Инциденты и попытки кибератак на малый и средний бизнес подтвердили 63% компаний, у 16% это привело к сбоям, потере данных и другим последствиям. Комплексную систему защиты, которую регулярно пересматривают и обновляют, применяют 35%.
Исследование компании «Киберпротект» и Аналитического центра НАФИ показало, что бизнес признаёт значимость кибербезопасности, но должное внимание ей уделяют не все. Самостоятельно решить задачу защиты от кибератак бизнесу сложно: ему нужна помощь с оценкой защищённости, развитием компетенций, выбором и покупкой решений. В исследовании приняли участие владельцы и руководители владельцы и руководители 300 предприятий малого и среднего бизнеса.
Атакуют многих, комплексная защита есть не у всех
С атаками или инцидентами сталкивались большинство компаний — 63%. При этом почти у двух третей респондентов защита от киберугроз выстроена частично или не выстроена вовсе. 33% опрошенных, по собственной оценке, используют базовые меры защиты (обновление ПО, резервное копирование данных, антивирус), но признают, что отдельные направления требуют развития. У 21% есть отдельные меры без единой системы кибербезопасности, у 8% защита практически не организована.
Исследование показало, что для 92% предприятий кибербезопасность является одним из условий устойчивой работы, однако к приоритетным задачам относят её развитие представители только каждой четвёртой компании (27%). Ещё 43% опрошенных считают кибербезопасность важным направлением, но отдают приоритет другим задачам. В 22% компаний вопросы кибербезопасности решают по мере необходимости, а в 8% — практически ими не занимаются.
Базовые меры защиты от кибератак есть не у всех: антивирус используют 66% респондентов, регулярно обновляют системы и программы 58%, резервные копии важных данных делают 56%. При этом половина опрошенных (51%) уверена, что небольшой компании для защиты достаточно антивируса и своевременных обновлений.
Чаще других эти меры применяют малые и средние компании: регулярно обновляют операционную систему и делают резервные копии около двух третей из них.
Остальные меры применяют для защиты меньше половины компаний: разграничение доступа и защита почты от фишинга (по 45%), двухфакторная аутентификация (41%). Регулярно проверяют свои ИТ-системы на уязвимость 31% опрошенных, а внешних специалистов для оценки и усиления защиты от кибератак привлекают 24%. К самому инциденту бизнес готов слабо: план действий на случай кибератаки есть у 20% предприятий в целом, среди микропредприятий — у каждой десятой компании (10%).
Риски видят, но оценить уровень своей защиты от кибератак сложно
Доля предпринимателей, которые считают, что целью кибератаки может стать даже небольшая компания, составила 84%. При этом 40% опрошенных допускают, что киберпреступникам малый бизнес интересен не меньше, чем крупный. За 4 года мнение рынка относительно вероятности хакерских атак на предприятиях МСП значительно поменялось. По данным исследования НАФИ и Киберпротекта от 2022 года, 68% опрошенных называли нападение хакеров на свою компанию маловероятным или невозможным, допускали его 21%.
Часть бизнеса (29%) считает, что если инцидентов раньше не было, то вероятность серьезной атаки в будущем невысока. Такая логика рискованна: отсутствие инцидентов в прошлом не гарантирует безопасности и не должно успокаивать. Цена ошибки при этом выросла: с 30 мая 2025 года по закону № 420-ФЗ за утечку персональных данных от 1 до 10 тыс. человек компании и ИП платят от 3 до 5 млн рублей, а за повторную предусмотрены оборотные штрафы — до 3% годовой выручки, но не меньше 25 млн рублей.
Бизнес заинтересован в повышении своей киберустойчивости, но понять, насколько хорошо он защищён от киберугроз, предпринимателям пока всё ещё трудно: 71% опрошенных согласны, что небольшой компании сложно определить это самостоятельно. Интересно, что если бы существовал условный бесплатный сервис для оценки уровня кибербезопасности организации, то им воспользовались бы 84% компаний в целом, а среди индивидуальных предпринимателей — подавляющее большинство (92%).
Цепочка поставок: требования есть, ресурсов не хватает
Малый и средний бизнес часто работает в качестве подрядчика крупных компаний и госзаказчиков, поэтому его кибербезопасность становится уже не только внутренним делом: слабое место и уязвимость одного поставщика могут стать проблемой для всей цепочки.
