Непрерывно о непрерывности бизнеса

😍 Исследование «ИБ в России: как непрерывные атаки меняют подход к информационной безопасности»

Уже третий год мы берем интервью у руководителей ИБ. Как собирают команду? На что тратят бюджет? Как измеряют пользу от защиты? Как выстраивают процессы кризисного реагирования? Какую архитектуру ИБ строят?

За три года наблюдений мы опросили 250+ компаний, ответы которых совместно с результатами наших аудитов ИБ легли в основу большого аналитического исследования «ИБ в России: как непрерывные атаки меняют подход к информационной безопасности». Мы отразили ключевые аналитические срезы в разрезе трех лет — это помогает увидеть, как именно менялись стратегии и подходы руководителей ИБ. И конечно мы собрали главные тенденции 2025 года

Направления анализа, которые вошли в отчет:
🔹 Стратегический менеджмент
🔹 Организация службы ИБ
🔹 Киберустойчивость
🔹 Эффективное управление, сервисы в и автоматизация
🔹 Управление рисками ИБ
🔹 Оценка своего уровня ИБ и отчётность
🔹 Киберкультура

В этом году мы уделили больше внимания киберустойчивости и непрерывности бизнеса. Особенно — тому, как компании ведут себя в кризисных ситуациях. Некоторые выводы и цифры из отчета:

🔹 Удвоилась доля компаний, урезавших финансирование ИБ — с 8% до 20%
🔹 Увеличивается разрыв между потребностями и возможностями найма: в половине компаний открыты только 1–3 вакансии, 46% компаний не имеют открытых вакансий. Полностью укомплектован штат только у 11% компаний, а доля организаций с нехваткой более 10 специалистов за три года выросла с 17% до 32%.
🔹 Руководители ИБ концентрируются на привлечении редких и высококвалифицированных специалистов: спрос с универсалов сместился на архитекторов ИБ и специалистов по безопасной разработке
🔹 Все больше руководителей ИБ выбирают краткосрочные тактические решения: доля стратегий сроком до года выросла до 11%. Компании продолжают выбирать «осторожный» метод стратегического планирования
🔹 Бизнес постепенно уходит от модели «Замок и ров» к «Эшелонированной обороне» (70% опрошенных). Zero Trust — горизонт 2030+: в условиях технологического, кадрового и бюджетного дефицита компании переориентировались на точечное внедрение отдельных принципов (ZTNA, микросегментация) и постепенное закрытие технического долга
🔹 4% опрошенных компаний имели полис киберстрахования, ещё 22% задумываются об этом. Большинство по-прежнему считает киберстрахование нецелесообразным
🔹 Доля компаний, которые возвращаются к комплаенсу (включая импортозамещение) как к основному аргументу для получения бюджета, выросла в 4 раза. В 2025 году ссылки на требования законодательства стали весомым аргументом при общении с бизнесом
🔹 Из-за сдержанной политики найма компании всё меньше готовы брать студентов и предпочитают «готовых» специалистов (38% против 21% в 2024 году). Если в 2023–2024 от работы со студентами чаще отказывались небольшие организации, то в 2025 году практика распространилась и на крупный бизнес

Еще больше – в самом материале. Отчет будет полезен чтобы сравнить себя с другими игроками рынка.
#analytics

OpenClaw, ищущий инциденты

Давно стоит задача сделать для себя мониторинг инцидентов непрерывности. О громких кейсах, конечно, узнают все, но вот более локальные инциденты в компаниях по всему миру не всегда попадают в новости, а самому постоянно проверять основные издания достаточно трудозатратно.

Очень вовремя друг рассказал о своем опыте с openclaw. Решение было принято быстро: закуплен VPS, развернут агент. Попробовал экспериментировать на бесплатных модельках gemini - токены кончились за мгновенье, тогда выбор пал на DeepSeek, на мой взгляд, лучшее соотношение цена за 1М токенов/качество.

И вот спустя несколько бессонных ночей и 10$ за токены получилось собрать MVP своей системы. Архитектура довольно простая:

Источники инцидентов
(новости, security-блоги, отраслевые сайты)
        ↓
Парсеры
(сбор и унификация данных)
        ↓
Pipeline обработки
(дедупликация → классификация → BCP scoring)
        ↓
База инцидентов
(SQLite)
        ↓
Дашборд + Telegram уведомления

В итоге сейчас у меня под рукой есть дашбоард с основными новостями по кибератакам, инцидентам и событиям, связанным с непрерывностью, а также 3 раза в день мне приходят уведомления в телеграм по критичным инцидентам. В дальнейшем буду оттачивать классификацию и отслеживание статусов, но уже сейчас инструмент приносит пользу.

