Кибербезопасность малого бизнеса: стек за 0 ₽

В феврале прошлого года владелец логистической компании на 35 сотрудников позвонил мне в субботу утром. Шифровальщик за ночь положил 1С, CRM и файловый сервер. Бэкапов нет, антивирус - домашний бесплатный, пароль от RDP - admin123. Три недели на восстановление, ~800 тысяч рублей убытков. И это ещё повезло - данные удалось вытащить частично.

По отчёту InfoWatch за 2024 год, на малый бизнес (штат до 49 человек) приходится 27,8% всех зафиксированных утечек данных. ГК "Солар" даёт ещё жёстче: 82% компаний из сегмента МСП столкнулись с киберинцидентами в том же году. Это не про "больших корпоратов" - это про компанию на 20-200 человек, где сисадмин один и он же эникейщик.

Почему атакуют малый бизнес: логика злоумышленника​

Три года назад атаковать контору на 30 человек было нерентабельно. Сейчас - наоборот, и вот почему.

Инструменты подешевели. По данным Positive Technologies, вредоносное ПО, фишинговые наборы и DDoS-сервисы продаются по подписке. Порог входа для атакующего - десятки долларов. Ransomware-as-a-Service работает как SaaS, только наоборот.

МСБ используют как мостик к крупным заказчикам. По данным RED Security SOC, в 2024 году количество атак через подрядчиков выросло в 3 раза. Схема простая: получил доступ к сети субподрядчика -> через VPN или доверенные email-отношения попал в инфраструктуру его крупного клиента. По данным ransomware.live, группировки Play и TheGentlemen активно публикуют жертв из секторов Technology и Professional Services - типичный портрет МСБ-компании.

Малый бизнес не выдерживает последствий. По нескольким международным исследованиям, до 60% небольших компаний после серьёзного инцидента закрываются в течение полугода. Свежий пример: в июне 2025 года немецкий производитель Fasana объявил о банкротстве после кибератаки - две недели простоя, 2 миллиона евро.

Бизнес-логика атаки в терминах MITRE ATT&CK предсказуема: фишинговое письмо с вложением (Spearphishing Attachment, T1566.001, Initial Access) или ссылкой (Spearphishing Link, T1566.002) -> запуск вредоносного файла (Malicious File, T1204.002, Execution) -> использование украденных учёток (Valid Accounts, T1078) -> шифрование данных (Data Encrypted for Impact, T1486, Impact). Каждый шаг этой цепочки можно прервать бесплатными средствами. Ниже - конкретно чем.

Базовая ИБ-гигиена для компании: первая неделя​

Эксплуатация уязвимостей ПО - причина 31% успешных атак на российские организации (Positive Technologies, H1 2025). Закрытие этого вектора - вопрос одной групповой политики.

• WSUS (бесплатно, входит в Windows Server) для Windows-парка. Для GNU/Linux: unattended-upgrades на Debian/Ubuntu, dnf-automatic на CentOS/RHEL.
• Антивирус: Kaspersky Small Office Security (от ~3 500 руб./устройство/год) или Windows Defender с актуальными сигнатурами как бесплатный минимум. Defender - не идеал, но лучше, чем "Avast Free" образца 2019 года.
• Прошивки MikroTik, Keenetic, TP-Link не обновляются автоматически. Проверять вручную раз в месяц. Одна незакрытая уязвимость в роутере = открытый периметр. Я видел MikroTik'и с прошивкой 2018 года на боевых сетях - это как входная дверь без замка.

Сегментация сети и защита периметра​

Трудозатраты: 8–16 часов.

В плоской сети, где все устройства в одном сегменте, заражённая машина открывает атакующему горизонтальное перемещение через RDP (Remote Desktop Protocol, T1021.001, Lateral Movement). Именно так шифровальщик из вводного кейса расползся с одной рабочей станции на 1С-сервер за ночь - всё лежало в одном VLAN'е.

• На MikroTik или OPNsense создать минимум три VLAN: рабочие станции, серверы, гостевой Wi-Fi. OPNsense - бесплатный firewall, разворачивается на любом x86-железе за 2-3 часа.
• Правило по умолчанию: deny all между VLAN, разрешать только необходимое. Да, бухгалтерия будет жаловаться, что "раньше всё работало". Зато 1С будет жив после следующей атаки.
• Wi-Fi: только WPA3 или WPA2-Enterprise. WEP и WPA первой версии взламываются за минуты - в буквальном смысле.

Бюджетные решения по кибербезопасности: конкретный стек​

Этот набор я внедрял в компаниях от 15 до 150 сотрудников. Общая стоимость: 0–50 тысяч рублей в год (без зарплаты сисадмина).


