Каждый раз, когда я захожу на аудит в компанию на 30–50 человек, слышу одну и ту же фразу: «С безопасностью у нас всё нормально — антивирус стоит на всех машинах». И каждый раз приходится объяснять очевидное: антивирус — это ремень безопасности, а не водитель. Он снижает цену ошибки, но не заменяет ни навык, ни исправные тормоза, ни понимание, куда вы вообще едете.
Информационная защита — это не набор программ, а система решений про людей, процессы и технологии. Разберём, из чего она состоит на самом деле и почему свести её к одной кнопке «Защитить» не получится.
Что такое информационная защита: три свойства, а не список программ
Классическое определение опирается на триаду CIA (confidentiality, integrity, availability) — на русском это конфиденциальность, целостность и доступность информации:
- Конфиденциальность — данные видит только тот, кому положено. Утечка базы клиентов, доступ конкурента к вашим коммерческим предложениям, посторонний человек в CRM — всё это сюда.
- Целостность — данные не изменены незаметно. Подменённые реквизиты в счёте на оплату, правки в логах, изменённый код сборки — тихий и самый недооценённый класс проблем.
- Доступность — информация и сервисы доступны, когда нужны. Шифровальщик, заблокировавший единственную рабочую копию файлов, бьёт именно по этому свойству, и это по-прежнему один из самых дорогих инцидентов для малого бизнеса.
Отсюда важный вывод: защита — это баланс. Абсолютной конфиденциальности добиваются, отключив сеть, но тогда умирает доступность. Задача не в том, чтобы «обезопасить всё», а в том, чтобы осознанно выбрать уровень риска для каждого актива и держать его.
Почему антивирус — лишь один слой, и уже не главный
Антивирус — это сигнатурный и эвристический детектор вредоносных файлов. Схема «сравнить файл с базой известных образцов» плохо работает против атак, нацеленных лично на вас: уникальный образец, собранный под конкретную компанию, в базе вендора ещё не лежит. Отдельная история — атаки без файла на диске, когда злоумышленник использует уже установленные в системе штатные утилиты.
Плюс антивирус принципиально не защищает от того, что происходит без вредоносного кода: от поддельного письма, от сотрудника, который сам отдал доступ, от неправильно настроенного бакета в облаке, от ключа API, случайно попавшего в публичный репозиторий. По моему опыту, именно эти сценарии закрывают большинство реальных дыр в небольших компаниях.
Это не значит, что антивирус не нужен. Он нужен как базовый слой; он и более продвинутые EDR-системы ловят то, что уже случалось у других. Но это один из слоёв, а не защита целиком.
Защита начинается не с покупки, а с модели угроз
Модель угроз — это ответ на три вопроса: что я защищаю, от кого и насколько сильно это нужно. Звучит банально, но именно этот шаг пропускают чаще всего, и из-за этого деньги уходят не туда.
Сравните: студии из пяти человек важнее всего не потерять проектные файлы клиентов и доступы к их инфраструктуре. Медицинской клинике — не допустить утечки персональных данных пациентов, за которую придёт регулятор. Промышленному предприятию — не дать остановить производство. Один и тот же набор инструментов для этих трёх случаев будет неоптимален везде.
Полезно честно ответить себе:
- Какие данные для нас критичны и что будет, если они утекут или пропадут?
- Кто реальный противник: случайный бот-сканер, недовольный сотрудник, конкурент, организованная группа?
- Сколько мы готовы потерять денег и времени на восстановление?
После этих ответов приоритеты расставляются почти сами.
Пять слоёв, из которых реально состоит защита
Люди и процессы
Самый дешёвый и самый результативный слой. Регулярные напоминания про фишинг, понятный регламент «что делать, если кажется, что меня взломали», отсутствие культуры тотального недоверия внутри команды — всё это работает. В публичных отчётах об инцидентах человеческий фактор фигурирует как причина или катализатор утечки в значительной части случаев: точные проценты у разных вендоров расходятся, но порядок цифр всегда высокий.