Провел мини-исследование с целью систематизировать знания о проверках готовности к реагированию и восстановлению. Изучил и сравнил подходы к тестированиям в ISO 22398:2013, ISO 22313:2020, ISO 27031:2025, ISO 22361:2022, NIST SP 800-84, Good Practice Guidelines 7.0 и ГОСТ Р 59711-2022.

В результате получилась статья для хабра, а рекомендация как подтвердить готовность к масштабной атаке шифровальщиком или вайпером осталась неизменной:

На мой взгляд, оптимальное дополнение к проверкам защищённости — настольное тестирование со сценарием, построенным на успехах атакующих, с последующими специальными проверками гипотез по восстановлению, озвученных в ходе table-top.

Проехал на поезде до Москвы и изучил, что у ФПК с памятками действий в ЧС (спойлер: грустновато)

🔜Начнем с ошибки, нет такого понятия (даже перепроверять полез) как ВНЕштатная ситуация, бывают только НЕштатные ситуации, а внештатными могут быть сотрудники, подразделения и т.д.

Посмотрим на отдельные пункты:

Аварийные выходы (окна) в зависимости от конструкции вагона следует выдавить или разбить специальным молотком (тяжелым подручным предметом) и постелить на кромку окна и выходную площадку матрас (одеяло).

Отойдите от вагонов на безопасное расстояние - не менее 30 метров. В случае касания токонесущим проводом земли или вагона передвигайтесь по земле короткими шаркающими шажками...

Оказавшись снаружи, по возможности примите участие в эвакуационных работах...

Может показаться, что всё ясно, но золотое правило любых памяток действий в ЧС - это простота. Такие инструкции вообще не должны давать выбора и заставлять думать. Идея унифицировать памятку для разных типов вагонов понятна, но как будто иметь однозначное понимание искать аварийный выход или окно, выдавливать стекло или разбивать, гораздо важнее чем единая памятка.

Пункт про эвакуацию слишком длинный, и построен, на мой взгляд неверно.
➡️ В начале нас просят оценить обстановку после того как мы выбрались из вагона: нет ли пожара, разлива топлива и не оборвались ли провода.
➡️ Затем предлагают отойти на безопасное расстояние.
➡️ А потом напоминают, что если вдруг обрыв провода всё же был, то идти надо по особенному.
Было бы лучше разделить пункт на несколько: сначала оцени обстановку, а потом эвакуируйся следующим образом для ситуации 1, ситуации 2 и так далее.

Ну и вишенка о возможности принять участие в эвакуационных работах. Еще одно правило при ЧС говорит нам о том, что прежде чем оказывать первую помощь, необходимо убедиться в отсутствии угрожающих факторов для себя и обеспечить безопасную обстановку, если это возможно. При этом в универсальной памятке от МЧС данный пункт есть. Кажется, в этой памятке не хватает определения "возможности" для участия в эвакуационных мероприятиях.

В общем и целом вывод один, памятку надо обновить 🙂

само исследование

Начало здесь

Краткосрочный прогноз (до 1 года) рисков прерывания бизнеса

По-прежнему главным риском прерывания бизнеса в следующем году остаются кибератаки (скриншот 1). При этом 4 из 5 первых мест занимают цифровые угрозы, не связанные с классическими рисками.

Это в очередной раз подчеркивает важность интеграции процессов непрерывности и готовности компаний к восстановлению в классические подходы обеспечения кибербезопасности

Интересно также, что утечки данных на западе - фактор остановки бизнеса компании (взять хотя бы штрафы GDPR), будет ли применим такой риск к нашим компаниям в случае наложения оборотных штрафов - увидим.


Долгосрочный прогноз (5-10 лет) угроз бизнесу

Самая неоднозначная часть исследования и попытка заглянуть за горизонт. Здесь стоит отметить выход ИИ на третье место (скриншот 2), как большой неопределенности с точки зрения как повсеместного внедрения и потенциальных сбоев, так и формирования новых киберугроз.

Первая же строчка по прежнему за рисками кибербезопасности, с большим отрывом большинство респондентов считают, что и через 5 и через 10 лет масштабные кибератаки будут останавливать компании.

Исследование вышло интересным, прикладываю файл. Много цитат специалистов по непрерывности бизнеса со всего мира об их насущных проблемах и виденье будущего. Рекомендую!

Опубликовано главное исследование непрерывности бизнеса BCI Horizon Scan Report 2025

Традиционно исследование состоит из 6 основных блоков:
1️⃣Оценка рисков и угроз за последние 12 месяцев
2️⃣Последствия, с которыми столкнулись организации при реализации инцидентов
3️⃣Краткосрочный прогноз (до 1 года) рисков прерывания бизнеса
4️⃣Анализ тенденций и рисков внутри организаций
5️⃣Оценка систем управления непрерывностью бизнеса
6️⃣Долгосрочный прогноз (5-10 лет) угроз бизнесу

4 и 5 пункты достаточно специфичны для зрелых западных компаний и совсем не применимы к нашему рынку, а вот остальные разберем чуть подробнее.