Про Wazuh скажу отдельно. Это полноценный SIEM с агентами под Windows, GNU/Linux, macOS и встроенными правилами обнаружения. Для парка из 50 хостов - бесплатная альтернатива коммерческим решениям за миллионы. Один сисадмин способен развернуть и поддерживать его. По NIST CSF v2.0 Wazuh закрывает функции Detect (DE.AE-01 - установление базовой линии сетевых операций) и Respond (RS.AN-01 - расследование алертов от систем обнаружения). Из минусов - интерфейс не самый интуитивный, и на первичную настройку правил уйдёт день-два. Но за ноль рублей - грех жаловаться.

Резервное копирование данных: правило 3-2-1​

Шифровальщики остаются главной угрозой: 49% атак с использованием вредоносного ПО, по данным Positive Technologies. Единственная гарантия от потери данных - бэкапы, до которых атакующий не дотянется.

Правило 3-2-1: три копии данных, на двух типах носителей, одна вне офиса.
Бэкап-хранилище не должно быть доступно с рабочих станций по сети. Учётные данные к S3 - только на сервере бэкапов, в переменных окружения, не в файлах. Поиск паролей в текстовых файлах (Credentials in Files, T1552.001) - одно из первых действий атакующего после закрепления.

И главное: бэкап, который ни разу не тестировали на восстановление - не бэкап, а самоуспокоение. Раз в месяц запускайте restore в тестовую директорию и проверяйте, что 1С-база реально открывается.

Security awareness сотрудников: программа обучения кибербезопасности​

Социальная инженерия - причина 50% успешных атак (Positive Technologies, H1 2025). Ни один антивирус не спасёт, если бухгалтер запустит "акт_сверки.exe" из фишингового письма. Я это видел раз десять - и каждый раз на лице сисадмина одно и то же выражение.

Минимальная программа, проверенная на 12 компаниях:

1. Разовый тренинг, 1 час. Живые примеры фишинговых писем с разбором: адрес отправителя, домен в ссылке, расширение вложения. Формат - интерактив со скриншотами, не лекция на полдня. Показываете реальное фишинговое письмо, спрашиваете "что здесь не так?" - и смотрите, как люди ищут.
2. Тестовый фишинг раз в квартал. GoPhish (бесплатный, self-hosted) позволяет отправить тестовое письмо и увидеть, кто кликнул. После первого теста кликают 30-40% сотрудников. После трёх итераций - менее 5%. Динамика впечатляющая, если не забрасывать.
3. Правило "второй канал". Любое письмо с вложением или ссылкой от внешнего отправителя: переспросить автора по телефону или мессенджеру. Одно это правило блокирует большинство BEC-атак (Business Email Compromise), которые, по данным Агентства стратегических инициатив, всё чаще нацелены на компании МСБ.

Защита данных малого предприятия: обязательства по ФЗ-152​

Каждая компания с трудовыми договорами обрабатывает персональные данные и подпадает под ФЗ-152. Для малого бизнеса минимальный набор действий:

• Определить уровень защищённости ИСПДн по ПП-1119 (для большинства МСБ - УЗ-3 или УЗ-4).
• Назначить ответственного, утвердить политику обработки ПДн, собрать согласия.
• При использовании криптографии для защиты ПДн - применять СКЗИ класса КС1 (Приказ ФСБ №378). Для типичных сценариев МСБ этого класса достаточно.

Штрафы за утечку ПДн выросли до 15 миллионов рублей для юрлиц при повторных нарушениях. Для компании на 30 человек такая сумма - это ликвидация.

За семь лет работы с кибербезопасностью малого бизнеса я убедился: проблема никогда не в деньгах. Весь стек из таблицы выше стоит ноль рублей. Проблема в голове - 74% руководителей МСП, по данным "Киберпротект" и "Работа.ру", признают, что начнут укреплять защиту только при появлении новых требований регуляторов. Не после инцидента, не после аудита - а когда заставят бумажкой. При том что 45% российских компаний МСБ уже сталкивались с киберинцидентами.

На практике 80% этих инцидентов закрываются тремя мерами: MFA на всём, бэкапы вне сети и час обучения сотрудников в квартал. Суммарно - 40-60 часов на внедрение и 2-3 часа в неделю на поддержку. Это не enterprise-уровень информационной безопасности для СМБ - это минимальный набор, который отделяет работающий бизнес от банкрота.

Для тех, кто строит карьеру в ИБ: опыт защиты МСБ - сильная стартовая точка. Вакансии на hh.ru в этом сегменте требуют не сертификаты и три года в SOC, а конкретный roadmap навыков - настроенный Wazuh, работающие бэкапы, проведённый тренинг. Если хочешь не набор разрозненных статей, а системную базу под первые реальные задачи - на IB Basics собирают именно такой стек с нуля, без академического тона.