Коммерческая компания защищает не соответствие требованиям, а деньги. У банка есть регулятор с проверкой. У производственного холдинга или торговой сети его нет — есть конкуренты, инсайдеры и вымогатели. Поэтому обеспечение информационной безопасности предприятия строится здесь не от перечня мер, а от стоимости простоя.

генеральный директор и руководитель службы безопасности в переговорной изучают карту рисков предприятия на большом экране, за окном производственный корпус

Требования ЦБ РФ и ГОСТ Р 57580 разобраны в родительском материале про ИБ организации и финансового сектора.

Информационная безопасность организации в России: специфика коммерческого сектора

Коммерческий сектор живет без отраслевого надзора за ИБ. Обязательные требования появляются там, где есть персональные данные, критическая инфраструктура или выход на финансовый рынок. Остальное — вопрос экономической целесообразности.

Это дает свободу строить защиту под реальные риски. И создает ловушку: без внешнего давления решение легко отложить на следующий бюджетный цикл.

Информационная безопасность организации в России: отличие от банковского сектора и госсектора

Банк защищается, потому что этого требует Банк России. Госорган или субъект КИИ — потому что этого требует ФСТЭК. Коммерческое предприятие защищается, потому что иначе теряет деньги.

Разница в том, кто оценивает результат. У банка — внешний аудитор по формальной методике. У коммерческой компании — совет директоров, по последствиям, которых не случилось. В банке достаточно показать закрытые требования, здесь — предотвращенные убытки и их цену.

Параметр	Банки (надзор ЦБ РФ)	Госорганы, операторы ГИС, субъекты КИИ (ФСТЭК, ФСБ)	Коммерческие АО и ПАО
Кто требует	Банк России	ФСТЭК и ФСБ России	Собственник и рынок
Основа требований	Положения Банка России, ГОСТ Р 57580	Приказы ФСТЭК, 187-ФЗ	Внутренняя оценка рисков
Проверки регулятора	Оценка соответствия раз в два года	Проверки регулятора, категорирование	Только по инициативе компании
Что считается провалом	Замечания в акте проверки	Предписание, штраф	Убыток, простой, утечка
Логика бюджета	Обязательные расходы	Обязательные расходы	Инвестиция с обоснованием
Основной KPI	Уровень соответствия	Выполнение мер по классу	Предотвращенный ущерб, время восстановления

Пограничные случаи часты. Предприятие может оказаться субъектом КИИ по отрасли, а торговая сеть — попасть под требования 152-ФЗ. Статус стоит проверить раньше регулятора.

Обеспечение информационной безопасности предприятия: баланс между затратами и защитой активов

Разумный ориентир для нефинансового сектора — от 3 до 8 процентов ИТ-бюджета. Точная цифра выводится не из бенчмарков, а из стоимости часа простоя ключевых процессов.

Считается просто. Годовая выручка делится на рабочие часы — это цена часа остановки. Умножаем на реалистичное время восстановления, обычно от одного до пяти дней. Результат — верхняя граница разумных вложений.

Пример. Дистрибьютор с оборотом 6 млрд теряет около 3 млн за час остановки отгрузок. Трое суток простоя склада — порядка 72 млн. На этом фоне резервный контур за 15 млн перестает быть предметом спора.

Защищать все одинаково — дорого и бессмысленно. Кто вовремя отказывается от устаревших практик, тратит меньше при том же результате: наш разбор методов ИБ, от которых пора отказаться.

Стратегия и цели: зачем бизнесу информационная безопасность

Цель информационной безопасности организации в коммерческом секторе одна: сохранить способность зарабатывать. Все остальное — производные задачи.

Из этой формулировки вытекает приоритет защиты. Первыми закрываются процессы, остановка которых бьет по выручке в тот же день.

Цель информационной безопасности организации: защита экономических интересов и репутации

Цель информационной безопасности организации формулируется через ущерб, который компания не готова принять: не «обеспечить конфиденциальность», а «не допустить остановки отгрузок дольше четырех часов».

Такая формулировка проверяема: ее выносят в KPI, под нее считают бюджет, по ней видно результат.

Репутация тоже измерима. Утечка клиентской базы в рознице дает отток, он виден в выручке следующего квартала. Публичная компания получает еще и реакцию котировок.

