этом блокировка систем может прервать работу бизнеса.
Заранее решите, какие системы автоматика вправе остановить без согласования. Руководству нужно определить, какой простой допустим, если он поможет избежать более серьёзных потерь.
Другой пример применения ИИ для проверки защиты — опыт «Т‑Банка»: как организованы испытания и ограничения для атакующего агента. Jet Info · 25.09.2026
В 2003 году у нас был пожар, и с тех пор я не отношусь к плану на случай катастрофы как к бумаге. Всё начинается с двух вещей: признать, что катастрофа возможна, и понять, что отвечать за неё будет генеральный директор. Без этого остальное не заработает.
Каждый руководитель считает своё направление самым важным. Но защитить и восстановить всё сразу нельзя. Генеральному директору нужно вместе с руководителями бизнеса, ИТ и ИБ определить, что делать в первую очередь. Чтобы расставить приоритеты, нужно разобраться, какие задачи выполняет каждая система и что произойдёт при её остановке.
В одной телекоммуникационной компании самой важной считали систему биллинга — расчётов с абонентами. Оказалось, что исходные данные сохраняются отдельно, поэтому её восстановление могло подождать. Зато вспомогательная система маркетинга была нужна для подготовки финансовой информации для биржи.
Какие процессы нельзя останавливать.
Порядок, согласованный с бизнесом, а не только с ИТ.
Команду, которую можно подключить за час.
Иногда бизнес приходится остановить самим. Кто вправе сделать это ночью без вас?
Пока новость идёт по цепочке, атака идёт по сети.
Храните копии вне сети или в хранилище, где их нельзя удалить до конца срока хранения. Доступ к основной инфраструктуре не должен давать атакующему возможность уничтожить резервные копии.
Подготовьте и проверьте площадку, на которой можно развернуть системы, если основная инфраструктура захвачена. Заранее убедитесь, что оборудования, доступов и установочных файлов хватит для запуска критичных бизнес‑процессов.
Вместе с владельцами бизнес‑процессов определите, какие системы восстанавливать первыми и что для этого потребуется. Учтите их зависимости: без сети, управления доступом или нужных данных отдельная система не заработает.
Договоритесь, как команда будет связываться при отказе корпоративной почты и мессенджера. Контакты участников и планы восстановления должны быть доступны вне корпоративной сети. Проверьте, что каждый знает, где их найти.
Не реже двух раз в год проверяйте план Б на практике и замеряйте время. Проверяйте весь бизнес‑процесс — от входа сотрудника до платежа или отгрузки. Работающего сервера для этого недостаточно.
Автономная система резервного копирования без постоянной связи с рабочей сетью. Копии проверены заранее, поэтому восстановление можно начать сразу.
Доверенный ЦОД «последней надежды». Готовая изолированная среда принимает критичные системы, когда нужно вернуться к работе за часы.
Даже если резервная копия уцелела, системы может оказаться негде запустить. На подготовку новой площадки уйдёт время, а бизнес будет простаивать. Во время проверки убедитесь, что из копии можно восстановить рабочую систему на подготовленной площадке, даже если основная инфраструктура недоступна.
Повреждённые системы, площадку для проверки резервных копий и среду, в которой возобновляется работа, держат отдельно. Подключение непроверенной системы может снова остановить восстановленный бизнес.
Изолированы от новой рабочей среды. Здесь команда расследует атаку.
Отдельная изолированная площадка, где проверяют резервные копии и готовят данные к переносу.
Подготовленная среда, куда данные и системы переносят после проверки.
Восстановление может занять дни или недели. Заранее договоритесь с руководителями направлений, что компания сможет делать без привычных систем. Не каждый процесс можно перевести в ручной режим — это нужно выяснить до атаки и проверить на учениях.
Можно ли принимать заказы, проводить платежи и отгружать продукцию по резервной схеме? Определите, что продолжит работать, что придётся остановить и кто принимает эти решения.
