#информационнаябезопасность — посты и обсуждения

Сегодня вышли цифры, которые заставляют немного иначе посмотреть на фразу «цифровая безопасность».

Специалисты проанализировали 23 тысячи российских организаций.

Среди компаний, у которых в начале 2026 года были обнаружены критические уязвимости, полностью устранили их за первое полугодие только 14,6%.

Речь прежде всего о проблемах во внешних сервисах компаний: уязвимых сайтах и серверах, слабых настройках, утечках учётных данных и других рисках, которые можно увидеть извне.

Ещё 30,8% смогли сократить количество таких проблем.

А у 53,5% состав критических уязвимостей вообще не изменился.

То есть если очень грубо представить 100 компаний, у которых была серьёзная цифровая проблема, только примерно 15 полностью её закрыли.

И здесь важно понимать, что «уязвимость» — это ещё не обязательно взлом.

Это скорее дверь, которую технически можно открыть, если злоумышленник найдёт к ней подходящий ключ.

Проблема в другом: часть таких дверей остаётся открытой месяцами.

Причины довольно прозаичные.

Чтобы закрыть уязвимость, иногда недостаточно просто нажать кнопку «обновить».

Компания может использовать старую программу, на которой завязаны бухгалтерия, склад, продажи или работа с клиентами.

Обновили одну систему — перестала нормально работать другая.

Нужно менять интеграции, тестировать процессы, привлекать специалистов, покупать новое оборудование или программное обеспечение.

А это деньги и время.

Поэтому бизнес иногда оказывается перед неприятным выбором: оставить известную слабость и продолжать работать или остановить часть процессов ради большой переделки.

Особенно интересно другое.

Чем крупнее цифровая инфраструктура компании, тем сложнее её контролировать.

У организаций, у которых из интернета доступно 500 и более цифровых активов, средняя оценка защищённости составила 4,96 балла из 10.

У компаний с 10–20 такими активами — уже 7,89 балла.

И разница ещё заметнее по критическим уязвимостям.

У компаний с большим цифровым периметром их нашли в 77% случаев.

У небольшого периметра — в 24%.

Получается довольно понятная вещь.

Чем больше у бизнеса сайтов, серверов, приложений, облачных сервисов, личных кабинетов и других цифровых систем, тем больше мест, за которыми нужно постоянно следить.

Это как здание.

Если у вас две двери, проверить замки несложно.

Если дверей пятьсот, какая-нибудь обязательно рискует остаться без внимания.

Есть ещё одна цифра.

Среди более чем 20 тысяч организаций, за которыми наблюдали постоянно, заметно улучшили свою оценку защищённости только 4,9%.

У 2,5% ситуация ухудшилась.

У 92,6% уровень практически не изменился.

И вот здесь для обычного человека эта история перестаёт быть исключительно проблемой айтишников.

В этих системах находятся наши фамилии, телефоны, адреса, история заказов, документы, платёжная информация, рабочая переписка.

Мы можем поставить сложный пароль и включить двухфакторную авторизацию.

Но если проблема находится на стороне компании, клиент уже мало на что может повлиять.

Причём самый опасный момент далеко не всегда выглядит как кино про хакеров.

Магазин работает.

Приложение открывается.

Заказы принимаются.

Сайт не падает.

Снаружи всё совершенно нормально.

А внутри может оставаться техническая проблема, которую дорого или сложно исправить.

Наверное, именно поэтому расходы на кибербезопасность всё меньше похожи на необязательную статью бюджета.

Пока ничего не произошло, защита кажется расходом.

После серьёзного инцидента внезапно выясняется, что восстановление систем, простой бизнеса, работа специалистов и потеря доверия клиентов могут стоить намного дороже.

И ещё одна деталь: большое количество цифровых сервисов само по себе не делает компанию современной и защищённой.

Каждый новый сервис нужно потом обновлять, контролировать и защищать годами.

А это уже совсем другая цена цифровизации.