матрица угроз для корпоративного бизнеса — внешние атаки, инсайдеры, конкуренты, рейдеры по вертикали; влияние на выручку, активы, репутацию и котировки по горизонтали, с цветовой кодировкой тяжести

Экономическая информационная безопасность предприятия: предотвращение убытков от киберинцидентов и промышленного шпионажа

Экономическая информационная безопасность предприятия защищает не данные как таковые, а денежный поток и конкурентное преимущество. Утечка технологической карты или условий контракта бьет по марже напрямую.

Цифры дают ориентир. В 2025 году успешными оказались 47 процентов атак, утечка сопровождала 64 процента инцидентов. Выкуп у крупного бизнеса — от 4 до 40 млн рублей, у малого и среднего — от 240 тысяч до 4 млн.

В 2026 году число атак вымогателей за пять месяцев снизилось на 20 процентов, впервые за четыре года. Но требования выросли: рекорд первоначального выкупа — 304 млн рублей. В 82 процентах случаев нужны деньги, в 18 — разрушение инфраструктуры.

Промышленный шпионаж в статистику почти не попадает: признание бьет по переговорным позициям. Косвенный признак — проигранные тендеры с ценой чуть ниже вашей.

Информационная безопасность корпоративных систем: защита ERP, CRM и систем управления производством

Информационная безопасность корпоративных систем начинается с инвентаризации: где лежат данные, которые стоят денег. Обычно это три контура — ERP, CRM и АСУ ТП.

Каждый контур ломается по-своему. ERP — через избыточные права: кладовщик видит закупочные цены, менеджер выгружает реестр контрагентов. CRM — через выгрузку перед увольнением. АСУ ТП — через связь с офисной сетью, сделанную когда-то «временно».

Базовый набор мер:

Права по ролям с ежеквартальным пересмотром: они накапливаются при переводах и не снимаются годами
Контроль массовых выгрузок: лимит на экспорт и уведомление руководителя
Сегментация производственного контура, шлюз в офисную сеть
Журналирование действий с карточками контрагентов, реквизитами, рецептурами
Резервные копии в изолированном хранилище

Последний пункт решает исход большинства атак вымогателей. Если копии зашифрованы вместе с продуктивом, переговоры о выкупе неизбежны.

архитектура защиты корпоративных систем — три контура ERP, CRM и АСУ ТП, точки контроля между ними, изолированное хранилище резервных копий

Специфика защиты АО и ПАО

Акционерная форма добавляет корпоративные риски: под угрозой не только данные, но и контроль над компанией. Различие проходит не между АО и ПАО, а между публичностью и непубличностью — обязанности по инсайдерской информации возникают у эмитента, чьи бумаги допущены к торгам.

Информационная безопасность АО: защита реестра акционеров, инсайдерской информации и корпоративных решений

Информационная безопасность АО закрывает три объекта: реестр акционеров, материалы органов управления и сведения о готовящихся сделках. Утрата контроля над любым — риск потери самой компании.

Реестр ведет лицензированный регистратор, но риски снимаются не все. Уязвим канал взаимодействия: поддельные передаточные распоряжения, компрометация почты корпоративного секретаря, доступ уволенного сотрудника.

Материалы совета директоров живут в почте и мессенджерах. Повестка о крупной сделке, ушедшая на сторону, стоит дороже клиентской базы. Мера — отдельный контур для корпоративных документов и запрет пересылки во внешние сервисы.

Нюанс для непубличных АО: если бумаги не допущены к организованным торгам, требования 224-ФЗ о списке инсайдеров не применяются. По разъяснению Банка России такие эмитенты инсайдерами не считаются.

Информационная безопасность ПАО: требования к раскрытию информации, защита от рейдерства и манипуляций на рынке

Информационная безопасность ПАО добавляет к корпоративным рискам биржевые. Публичная компания обязана раскрывать информацию в установленном порядке и не допускать ее утечки до раскрытия.

Обязанности эмитента включают утверждение перечня инсайдерской информации, ведение списка инсайдеров и уведомление включенных лиц. Нарушение порядка доступа — уже не инцидент ИБ, а основание для претензий регулятора.

Три сценария в приоритете:

Утечка отчетности или сведений о сделке до раскрытия — основание для подозрений в манипулировании рынком
Компрометация каналов раскрытия: ложное сообщение от имени эмитента двигает котировки за минуты
Сбор данных для недружественного поглощения: структура владения, слабые места процедур, конфликты акционеров

Защита от рейдерских сценариев лежит на стыке ИБ и корпоративного права: безопасность отслеживает интерес к структуре владения, юристы держат процедуры в порядке.