Где взять контакты клиентов и поставщиков, необходимые документы и данные, если корпоративные системы недоступны? Подготовьте резервный доступ для тех, кому эта информация нужна для работы, с учётом её конфиденциальности.
Какой объём работы команда выполнит без ИТ и как долго сможет работать в таком режиме? Какие обязательства окажутся под угрозой и кто сообщит клиентам об изменении сроков?
Где будут фиксироваться операции во время простоя? Кто затем перенесёт их в восстановленные системы и проверит, что заказы, платежи и отгрузки не потерялись и не были учтены дважды?
Результат подготовки — краткий порядок работы для каждого критичного процесса: ответственный и его заместитель, доступные ресурсы, ограничения и условия возврата к обычному режиму. Проверьте на учениях, сможет ли команда им воспользоваться без корпоративной сети.
Действия зависят от того, когда была обнаружена атака. Выберите сценарий: злоумышленник уже в сети, но ещё не нанёс удар, или системы уже зашифрованы. Указанные сроки — ориентиры для разбора, а не гарантированный график восстановления.
Мониторинг видит странную активность: ночной вход, новую учётную запись. Дежурный запускает заранее согласованный сценарий реагирования. Команда определяет масштаб проникновения и координирует блокировки, чтобы не оставить атакующему другие способы доступа.
Принято заранее: такие полномочия есть и у дежурного, и у директора по ИБ.
Штаб собирается по резервному каналу: корпоративная почта может читаться атакующим. Подключается команда реагирования.
Считаем ли это инцидентом уровня компании и зовём ли внешних специалистов?
Копии проверены и отрезаны от сети, пароли администраторов сменены, внешние подключения ограничены. Команда узнаёт, откуда пришёл атакующий и как давно он внутри.
Какую часть бизнеса вы готовы остановить сами, чтобы не дать остановить всё извне?
Расследование идёт до конца: точка входа, все закреплённые доступы, состояние копий. Атакующего вычищают сразу отовсюду.
Доводим расследование до конца, даже если это продлит ограничения.
Разбор, усиление, новые учения. Компания заплатила неудобством и временем команды, а простоя не было.
Устранить причину, чтобы всё не повторилось.
Сегментация, мониторинг, изолированные контуры: то, что откладывали, становится планом с бюджетом.
Не отпускать тему, когда страх пройдёт.
Не работают кассы, сайт, почта. Сегменты изолируются от сети. Выключение и перезагрузку согласуют с командой реагирования: они могут уничтожить следы атаки, но при продолжающемся шифровании остановка системы может помочь сохранить данные.
Кто решает в первые минуты, определено до инцидента.
Если нет — решаете вы.
Штаб работает с личных телефонов, в отдельном канале, решения принимает один центр. Встречи каждые два часа. Подключается внешняя команда: на инфраструктуру среднего масштаба может понадобиться 60–80 специалистов одновременно.
Кто говорит с клиентами и прессой?
Каких регуляторов и партнёров уведомляем?
Выясняем, какие копии уцелели и чисты. Критичные пароли сменены. Бизнес переходит на ручные процессы там, где это возможно.
Что спасаем первым? Как поступаем с выкупом: он может достигать 1–2% годового оборота и не гарантирует возврата данных.
Восстановление бизнеса в чистом контуре. В нашей практике критичные процессы восстанавливаются в среднем за 15 дней. Сроки — от 3 до 38 дней.
Сколько работаем в ограниченном режиме и какие потери принимаем?
Разбор, усиление, учения. После инцидента две дороги: восстановить так, как было, и снова стать хрупким или же устранить причины.
Выбрать вторую дорогу и выделить на неё бюджет.
Перестройка: сегментация, изолированные контуры, новые учения. Те, кто проходит этот путь до конца, выходят из инцидента сильнее.
Держать программу на своём контроле весь год.
Заказчик заплатил вымогателям и восстановился. Через неделю зашифровали снова.
Атакующий уже сидел в бэкапах.
Компанию зашифровали в третий раз.
При восстановлении опубликовали VPN.
Через 15 минут атакующие были внутри.