Как вы думаете, что для бизнеса опаснее: потратить большие деньги на защиту заранее или однажды заплатить за последствия серьёзной атаки?

#базарактив #бизнес #кибербезопасность #технологии #данные #цифровизация #риски #информационнаябезопасность

Минцифры России разработало очередной пакет мер по противодействию кибермошенничеству. Предлагается внести поправки в Федеральный закон от 7 июля 2003 г. № 126-ФЗ «О связи» и ряд других нормативных актов.

Признаюсь честно: я сама столкнулась с мошенничеством и понесла финансовые потери. Поэтому эта тема для меня — не абстрактная новость, а личный опыт. И именно поэтому разбираю инициативы Минцифры: что в них полезного, а где бизнесу стоит напрячься.

🚨 Что предлагает Минцифры: ключевые инициативы

✅ Платформа согласий на ЕПГУ. Через личный кабинет Госуслуг можно будет увидеть все выданные согласия на обработку персональных данных — неважно, онлайн или офлайн. А главное — отозвать ранее выданное согласие в один клик. На мой взгляд, один из самых удобных и нужных инструментов в пакете.

✅ База участников мошеннических схем. В рамках ГИС «Антифрод» планируют создать реестр тех, кто передаёт аферистам свои абонентские номера и учётные данные в информационных системах. Мера позволит выявлять и блокировать схемы злоумышленников.

✅ Надзор за распространителями сим-карт. Продажей будут заниматься только прямые дилеры — юридические лица с агентским договором от оператора. Физлица и ИП из цепочки исключаются.

✅ Запрет на предоплаченные сим-карты. Операторы будут продавать сим-карты только с нулевым балансом. Абонент должен самостоятельно внести средства на лицевой счёт — это станет дополнительным инструментом идентификации.

✅ Ограничение SMS-рассылок. Организацией массовых рассылок смогут заниматься только операторы связи. Это должно сократить количество сообщений, нарушающих законодательство РФ, в том числе в сфере рекламы.

✅ Запрет на продажу предактивированных сим-карт. Реализация номеров, уже оформленных на других абонентов, будет запрещена. Мера направлена на пресечение незаконной продажи сим-карт через интернет.

🚨 Что значит для бизнеса

Проект масштабный, и предлагаемые меры неоднозначны. Положительные стороны очевидны — особенно платформа согласий и борьба с «серыми» каналами распространения сим-карт.

Но особое внимание потребуется компаниям с большим парком SIM/eSIM и M2M-оборудования. Риски реальны:

💡 Блокировка по цепочке. Если один из сотрудников использовал номер в противоправных действиях, оператор обязан приостановить услуги по всем номерам, выделенным абоненту по договору. Для корпоративного клиента это означает риск блокировки сразу всего корпоративного пула.

💡 Малый бизнес может потерять доступ к корпоративной связи.

💡 Крупный бизнес — столкнуться с остановкой логистики, диспетчерских функций, курьерских сервисов и систем мониторинга.

💬 В пояснительной записке к проекту закона цель сформулирована так: «комплексное совершенствование мер, направленных на противодействие преступлениям, совершаемым с использованием информационных и коммуникационных технологий».

С этим не поспоришь.

Но без переходных положений и проработанных механизмов для бизнеса есть риск, что добросовестные компании пострадают вместе с мошенниками.

С полным текстом законопроекта можно ознакомиться на сайте https://regulation.gov.ru/projects/171465/

❓ А как вы оцениваете новый пакет мер? На ваш взгляд, перевесят ли плюсы возможные риски для бизнеса?

#Антифрод #кибермошенничество #Минцифры #информационнаябезопасность #законодательство #бизнесвРоссии #цифровизация #связь #комплаенс

Для большинства генеральных и финансовых директоров (CFO) внедрение автономных ИИ-агентов (Agentic AI) выглядит как идеальный способ оптимизации ФОТ и сжатия рабочего капитала. Алгоритмы на базе тяжелых LLM-моделей активно интегрируют в ERP, MES и CRM-контуры бизнеса ради автоматизации закупок, разбора дефектовочных актов и казначейских реестров.