матрица рисков для ПАО — вероятность и ущерб по осям, корпоративные, биржевые и операционные риски с уровнями принятия решения

Взаимодействие службы ИБ с Советом директоров и комитетом по аудиту

Совет директоров не нужно погружать в технику. Ему нужны три вещи: какие риски приняты, какие закрыты, сколько это стоит.

Рабочая периодичность — квартальный отчет комитету по аудиту и годовой совету. Формат фиксируется заранее, иначе встреча превращается в спор о терминах. В отчете: карта критичных процессов, статус принятых рисков, инциденты с оценкой ущерба, план с суммами. Технические метрики остаются в службе.

взаимодействие службы ИБ с советом директоров и комитетом по аудиту — периодичность, состав отчетности, зоны принятия решений

Ключевые угрозы для корпоративного бизнеса

Для нефинансового сектора актуальны пять угроз: промышленный шпионаж, инсайдеры, вымогатели, DDoS на e-commerce и компрометация клиентских баз. Различаются они скоростью, с которой превращаются в убыток.

Угроза	Как реализуется	Экономические последствия
Промышленный шпионаж	Подкуп сотрудника, доступ подрядчика, перехват переписки	Потеря маржи, проигранные тендеры, обесценивание разработок
Инсайдер	Выгрузка базы перед увольнением, схемы с закупками	Прямые хищения, отток клиентов, судебные издержки
Вымогатели	Шифрование продуктива и резервных копий	Простой, выкуп до сотен миллионов, срыв обязательств
DDoS на e-commerce	Перегрузка интернет-магазина, недоступность витрины	Потеря выручки в пик продаж, отток покупателей
Компрометация CRM	Кража учетных данных, избыточные права	Штрафы за утечку, потеря клиентской базы

Штрафы перестали быть символическими. За повторную утечку персональных данных предусмотрен оборотный штраф в 1-3 процента годовой выручки: не менее 20 млн и не более 500 млн рублей, а при повторной утечке специальных или биометрических данных — не менее 25 млн. Неуведомление Роскомнадзора в течение 24 часов — отдельное нарушение.

Промышленный шпионаж и утечки коммерческой тайны к конкурентам

Промышленный шпионаж редко выглядит как взлом. Чаще это человек: сотрудник, подрядчик с широким доступом, кандидат, позванный на собеседование ради вопросов о технологии.

Правовая защита работает при одном условии: режим коммерческой тайны введен полностью по 98-ФЗ. Соглашение о неразглашении (NDA) само по себе режима не создает.

Группа мер	Что сделать	Правовое основание
Организационные	Утвердить перечень сведений, ограничить доступ, вести учет допущенных лиц	Ст. 10 98-ФЗ
Кадровые	Внести условие в трудовой договор или допсоглашение (NDA), ознакомить под подпись	Ст. 11 98-ФЗ, ст. 57 ТК РФ
Документарные	Маркировка: гриф с указанием обладателя, полного наименования и места нахождения	Ст. 10 98-ФЗ
Технические	DLP-контроль каналов передачи, маркировка файлов, журналирование доступа	Внутренние регламенты
Правовые	Регламент реагирования на разглашение, порядок фиксации доказательств	Ст. 192, 193 ТК РФ

Пропуск любого пункта обнуляет остальные: без режима нельзя ни уволить за разглашение, ни взыскать ущерб полностью. Механика — в материале про обеспечение тайны.

Инсайдеры и мошенничество сотрудников: схемы хищения активов и данных

Внутренние угрозы опаснее внешних по одной причине: у инсайдера уже есть доступ. Ему не нужно преодолевать периметр, достаточно превысить свои полномочия.

Опрос 1200 специалистов из двенадцати отраслей весной 2026 года показал расстановку страхов: ошибки по невнимательности критичны для 44 процентов компаний, утечки через сотрудников и подрядчиков — для 42, умышленный слив — для 38.

Главная цифра другая. Только 24 процента компаний выявляют внутренние инциденты до появления ущерба. Остальные узнают по факту потерь.

