Крупная компания со слабой ИБ-функцией остается уязвимой. Индекс антихрупкости заметно повышается начиная с команды от десяти специалистов: до этого порога компании остаются в нижних зонах шкалы.

Распределение оценок участников относительно индекса приведены на графике. Каждый столбец — одна компания, все они отсортированы от низшего индекса к высшему.

Рынок разделился: значительная часть компаний находится в критически низкой и низкой зонах (почти 60%), заметная группа — в высокой. Переходная зрелость выделяется не сильно — компания либо построила процессы, либо нет. Это отражение глобального расслоения. WEF в Global Cybersecurity Outlook фиксирует, что доля небольших организаций, считающих свою киберустойчивость недостаточной, выросла в семь раз с 2022 года, тогда как среди крупнейших компаний таких лишь около 7%. Российский рынок подтверждает то же: 64% компаний находятся на начальном и повторяемом уровнях зрелости, согласно исследованию «ИБ в России: как непрерывные атаки меняют подход к информационной безопасности».

Антихрупкость (киберустойчивость) не возникает от одного продукта или проекта — только от комбинации взаимодополняющих способностей (стратегий). В Индексе мы используем семь таких стратегий, каждая из которых закрывает свой участок жизненного цикла атаки. Картина по ним простая и одинаковая для всего рынка.

Сопоставление с бюджетами объясняет картину. Большинство компаний по-прежнему строит ИБ так, будто речь идёт о «не пустить чужого внутрь». Бюджет расходуется на защиту периметра, антивирусы и другие меры, которые сегодня могут обеспечить не предотвращение, а только замедление атакующего. По данным исследования «ИБ в России: как непрерывные атаки меняют подход к информационной безопасности», рынок направляет 54% бюджета ИБ на превентивную защиту, 40% — на обнаружение и реагирование и 6% — на прогнозирование, что объясняет невысокие оценки по другим стратегиям.

Стратегия восстановления держится в основном на технической части — системе СРК, тогда как процессная часть провалена. Причина во многом организационная: разрыв между ИТ и ИБ — это структурная уязвимость многих компаний. Восстановление исторически живёт не в ИБ, а в ИТ: резервное копирование, катастрофоустойчивость и непрерывность бизнеса традиционно закладываются в ИТ-бюджет и оцениваются по времени доступности сервисов. В бюджете ИБ такой строки просто нет — не потому, что задача неважна, а потому, что она числится за другим подразделением. Из-за этого зона восстановления оказывается ничьей: ИТ отвечает за инфраструктуру, но не за сценарий атаки, а ИБ отвечает за атаку, но не за возврат бизнеса в строй.

Индекс антихрупкости построен на 33 доменах — от сетевой безопасности до кризисных процессов. Их совокупность показывает, насколько компания готова не просто отражать кибератаки, а переживать их: обнаружить, выдержать удар, восстановиться и стать сильнее.

Самые высокие оценки там, где решение покупается и настраивается один раз: управление доступом, сетевая безопасность, защита ИТ-активов, привилегированный доступ. Внизу — то, что требует регулярной работы: автоматизация ИБ, киберучения, репутационные риски, активное противодействие, кризисные процессы, управление рисками с учётом угроз, жизнестойкость.

График ниже показывает разрыв между тем, что компания купила, и тем, что отработала:

У 88% участников оценки закупаемая часть выше отрабатываемой. У самых незрелых участников опроса разрыв составляет 38 пунктов: средства защиты наполовину закуплены, процессов нет вообще. К высокому уровню разрыв практически нивелируется: «процессы догнали технику».

Рыночные данные показывают то же самое. По исследованию «ИБ в России: как непрерывные атаки меняют подход к информационной безопасности», у 40% компаний управление непрерывностью бизнеса не внедрено или только планируется, а формализованный план кризисного реагирования есть лишь у 35% — это ровно те домены, что стоят внизу нашего профиля. Совпадают и причины: 80% компаний заявляют о нехватке ИБ-специалистов, а больше половины бюджета ИБ по-прежнему уходит в превентивную защиту — то есть в верхнюю часть профиля.

Мы сравнили компании из верхней зоны шкалы с компаниями из критической. Разница между ними — и есть приоритеты роста.

Все домены-маркеры — процессные, а не продуктовые, их нельзя купить, их можно только построить и отрепетировать. Это подтверждается ситуацией на рынке: формализованный план кризисного реагирования есть только у 35% компаний, ответственность за решения при требовании выкупа понимают 37%, а формализовали стратегию лишь 25%, по итогам исследования «ИБ в России: как непрерывные атаки меняют подход к информационной безопасности».

Это базовая гигиена — межсетевые экраны, EDR, PAM, резервное копирование. Их закупили все, индекс по ним в среднем хороший.

Ответы «Неприменимо» и «Не знаю» говорят о рынке не меньше, чем баллы.

«Неприменимо» — это карта проникновения технологий. Примерно у трети компаний практики защиты ИИ просто не к чему применять: самой технологии в контуре нет — именно поэтому домен «Безопасность ИИ» обычно исключался из оценки и был оценен как «Не применим». Примерно каждая шестая компания не разрабатывает ПО сама, и вопросы безопасной разработки для неё неактуальны.

Распределение ответов «Не знаю» показательно: они концентрируются там, где ответственность лежит за пределами ИБ. Чаще всего руководители ИБ затруднялись ответить на вопросы про порядок взаимодействия с правоохранительными органами — это зона юристов и службы безопасности, про работу с репутационными рисками — зона PR, про резервное копирование и жизнестойкость — зона ИТ, про безопасную разработку — зона разработчиков. Это ещё одно подтверждение вывода о «ничьих» зонах: в ситуациях, когда домен живёт в соседнем подразделении, руководитель ИБ не всегда видит его реальное состояние.

Компрометация перестала быть событием, которого можно избежать. Вопрос в том, что произойдёт после неё — и данные показывают, что именно к этому рынок готов хуже всего.

Компании научились мешать атакующему двигаться внутри сети, но не научились переживать удар. Зрелость сегодня определяют кризисные процессы, проверенное восстановление и способность перестроиться после инцидента — то, что нельзя купить, а можно только построить и регулярно проверять. Средства защиты, закрывающие верх профиля, есть у всех, и лидера от аутсайдера они уже не отличают.