Статья поступила 14.10.2025 г. Статья одобрена к публикации 16.10.2025 г.
Российский рынок информационной безопасности в 2025 году показывает странную картину. Компании потратили на защиту 347 млрд рублей — на 28% больше, чем год назад. А количество успешных атак выросло на 65%. Получается: больше денег, хуже результаты.
Неправильно подобрана методология подхода к информационной безопасности. В большинстве компаний безопасность работает отдельно от бизнеса, создает преграды, замедляет операции.
По опросу руководителей служб безопасности крупных компаний, 73% жалуются на то, что бизнес активно сопротивляется требованиям защиты. Коммерческий директор не хочет вводить двухфакторную аутентификацию, потому что она замедляет работу. Начальник производства отказывается сегментировать сеть, это ограничивает доступ к данным. Финансовый директор режет бюджет — не видит отдачи.
Разберем, как выстроить защиту, чтобы она ускоряла работу, защищала прибыль, и при этом генерировала доход.
Определение критичности
Первая ошибка службы безопасности — попытка защитить все одинаково. В итоге деньги размазаны тонким слоем, большинство систем защиты работают вполсилы, ничего не охвачено в достаточно мере.
Правильный подход проще. Берете все основные процессы компании и раскладываете по двум параметрам: насколько этот процесс влияет на получение денег и насколько вероятно, что на него нападут.
Для ритейлера с выручкой 50 млрд рублей процесс приема онлайн-заказов попадает в красную зону. Через сайт проходит 60% всех продаж. Атаки на веб-приложения случаются постоянно, DDoS-атаки регулярны. Если сайт упадет на час, компания теряет 56 млн рублей. Этот процесс требует максимальной защиты: серверы в разных городах, автоматическое переключение при отказе, круглосуточный мониторинг.
Другое дело процесс внутреннего документооборота. На выручку почти не влияет. На него редко нападают. Базовых мер защиты достаточно: антивирус, резервные копии раз в день, восстановление в течение рабочего дня.