Типовые схемы повторяются из отрасли в отрасль:

Выгрузка базы перед увольнением, частями, чтобы не сработали пороги
Закупки через аффилированное лицо с завышением цены на 10–15 процентов
Продажа доступа к внутренним системам под видом технической помощи
Подмена платежных реквизитов перед крупным платежом

Расследование требует юридической аккуратности с первой минуты. Контроль каналов передачи данных, включая DLP, разбирался в статье про утечки информации.

порядок расследования инсайдерского инцидента — фиксация, ограничение доступа, сбор доказательств, объяснительная, решение, шесть шагов с указанием ответственных

Ransomware-атаки на производство и логистику: цена простоя бизнеса

Для производства и логистики шифровальщик опаснее утечки: утечка бьет по репутации, остановка конвейера — по выручке немедленно. Промышленность остается приоритетной целью, в первом полугодии 2026 года инцидентов в отрасли стало на 31 процент больше.

Экономика атаки складывается из четырех частей: простой, неустойки за срыв обязательств, восстановление инфраструктуры от двух недель, рост стоимости страхования.

Заплатить выкуп дешевле только на бумаге: расшифровка не гарантирована, а оплата делает компанию мишенью для повторной атаки. Страховка — изолированные копии и отработанный план восстановления.

производственный цех с остановленной линией, на операторских мониторах системные предупреждения, приглушенное освещение

Построение функции ИБ в коммерческой компании

Функция ИБ начинается не с покупки средств защиты, а с распределения ответственности: пока непонятно, кто отвечает за риск, инструменты работают вхолостую. Порог для выделенной функции — около 200 сотрудников или простой дороже миллиона рублей в сутки.

Оргструктура: CISO, СЭБ и ИТ — разграничение зон ответственности

Три подразделения решают разные задачи. ИТ отвечает за доступность сервисов, служба экономической безопасности — за противодействие хищениям, ИБ — за защиту информационных активов.

Конфликт возникает в двух точках. ИТ не хочет усложнять работу пользователям, ИБ требует ограничений. СЭБ ведет расследования, а технические данные для них у ИБ.

Рабочая схема разграничения:

ИБ подчиняется генеральному директору, а не руководителю ИТ: иначе контролер сидит внутри контролируемого подразделения
ИТ реализует технические меры, но не оценивает их достаточность
СЭБ ведет проверки персонала при технической поддержке ИБ
Спорные решения выносятся на комитет по рискам

Матрица ответственности закрепляется в организационно-распорядительных документах — блок разобран в статье про организационное обеспечение ИБ.

Бюджетирование ИБ: как обосновать ROI перед Советом директоров

Возврат инвестиций (ROI) считается через предотвращенный ущерб: вероятность инцидента умножается на его стоимость, из результата вычитаются затраты на меру.

В затраты берется совокупная стоимость владения (TCO) — единовременные вложения в лицензии и внедрение (CAPEX) плюс ежегодные расходы на поддержку и персонал (OPEX). За горизонт трех-пяти лет вторая часть обычно оказывается больше первой, и на согласовании сметы про нее забывают.

Совет директоров принимает расчет при трех условиях: есть цена часа простоя по конкретным процессам, вероятность взята из отраслевой статистики, назван остаточный риск.

Пример. Резервный контур стоит 15 млн единовременно и 3 млн в год, час простоя — 3 млн. При вероятности инцидента 15 процентов и трех сутках восстановления ожидаемый ущерб без меры около 32 млн в год, с мерой — около 5 млн. Вложение окупается за первый год.

Акционерам результат понятнее через влияние на прибыль: простой и штрафы уменьшают EBITDA того же года, а расходы на защиту распределяются по нескольким.

Отдельная статья — обучение персонала. Дешевле технических средств и закрывает самый массовый вектор.

Аутсорсинг vs In-house: когда привлекать внешних подрядчиков

Внутри держат то, что требует знания бизнеса: управление рисками, работу с владельцами процессов, расследования. Наружу выносят редкие компетенции и дорогой инструментарий — мониторинг, тестирование на проникновение, разбор сложных инцидентов, независимый аудит.

В январе 2026 года Верховный суд подтвердил: оператор персональных данных отвечает за утечку у подрядчика. Договор ответственность не перекладывает, он обязывает контролировать исполнителя.

Отсюда требования к договору: право на проверку, уведомление об инцидентах в срок, доступ в минимально необходимом объеме. Защищенность проверяет тестирование на проникновение, устойчивость персонала — социальная инженерия.