Однако за фасадом стремительного роста эффективности скрывается критическая угроза — тотальная уязвимость вероятностной ИИ-архитектуры перед киберрисками и финансовым фродом. Пытаясь форсировать ИИ-трансформацию, крупный b2b-сектор, ритейл и промышленность незаметно впускают «черный ящик» нейросетей в святая святых — транзакционный периметр компании.

Анатомия ИИ-угроз: Три слепые зоны корпоративной безопасности

Когда probabilistic-модели (вероятностный ИИ) получают прямой доступ к операционной деятельности и базам данных (1С:ERP, SAP, WMS), классические методы информационной безопасности (SIEM, файрволы) перестают работать. Возникает три фундаментальных риска:

Галлюцинации и инъекции промптов (Prompt Injection): Внешний злоумышленник или недобросовестный контрагент может умышленно внедрить скрытые инструкции в текстовый инвойс, спецификацию (BOM) или дефектовочный акт. Вероятностная модель ИИ, считывая этот документ, воспринимает инструкцию как команду верхнего уровня. Результат — несанкционированное одобрение платежного интента, обход лимитов кошелька и скрытый овердрафт.

Трансграничные утечки и потеря NDA-данных: Использование сторонних публичных или зарубежных облачных API для обработки корпоративных массивов Big Data — это гарантированный слив коммерческой тайны. Финансовая отчетность, персональные данные клиентов по ФЗ-152 и внутренние закупочные цены навсегда оседают на зарубежных серверах, делая холдинг уязвимым для санкционного давления и промышленного шпионажа.

Операционно-аналитический разрыв (Forensic Gap): Хаотичные ИИ-скрипты способны совершить скрытую мутацию данных в регистрах учета. Традиционный аудит обнаружит кассовый разрыв лишь спустя недели, когда финансовый ущерб уже нанесен, а логика принятия решения ИИ-агентом стерта из рантайм-памяти системы.

Детерминированный щит: Стандарты Trust Architecture от Thoth & Sia

Решение проблемы безопасности лежит не в запрете ИИ, а в жестком проектировании суверенной ИТ-инфраструктуры. Интеграционный центр WSS & Technologies и наша R&D-лаборатория в ИЦ «Сколково» полностью ликвидируют эти риски за счет внедрения двухконтурного стандарта безопасности SDB-Platform:

Изоляция плоскостей на On-Premise серверах: Весь комплекс (включая LangGraph-среду и брокеры Kafka) разворачивается строго внутри закрытого контура Заказчика под защитой аппаратных VPN. Данные никогда не покидают периметр компании.

Шлюзы бизнес-логики (Business Logic Gates): Payload (ответ) от ИИ перехватывается легковесными шлюзами на чистом Python. Математический и комплаенс-контроль изолирован в жестких бинарных матрицах правил, которые ИИ-агент физически не способен обойти.

Криптографический Proof of Logic: Каждое действие и интент ИИ-агента хэшируются и намертво записываются в неизменяемый распределенный реестр BlockDAG со скоростью до 15 000 TPS. Это ликвидирует Forensic Gap и обеспечивает абсолютную точность (Forensic Certainty) для проверок ФНС и внутреннего аудита.

Создание защищенного контура ИИ трактуется по стандарту ФСБУ 14/2022 как нематериальный актив (НМА), увеличивающий капитализацию организации.

👉 Защитите маржу активов: наша команда проведет стресс-тест инфраструктуры и ТЭО интеграции. Коммуникация на додоговорном этапе — в асинхронном текстовом режиме по ст. 165.1 ГК РФ.

#ИИвБизнесе #Кибербезопасность #УправлениеРисками #CFO #EBITDA #ИнформационнаяБезопасность #Финтех #ФСБУ14_2022 #Капитализация #WSS_Technologies #ThothSia #Сколково

В Кремниевой долине новый тренд: если ты топовый спец по кибербезопасности и хочешь хлопнуть дверью с максимальным шумом — скажи, что нейросети уничтожат человечество, а жадные боссы скрывают правду.