Выясните, как злоумышленник проник в сеть, и при восстановлении систем закройте оставленные им доступы. Иначе он сможет вернуться и повторить атаку.
Это порядок действий для обсуждения с командой. Этапы могут идти параллельно: первые сутки — ориентир для организации работы, а не обещание закончить расследование или восстановление за день.
Решение руководителя. Определите допустимый простой, приоритеты восстановления и полномочия штаба.
Действия команды. Назначьте людей и заместителей, подготовьте копии, чистую площадку, оборудование, схемы систем и резервную связь.
Результат. Проверьте, что люди и материалы доступны при отказе корпоративной сети.
Решение руководителя. Подтвердите руководителя штаба и полномочия на экстренные отключения.
Действия команды. Свяжитесь по резервному каналу, подключите специалистов реагирования, выясните, какие системы затронуты.
Результат. У команды есть единый центр решений и первые меры по сдерживанию атаки.
Решение руководителя. Решите, какие процессы поддерживать в резервном режиме и что восстанавливать первым. Выделите необходимые ресурсы.
Действия команды. Сохраните уцелевшие копии и следы атаки, начните расследование и подготовку чистой площадки.
Результат. Штаб понимает масштаб ущерба, сформированы гипотезы по проникновению в сеть, есть понимание, как избежать повторного взлома после восстановления систем.
ВАЖНО: Дайте команде расследования сутки на сбор и исследование цифровых улик. Если поспешить с восстановлением, не поняв, как произошло заражение, можно увеличить шанс повторного шифрования. На рынке известен случай, когда компанию шифровали пять раз подряд. Восстановление отрабатывало, но причина взлома не была устранена.
Решение руководителя. Утверждайте очерёдность запуска с учётом влияния на бизнес и условий безопасности.
Действия команды. ИТ восстанавливает необходимую основу и бизнес‑системы. ИБ проверяет условия безопасного запуска, владельцы процессов проверяют весь путь — например, от входа сотрудника до отгрузки.
Результат. Бизнес может пользоваться восстановленными процессами; работающий сервер сам по себе не считается результатом.
Решение руководителя. Назначьте ответственных и сроки исправлений, обеспечьте ресурсы и контроль выполнения.
Действия команды. Закройте выявленные пути проникновения, пересмотрите временные доступы, обновите план и проведите повторные проверки. Срок усиленного мониторинга согласуйте со специалистами.
Результат. Исправления проверены на практике, а выводы расследования учтены в подготовке компании.
Пройдите этот список вместе с командой. Для каждого пункта назовите ответственного и подтверждение готовности. Ответ «У нас это предусмотрено» без проверки недостаточен.
Подготовить до атаки
Назначить руководителя, участников и заместителей; сохранить контакты вне корпоративной сети.
Как проверить
Собрать команду по резервному каналу, включая замену недоступного руководителя.
Подготовить до атаки
Заранее определить полномочия на изоляцию, все внешние подключения и последствия отключений.
Как проверить
На учениях проверить порядок решения и выполнения отключения, а не только наличие инструкции.
Подготовить до атаки
Отделить управление резервным копированием от основной среды, ограничить права и подготовить защищённые копии.
Как проверить
Проверить, может ли администратор основной инфраструктуры удалить копии или управлять ими.
Подготовить до атаки
Подготовить площадку, оборудование, установочные файлы, схемы зависимостей и защищённый резервный доступ.
Как проверить
Восстановить критичный процесс на подготовленной площадке и замерить время.
Подготовить до атаки
Согласовать с владельцами процессов приоритеты, допустимый простой и условия безопасного запуска.
Как проверить
Проверить на учениях зависимости и работу процесса целиком, а не только запуск сервера.
Подготовить до атаки
Подготовить резервные операции, необходимые данные, связь с клиентами и порядок учёта сделанного.
Как проверить
Выполнить типовые операции по резервной схеме и проверить перенос записей обратно в систему.
Подготовить до атаки
Назначить координатора, заместителей, сменный график и общий журнал решений.