Чек-лист: 10 критических мер защиты для корпоративного предприятия (АО/ПАО) в 2025–2026 году

Десять мер, которые закрывают основную часть корпоративных рисков. Порядок соответствует приоритету внедрения.

Определить критичные процессы и цену простоя. Без этой цифры остальное не обосновать
Ввести режим коммерческой тайны полностью, по всем пунктам закона
Пересмотреть права доступа в ERP и CRM, снять накопленные при переводах
Изолировать резервные копии и проверить восстановление на практике
Сегментировать производственный контур, закрыть связи с офисной сетью
Настроить контроль массовых выгрузок с уведомлением руководителя
Закрепить приказом разграничение между ИБ, ИТ и службой экономической безопасности
Включить в договоры с подрядчиками право проверки, уведомление об инцидентах, минимальный доступ
Утвердить порядок расследования инцидентов с персоналом, пригодный для суда
Ввести отчетность перед советом директоров в согласованном формате

чек-лист десяти критических мер защиты с приоритетами внедрения и ответственными подразделениями

Внедрение занимает от шести до двенадцати месяцев. Первые три пункта закрываются своими силами, остальные обычно требуют внешней экспертизы: комплексной защиты персональных данных или сертификации по ISO 27001.

FAQ: частые вопросы о корпоративной информационной безопасности

Нужно ли коммерческому предприятию (не банку и не КИИ) выполнять требования ФСТЭК и ГОСТ Р 57580?

Нет, если компания не относится к финансовому сектору и не является субъектом критической информационной инфраструктуры. Требования по защите персональных данных действуют для всех. Отраслевую принадлежность стоит проверить: если у компании есть информационные системы в энергетике, транспорте, связи, здравоохранении, химической, металлургической или горнодобывающей промышленности, она может оказаться субъектом КИИ по 187-ФЗ.

Как доказать Совету директоров экономическую целесообразность инвестиций в ИБ?

Через стоимость простоя и вероятность инцидента, а не через перечень угроз. В расчете нужны цена часа остановки, отраслевая статистика и величина остаточного риска. Аргумент «нас могут взломать» не работает, «трое суток простоя стоят 200 млн» работает.

Какие специфические угрозы существуют для ПАО, торгующихся на бирже?

Три основные: утечка инсайдерской информации до раскрытия, компрометация каналов раскрытия и сбор данных для недружественного поглощения. Все три бьют по капитализации быстрее, чем по операционной деятельности. Публичный статус добавляет обязанности по списку инсайдеров.

Как защитить коммерческую тайну от ухода ключевых сотрудников к конкурентам?

Ввести режим коммерческой тайны по всем требованиям закона заранее. Соглашение о неразглашении без перечня сведений, учета допущенных лиц и грифа на документах силы не имеет. Помогают также контроль выгрузок и внимание к активности сотрудника в период отработки.

Кто должен нести ответственность за ИБ в АО: CEO, CISO или директор по экономической безопасности?

Итоговую ответственность несет единоличный исполнительный орган — генеральный директор. CISO отвечает за построение и работу системы защиты, служба экономической безопасности — за противодействие хищениям. Разграничение закрепляется приказом, иначе при инциденте начнется перекладывание вины.

Как расследовать инсайдерский инцидент, чтобы материалы можно было использовать в суде?

Соблюдать процедуру с первой минуты: зафиксировать факт актом, ограничить доступ, собрать доказательства с сохранением целостности, затребовать письменное объяснение. Нарушение процедуры взыскания — частая причина проигрыша работодателя в суде. Сроки установлены Трудовым кодексом.

Обязательно ли создавать отдельный департамент ИБ в компании со штатом 200–500 человек?

Департамент не обязателен, выделенная роль обязательна. Практичный вариант: один-два специалиста в прямом подчинении генеральному директору плюс подрядчик для мониторинга и аудита. Совмещение ИБ с обязанностями системного администратора создает конфликт интересов.

Какие KPI информационной безопасности наиболее понятны для CFO и акционеров?

Четыре показателя: время восстановления критичных процессов, число инцидентов с оценкой ущерба, доля закрытых рисков и затраты на защиту в процентах от ИТ-бюджета. Метрики вроде числа заблокированных атак для этой аудитории бесполезны — они не переводятся в деньги.