За последние пару лет техногигантов сотрясла целая серия эпичных исходов.

Кто и как уходил

Ян Лейке и Илья Суцкевер (OpenAI)

Лейке публично заявил, что культура безопасности уступила место «блестящим продуктам». Команда Superalignment, которая должна была контролировать сверхразум, была фактически расформирована. Суцкевер ушёл следом и тут же основал Safe Superintelligence (SSI) — с оценкой в миллиарды ещё до появления продукта.

Дэниел Кокотайло

Открытое письмо сотрудников OpenAI и DeepMind с предупреждением об экзистенциальных рисках и требованием снять соглашения о неразглашении (NDA).

Дарио Амодеи (экс-вице-президент Anthropic)

Ещё раньше увёл с собой ключевых инженеров из OpenAI, прикрываясь миссией спасения мира от безответственного ИИ, и сразу получил щедрые чеки от Amazon и Google.

В чём реальная подоплёка для инвестора?

Разговоры про «терминаторов» и гибель цивилизации отлично продаются медиа, но за кулисами всё прозаичнее...

Гонка за монетизацией. Корпорации влили в инфраструктуру сотни миллиардов долларов. Инвесторы требуют окупаемости прямо сейчас. Блокировать релизы новых фич ради абстрактной «теоретической безопасности» совет директоров больше не готов.

Битва за венчурные чеки. Заявить об опасности текущей модели — лучший способ поднять собственный стартап. Приставка «мы делаем этичный и безопасный ИИ» сегодня привлекает суверенные фонды и венчур ничуть не хуже, чем хайп вокруг AGI.

Регуляторные клещи. Нагнетая страх перед апокалипсисом, гиганты лоббируют законы, которые установят неподъёмный барьер входа для мелких опенсорс-проектов.

Пока одни пугают мир восстанием машин, другие просто перекладывают капитал из раздутых бигтехов в свежие ИИ-стартапы с оценками на хаях.

Цинично? Да. Прибыльно? Определённо. Не переключайте канал.

#ии #искусственныйинтеллект #кибербезопасность #информационнаябезопасность #стартап #этика

За последние годы требования к обработке персональных данных стали значительно жестче. 

Однако новый проект приказа ФСТЭК показывает еще одну важную тенденцию — государство постепенно уходит от проверки «бумаг» к оценке того, насколько система защиты действительно работает.

Сегодня уже недостаточно один раз подготовить комплект документов, приобрести средства защиты и считать вопрос закрытым.

Новая модель предполагает постоянную работу:

• регулярный анализ угроз;

• актуализацию мер защиты;

• документирование изменений;

• контроль эффективности применяемых решений;

• своевременное реагирование на новые риски.

Для руководителей компаний это означает, что информационная безопасность становится частью корпоративного управления, а не исключительно задачей IT-подразделения.

Особенно внимательно на изменения стоит посмотреть:

✔ IT-компаниям;

✔ медицинским организациям;

✔ финансовому сектору;

✔ маркетплейсам и онлайн-сервисам;

✔ работодателям;

✔ любым организациям, работающим с персональными данными.

В юридической практике все чаще причиной серьезных проблем становится не сама кибератака, а отсутствие выстроенной системы защиты и подтверждения соблюдения требований законодательства.

Поэтому подготовку лучше начинать до вступления новых требований в силу.

В новой статье подробно разобрал:

• что меняется;

• кого затронут изменения;

• какие риски появляются у бизнеса;

• какие действия стоит предпринять уже сейчас.

📖 Полная аналитика:

https://advolaw.ru/analytics/post/novyj-prikaz-fstek-po-personalnym-dannym-2026

#ФСТЭК #ПерсональныеДанные #152ФЗ #ИнформационнаяБезопасность #Комплаенс #ADVOLAW