Как проверить
Передать сценарий другой смене и убедиться, что она понимает состояние систем и следующие шаги.
Подготовить до атаки
Определить, кто принимает выводы расследования и контролирует исправления.
Как проверить
Закрывать задачи по результатам повторной проверки; пересматривать временные доступы и настройки.
Штабные учения — это разбор сценария атаки с руководителями бизнеса, ИТ, ИБ и других функций. Ведущий сообщает о сбоях и новых событиях, а участники оценивают последствия, распределяют задачи и принимают решения. Рабочие системы при этом не отключают.
На учениях проверяют полномочия, резервную связь и порядок работы штаба: кто останавливает системы, кто координирует восстановление, кто общается с клиентами и регуляторами. Результат — список пробелов в подготовке и задач с ответственными и сроками.
Команда видит, какие процессы остановятся первыми, сколько простоя выдержит бизнес и где решение нельзя откладывать.
Кто решает в первые минуты, что выключаем, кто говорит с клиентами.
Неудобные вопросы превращаются
в список дел.
Роли и замены определены заранее.
Это роли в кризисной команде вашей компании. Для каждой назначьте человека, заместителя и пределы полномочий. Руководить штабом может генеральный директор или другой уполномоченный руководитель; решения о приоритетах бизнеса и допустимых потерях остаются за руководством компании.
Техническое реагирование, расследование и часть восстановления могут выполнять привлечённые специалисты. Они работают вместе с вашей командой: владельцев бизнес‑процессов и людей, принимающих решения, нельзя заменить внешним подрядчиком. Ниже — основа для распределения обязанностей, а не обязательное число должностей.
Руководитель с согласованными полномочиями
Организует работу штаба, согласует действия команд и выносит решения за пределами своих полномочий на уровень руководства.
Генеральный директор или уполномоченный заместитель
Принимает решения об остановке бизнеса, ресурсах, допустимом ущербе и приоритетах. Генеральный директор участвует в ключевых решениях, но не обязан лично руководить штабом.
Владельцы критичных процессов
Определяют очередность восстановления, работу в резервном режиме и обязательства перед клиентами. Проверяют, что восстановленным процессом можно пользоваться.
Назначенный координатор со стороны компании
Ведёт список задач, решений и рисков, собирает статусы. Организует короткие сверки и передачу дел между сменами.
Специалист своей или внешней команды
Собирает общую картину атаки, распределяет задачи расследования и сдерживания. Передаёт штабу выводы и вопросы, требующие управленческих решений.
Свои или привлечённые специалисты
Ищут точку входа, оставленные доступы и способы распространения. Сохраняют доказательства и передают результаты команде восстановления.
Архитектор ИБ или назначенный специалист
Проверяет копии и подключения, определяет условия безопасного запуска. Имеет заранее закреплённое право остановить небезопасное действие.
Архитектор ИТ и инженеры
Готовят чистую площадку, восстанавливают системы по приоритетам и зависимостям. Для сети, виртуализации, серверов и средств защиты назначены ответственные.
Уполномоченный сотрудник, финансы и закупки
Организуют подключение специалистов, оборудование и срочные закупки. Выносят на штаб вопросы, которые нельзя решить в пределах выделенных ресурсов.
Юрист или привлечённый консультант
Определяет обязательства перед регуляторами, контрагентами и страховщиком, порядок уведомлений и сохранения доказательств.
Назначенные представители PR и HR
Согласуют сообщения клиентам, сотрудникам и СМИ. Обеспечивают единую позицию компании и работу с вопросами и слухами.
Основной контакт компании и заместитель
Обеспечивают доступ к нужным сотрудникам и данным. Контакты и порядок замещения известны всем участникам.
Опытный эксперт или куратор
Периодически оценивает общую картину и замечает риски, которые могла упустить команда, постоянно занятая инцидентом.
Проверьте состав резервного чата и безопасность учётных записей участников. Доступ к нему пересматривают при изменении состава команды.