Оценка рисков и угроз за последние 12 месяцев

As cyber threat actors become more sophisticated, even the amateur ones, our defences have to rise just to stand still. That’s the challenge, you are spending more, and it looks like nothing has changed, when in reality the threat landscape is constantly evolving.

Несмотря на то, что впервые за несколько лет Safety инциденты вышли на первое место, производственные травмы и как следствие недоступность ключевого персонала - риски во многом операционные, управлять которыми умеют большинство организаций. Вторая и третья строчка самых частых инцидентов прерывания бизнес-процессов кибератаки и мошенничество (фрод).

Корневые причины инцидентов тоже практически без изменений (см. скриншот). Единственной неожиданностью стало попадание экстремальных природных явлений на первую строчку, но это объясняется большим количеством респондентов в EMEA регионе и Японии, традиционно чувствительных к климатическому риску (цунами в Японии, после землетрясения на Курилах, наводнения в Испании). Однако, кажется что в среднесрочной перспективе вероятность реализации таких рисков может повыситься и у нас.


Последствия, с которыми столкнулись организации при реализации инцидентов

Ущерб компаний от простоя и инцидентов в исследовании позволяет взглянуть по другому на реалистичную картину (см. скриншот 2). Потеря прибыли расположилась только на 5 (!) месте, а 2 и 3 строчки занимают Снижение продуктивности и Демотивация/перегрузки/стресс персонала - и это, на мой взгляд, отражает реальную картину.

Мы много говорим о финансовых и репутационных потерях при масштабных инцидентах тех же шифровальщиков, но никто не обращает внимания на выгорание команд, тушащих пожар, и резкое снижение продуктивности после таких инцидентов, хотя в долгосрочной перспективе потеря ключевых специалистов в ИТ и ИБ несет для компаний возможно даже большие риски, чем сам инцидент.

Ну и первая строчка - недовольство клиентов, классическая история моментальных эскалаций и жалоб даже при незначительных инцидентах.

Клиент жалуется 🔜 бизнес нервничает и требует восстановления 🔜 команды работают на износ

Продолжение здесь

Подходит к концу уже четвертый CyberCamp и второй, на котором получилось выступить!

Продолжил развивать тему настольных тестирований:
✅ Разобрали для чего они нужны
✅ Обсудили подходы к проведению
✅ Поговорили о реальной пользе такого упражнения

Глянуть можно тут. Рекомендую также посмотреть и следующий доклад от Ники: крутой рассказ про кризис-менеджмент и практики грамотного PR реагирования на инциденты ИБ.

Кстати, ехал на эфир прямо с настольного тестирования по атаке шифровальщиком в крупной компании. Участвовали все: CISO, SOC, C-level менеджмент как технический, так и представители PR, внутренних коммуникаций и бизнеса.

Несмотря на высокую зрелость как ИБ, так и непрерывности бизнеса в компании, во время тестирования нарыли достаточное количество вопросов, начиная от "а кто всех соберет и создаст кризисный чат" до "сколько версий резервных копий мы храним, чтобы откатиться до незараженной инфры". Руководители ушли с инсайтами, задачами и, надеюсь, с пониманием чего ждать, если катастрофа произойдет.

Выпустили хорошее исследование, посвященное практикам непрерывности бизнеса в контексте киберустойчивости.

Систематизировали результаты опроса рынка о том, как именно будут действовать компании при реализации масштабного инцидента ИТ или ИБ (читай, кризиса) и насколько используются практики непрерывности бизнеса для этого.

Пока картина оставляет желать лучшего, но тенденции (третий скрин - планы по внедрению практик непрерывности) уже намечаются, что не может не радовать.

А вот и запись интерактива в рамках IT Elements. По-моему, получился крутой тейблтоп. После короткой вводной части разобрали 6 последовательных событий одного масштабного инцидента: от новостей о взломах подрядчиков нашей выдуманной компании, до восстановления инфраструктуры после шифрования.

К каждому событию прилагался контекст и 4 стратегии действий. Зрители голосовали за наиболее применимую на их взгляд стратегию, а результаты тут же отображались на экране. Но самое интересное, что после голосования добавлялись еще вводные (которые кстати можно было уточнить сразу) и зрителям предлагалось пересмотреть свой выбор, что многие и делали!

Это, кстати, один из результатов настольного тестирования - в спокойной обстановке взглянуть на кризис масштабно, попытаться найти все взаимосвязи и возможные дилеммы выбора, чтобы в момент реального инцидента быть более подготовленным, не забыть задать нужные вопросы и привлечь нужных людей.