В этом году в исследование был включен вопрос о требованиях заказчиков к наличию у компаний выстроенной системы кибербезопасности. Ответы показали, что такие запросы стали распространенной практикой: 58% респондентов сталкивались с требованиями к кибербезопасности при заключении договоров с крупными заказчиками, госкомпаниями или партнерами. Среди опрошенных с таким типом заказчика работает 84% компаний. При этом от 25% организаций при заключении договоров заказчики требуют подтверждать соответствие определенным требованиям или проходить аудит, 33% говорят, что требования есть, но их выполнение проверяют не всегда: единого подхода к проверке, связанной с кибербезопасностью при заключении договоров у крупных заказчиков, нет. Строже всего проверяют средний бизнес и индивидуальных предпринимателей: подтверждать соответствие или проходить аудит приходится чуть больше трети опрошенных компаний (35% и 36% соответственно).
Что мешает: деньги, люди, знания
Развитию киберзащиты бизнеса мешает не только ограниченный бюджет: на финансовые трудности указало менее половины (41%) опрошенных, 37% при этом отмечают нехватку специалистов, 28% — информации о нужных мерах защиты, ещё 24% трудности с выбором решения и поставщика. Каждой пятой компании (20%) не хватает времени и ресурсов сотрудников. Каких-либо ограничений нет у 18% организаций.
Роль факторов, ограничивающих развитие кибербезопасности, как показал опрос, зависит от размера бизнеса, а значит, и меры поддержки каждому сегменту нужны свои. Так, микропредприятиям чаще других не хватает бюджетов (54%), малым — специалистов (49%), а средние сильнее остальных жалуются на сложность выбора решения и поставщика (32% против 24%).
Какая поддержка нужна и от кого
Наиболее актуальными мерами поддержки среди опрошенных компаний назвали обучение сотрудников (38%) и помощь квалифицированных специалистов в конкретных задачах (36%). Доступ к ИТ-решениям актуален для 31% предприятий, субсидии и льготы — для 30%, методические рекомендации и чек-листы, как и сервисы самооценки — ещё для 28%. Без поддержки готовы обойтись только 5% опрошенных.
Запрос на обучение понятен: 78% называют ошибки сотрудников одним из самых распространённых факторов киберинцидентов, а регулярно учат персонал правилам безопасности только в 34% компаний. При этом 74% считают вопрос обеспечения кибербезопасности прежде всего задачей ИТ-специалистов.
Бизнес ждёт помощь прежде всего от ИТ-компаний и государства. Поставщиков ИТ-решений в первую очередь назвали 38% респондентов. Это перекликается с главными барьерами, которые отмечает для себя бизнес: помимо бюджетов, компаниям не хватает специалистов, понимания нужных мер и помощи в выборе решений для защиты от кибератак — то есть именно того, с чем могут помочь ИТ-компании. На государство и организации поддержки бизнеса рассчитывают 28% опрошенных. Крупных заказчиков, отраслевые ассоциации и независимых консультантов называют по 9% респондентов. Совсем без внешней поддержки рассчитывают обойтись только 4%.
«Мы видим, что малый и средний бизнес стал лучше осознавать свою уязвимость перед киберугрозами и больше не может рассматривать кибербезопасность как «опциональную» задачу. Вместе с тем для работы в цепочке поставок с крупными предприятиями и государством информационная безопасность становится необходимым требованием для подрядчиков. Однако сегмент МСП продолжает испытывать трудности в обеспечении собственной безопасности, проблем много: нет опыта и средств для самооценки, не хватает знаний и специалистов, финансирования. На эту проблему нужно обратить внимание не только государству, но и ИТ-вендорам, работающим в области кибербезопасности. Даже методологическая помощь, обучение и просвещение могут сделать многое для решения этой задачи, которая, очевидно, является для нас общей», — Елена Бочерова, исполнительный директор компании «Киберпротект».
«Наши опросы предпринимателей показывают, что цифровизация быстро и всеобъемлюще охватывает бизнес-процессы: растет спрос на ИТ-услуги и решения, но часто не хватает именно компетенций безопасного использования технологий. И речь не столько о профильных кадрах, сколько о менеджменте всех уровней. Фактически цифровая или даже ИИ-компетентность становится одним из условий эффективного менеджмента и конкурентоспособности компании», — Тимур Аймалетдинов, к.с.н., заместитель генерального директора Аналитического центра НАФИ.