Собрать команду и обсудить вопросы →Заранее назначьте смены и заместителей. Отдельный координатор ведёт список решений и передаёт его следующей смене. Инженеры, которые восстанавливают системы, не должны одновременно отвечать на все запросы руководства.
Какие процессы остановлены, что продолжает работать, что потеряно и когда ожидается следующий запуск. ИТ и ИБ готовят общий доклад. Если срок пока неизвестен, сообщают, когда смогут его уточнить.
Соберите людей, которых назначили на роли в кризисной команде, и выделите несколько часов на первый разбор. Сценарий: вечером в пятницу корпоративные системы недоступны, состояние резервных копий неизвестно.
Пройдите этапы реагирования и вопросы ниже. На каждый ответ называйте конкретного человека, способ связи и нужный ресурс. Если чего‑то нет или ответ неизвестен, запишите это как задачу. Рабочие системы во время обсуждения не отключайте.
Результат встречи — короткий рабочий список: чего не хватает → что сделать → кто отвечает → к какому сроку → как проверить. Согласуйте приоритеты и дату проверки выполнения. Это первый разбор; затем отработайте решения на штабных учениях.
Перейти к расширенной самопроверке →На собственных учениях мы обнаружили неожиданную проблему. Мы так хорошо защитили системы от сбоев, что быстро остановить их оказалось непросто. Даже отключение от интернета требовало подготовки. Поэтому на учениях нужно проверить, как остановить системы, а затем безопасно запустить их снова.
На учениях разберите два случая: злоумышленника обнаружили до нанесения ущерба и после. Проверьте, кто решает остановить системы и кто их отключает. Сотрудники должны знать свои полномочия и быть уверены, что их не накажут за действия по согласованному плану.
План Б не отменяет защиту. Стены по‑прежнему работают, их просто нельзя построить везде. Защита снижает вероятность взлома, замедляет атакующего, делает вас менее привлекательной целью и даёт время на всё остальное. Вот семь направлений, с которых я бы начал.
Разные цели и разные показатели делают эти службы конкурентами, а атакующий проходит между ними.
Посадите ИТ и ИБ за один стол. Продумайте совместные KPI.
Нельзя защитить то, о чём не знаешь. Сколько у вас хостов? Сколько подключений к интернету? У 83% компаний панели администрирования доступны снаружи.
В список должны попасть и тестовые среды, и старые сервисы, и отдельные подключения филиалов. Проверьте, не используются ли в тестовых системах учётные записи с доступом к рабочим данным.
Запросите отчёт на одну страницу: что видно из интернета и кто отвечает за каждую систему.
Абсолютно необходимая гигиена. У более чем 90% крупных компаний в публичных утечках лежат актуальные пары «логин — пароль».
Поставьте проект на отдельный контроль. Добейтесь, чтобы не было исключений: для подрядчиков, администраторов и для руководителей компании.
Убрать из интернета всё, что можно, закрыть настройки по умолчанию, защитить виртуализацию.
Для каждой системы без обновлений безопасности нужен отдельный план: заменить, изолировать или ограничить доступ. У плана должны быть ответственный и срок выполнения.
Примите неудобство. Кому‑то станет сложнее работать, но отстоять это решение можете только вы.
Вместо муравейника, где всё связано со всем, — крепость: один вход и стены внутри. Начинаем с самого ценного, идём в несколько этапов.
Долгий многоэтапный процесс. Потребуется ваш контроль соблюдения сроков и обязательств.
Своя команда или партнёр круглосуточно, с правом изолировать угрозу без согласований, ночью и в выходные.
Включите KPI на организацию круглосуточного мониторинга и эффективность его работы в регулярный отчёт для вас.
Подрядчик заходит только на время работ, сессии записываются. Через нас тоже можно прийти к заказчикам, поэтому мы защищаем их от себя.
Спросите, сколько подрядчиков имеют постоянный доступ в вашу сеть и какие конкретно меры приняты для защиты взаимодействия с ними.
Ставьте цель так: не «Внедрить систему», а «Восстанавливаемся за N часов».