Август получился загруженным, а всё чтобы сделать сентябрь насыщенным!

Уже 10 сентября стартует IT Elements, а 11 сентября в 11:00 буду проводить tabletop тестирование реагирования на инцидент. Должно получиться очень интересно: проработанный сценарий, голосование и выбор вместе с залом решений при реагировании и восстановлении, разбор и обсуждение выбранной стратегии действий!

А 18 сентября в рамках серии практических вебинаров увидимся на вебинаре, посвященном плану кризисного реагирования на инцидент, связанный с атакой шифровальщиками.

Пока ходил в отпуск, пропустил целую серию инцидентов, которые привели к простою крупных федеральных компаний. Кибератака на "Винлаб", потоп в серверной Спортмастера, а вчерашнее утро началось с сообщений о сбоях в Аэрофлоте. Первые два инцидента уже разобраны, про второй пока известно не так много - заявления хакеров (с наверняка преувеличенным ущербом), отмены рейсов и заявления авиакомпании.

Интересно взглянуть на последний кейс с точки зрения кризисного реагирования и PR. Первые сообщения о проблемах у Аэрофлота появились ближе к 8 утра в телеграм канале пресс-службы авиакомпании, через час хакерские группировки взяли на себя ответственность и объявили о взломе, причем объявив практически о полном уничтожении ИТ-инфраструктуры. Пресс-служба аэрофлота оперативно комментировала отмену рейсов, переносы и давала информацию пассажирам, но только ближе к 17 часам опубликовала сообщение с просьбой к СМИ опираться только на официальные сообщения. Авиакомпания по прежнему называет произошедшее ИТ-сбоем, не делает прогнозов и не дает оценку масштаба инцидента.

Что имеем по итогу:
⚡️ Из-за отсутствия официальной информации все, кому не лень, уже прикидывают ущерб, который вообще отличается на порядки у разных экспертов.
⚡️ Оценка масштаба в статьях основывается только на сообщениях хакеров, опровержения со стороны авиакомпании не было.
⚡️ Акции аэрофлота просели, прогнозов по восстановлению нет и рядовому наблюдателю кажется, что отменены все рейсы (хотя это не так).

Первые выводы:
Стратегия кризисных коммуникаций - один из столпов кризисного реагирования. Как минимум публично признать инцидент, опровергнуть или подтвердить масштаб и дать хоть какой-то прогноз по восстановлению, на мой взгляд, стоило. Потому что сейчас вся эта информация есть итак, но получена она из постов хакеров, рассуждений экспертов и домыслов.

Непрерывность в обычной жизни

Полезное приложение, которое обязательно должно быть на телефоне - приложение МЧС России. Своевременные уведомления о чрезвычайных и нестандартных ситуациях, которые помогают скорректировать планы при необходимости. Один из примеров - уведомления об объявлении режима "Беспилотная опасность", а значит и о перебоях в мобильном интернете и данных о местоположении.

Такое уведомление - триггер для активации персонального плана, Таким планом может быть, например, отмена запланированной поездки или использование общественного транспорта вместо такси. Можно еще предпринять что-то заранее, чтобы отменять ничего не пришлось, мой список:

1️⃣ Офлайн карты города, нужных маршрутов заранее.
2️⃣ Наличные с собой
3️⃣ Номера такси (да, они еще есть и яндекс можно вызвать в Казани,
позвонив по номеру 8 (843) 510 00 00
4️⃣ Для любого другого сервиса, зависящего от интернета и требующегося в поездке, надо продумать замену или ответить на вопрос "что будет, если Х не будет работать"

В общем планирование и своевременный триггер - залог непрерывности обычной жизни.

Еще одно исследование от BCI опубликовано на прошлой неделе. Resilience
Vision 2030 Report предлагает нам взглянуть на то, как будет обеспечиваться устойчивость организаций через 5 лет.

По большей части опрошенные эксперты сходятся во мнении, что ключевой задачей для обеспечения устойчивости в будущем является глубокое межфункциональное взаимодействие внутри компании. Это не удивительно, потому что разнообразие рисков прерывания деятельности требует вовлечения различных экспертов и их скоординированной работы для предотвращения или реагирования на инциденты.

Из технологических трендов упор делается на:
1️⃣ Предиктивный анализ рисков - способность организаций, используя в том числе ИИ, моделировать риски и вероятность их реализации.
2️⃣ Мониторинг и аналитику в реальном времени.
3️⃣ Системы, обеспечивающие обнаружение кибератак и реагирование на угрозы, поскольку риски кибербеза являются одними из самых значительных для устойчивости организаций.

В остальном исследование повторяет уже многократно описанные проблемы управляемости и бюджетирования устойчивости организации.