Для нас как для интегратора особенно важно защитить подключения к системам заказчиков. Если через нас злоумышленник проникнет к ним, мы рискуем потерять их доверие и поставить под угрозу собственный бизнес. Мы поняли это, когда вместе с руководителями подразделений разобрали возможные последствия атаки.
Проверьте доступы подрядчиков к вашим системам и свои подключения к клиентам. Определите, кому ещё может навредить взлом вашей компании.
Регулярно проверяйте защиту своими силами и с помощью внешних специалистов, включая меры, о выполнении которых вам уже доложили. Системы меняются, поэтому прежние результаты проверок могут устареть.
Генеральный директор отвечает за безопасность бизнеса. Проверяйте доклады сотрудников по результатам тестового восстановления, независимых испытаний и отчётам о последствиях для бизнеса. Сравнивайте время восстановления и потери данных с допустимыми для компании пределами.
Показывает дыры. Что найдут, то и закроете.
Можно ли взломать вас прямо сейчас и заметит ли это мониторинг?
Назначаете приз за реальный взлом.
На учениях проверьте, связала ли команда отдельные сигналы в одну атаку и успела ли её остановить. Закрытые уведомления и соблюдённые сроки ответа сами по себе этого не доказывают.
Обсуждайте эти 15 вопросов каждый квартал. Для каждого показателя фиксируйте согласованную цель, фактический результат, динамику и ответственного. Пределы определяет бизнес: универсального норматива для всех компаний нет.
Сколько часов может не работать каждый критичный бизнес‑процесс и когда эти пределы согласовали с его владельцем?
За сколько часов восстановили каждый критичный процесс на последнем испытании? Где превышен допустимый простой?
Сколько выручки теряем и какие дополнительные расходы несём за час остановки каждого критичного процесса?
Какие прямые расходы и потери бизнеса вызвали инциденты? Отдельно покажите подтверждённые суммы и оценки.
За какой период данные могут быть утрачены и соответствует ли результат последнего восстановления допустимому пределу?
Какую долю критичных процессов проверили полным тестовым восстановлением вместе с зависимыми системами?
Сколько испытаний завершилось в согласованный срок и без недопустимой потери данных? Что не удалось?
Какие операции можно продолжать вручную, с какой производительностью и как долго? Это проверяли?
Сколько прошло от обнаружения инцидента до сбора штаба и решения о сдерживании атаки?
Какие заказы, отгрузки и договорные сроки нарушены или окажутся под угрозой при остановке?
Какие критичные процессы зависят от внешних поставщиков и подтверждены ли сроки их восстановления?
Какие риски выявили учения и независимые испытания? Сколько критичных замечаний закрыто в срок?
Как изменились время восстановления и ожидаемый ущерб после выполненных проектов?
При каких сценариях потери всё ещё превышают допустимый для бизнеса предел? Какие решения требуют вашего участия?
Какие действия быстрее всего сократят простой и ущерб, сколько они стоят и кто отвечает за результат?
Ответ «Не знаю» гораздо лучше, чем уверенное «Да», за которым ничего нет.
Отмечайте только то, на что ответите сразу, с цифрой и фамилией ответственного.
Передайте список ИТ‑ и ИБ‑директорам и попросите письменный ответ к пятнице. Отметки остаются только в вашем браузере.
Запросить полную оценкуЗа несколько часов видно, что у вас работает, а что есть только на бумаге.
Это инструмент для специалистов: около 30 минут, примерно 100 практик по 33 доменам. Запросите анкету оценки и передайте её ИТ‑ и ИБ‑директорам.
«Взламывают всех. Вопрос только в том, каков ущерб и за сколько вы вернётесь к работе»
Опыт 44 расследований и 17 восстановлений после кибератак.
Запросить брошюруПланы восстановления, «Бункер» и «Цитадель», цена простоя.
Читать на сайте журнала ↗Семь стратегий, штабные учения и безопасность ИИ.
Читать на сайте журнала ↗