Идентификация и доступ
Пароли, двухфакторная аутентификация, менеджер паролей, разграничение прав по принципу минимальной необходимости. Практика простая: у администратора отдельная учётка для админских задач, рутинная работа идёт под обычной; уволенный сотрудник теряет доступы в день увольнения, а не «когда руки дойдут». MFA на почте и в VPN закрывает огромную долю реальных попыток несанкционированного входа.
Данные и их жизненный цикл
Что хранить, где, сколько и как удалять. Резервные копии по правилу 3-2-1, причём хотя бы одна копия — офлайн или в неизменяемом виде, чтобы шифровальщик не достал и её. Шифрование дисков на ноутбуках. Отсутствие секретов в коде и в системах CI/CD: токены и ключи живут в менеджере секретов, а не в переменных окружения на общем сервере.
Инфраструктура и приложения
Тут живут патчи, конфигурации и разработка. Никаких сервисов, торчащих в интернет с учёткой по умолчанию. Обновления — по регламенту, а не «когда сломается». Для кода — практики из OWASP Top 10: валидация входных данных, параметризованные запросы, безопасная работа с зависимостями. Атаки через скомпрометированный пакет в цепочке поставок — не экзотика, а рабочая тактика, поэтому фиксация версий и проверка источников зависимостей обязательны.
Мониторинг и реагирование
Защита без обнаружения — это лотерея. Минимум: централизованные логи входов, алерты на аномалии (вход из другой страны, ночная массовая выгрузка данных), понятный план действий при инциденте. Без плана первые часы после обнаружения уходят на панику и созвоны, а именно в эти часы решается масштаб ущерба.
Где чаще всего ломается на практике
- Слабый или повторно используемый пароль на важном сервисе без MFA.
- Одна учётная запись «администратора всего» на все задачи.
- Секреты и ключи в открытом виде в репозитории или в переписке.
- Непропатченные сервисы с доступом из интернета.
- Резервные копии, которые годами не проверяли на восстановление.
- Действующие доступы у бывших сотрудников и подрядчиков.
Заметьте: антивирус в этом списке не фигурирует вообще. Ни один из этих пунктов он не закрывает.
Минимальный рабочий набор для небольшой компании
Если хочется начать без бюджета на большой проект, я обычно предлагаю такой порядок:
- Включить MFA везде, где есть деньги или персональные данные: почта, VPN, облако, админки.
- Завести менеджер паролей на команду и запретить хранение паролей в таблицах и заметках.
- Настроить резервное копирование и один раз реально восстановиться из копии.
- Разделить админские и обычные учётные записи, урезать права до необходимого минимума.
- Провести инвентаризацию доступов и закрыть всё лишнее.
- Поставить в регламент обновления и следить за критичными уязвимостями.
- Вынести секреты из кода в менеджер секретов.
- Написать на одну страницу план «что делаем, если…» и раздать команде.
Это не идеальная защита. Это база, после которой антивирус и EDR начинают работать в осмысленном контексте, а не вместо него.
Про регуляторику — коротко и без иллюзий
В России требования к защите информации задают 152-ФЗ о персональных данных, 187-ФЗ о безопасности критической информационной инфраструктуры и документы ФСТЭК, плюс отраслевые регуляторы. Формально для многих организаций закон предписывает конкретные классы средств защиты, в том числе сертифицированных. Это обязательная часть работы, но важно понимать: соответствие требованиям регулятора не равно защищённости. Галочка в акте и реальный уровень безопасности — две разные вещи. Можно иметь весь комплект сертифицированных СЗИ и при этом отдать доступы по одному письму «я от директора».
Вывод
Информационная защита — это система, где антивирус занимает примерно то же место, что ремень безопасности в машине: необходим, полезен, но недостаточен. Реальная защита строится на модели угроз, на людях и процессах, на управлении доступами и данными, на патчах и мониторинге. Начните с трёх вещей, которые почти ничего не стоят: включите многофакторную аутентификацию, проверьте резервные копии и уберите секреты из открытых мест. Эффект от этих шагов будет больше, чем от очередной «умной» кнопки в интерфейсе антивируса.
А если хотите проверить собственную готовность — пройдитесь по чек-листу выше и честно отметьте, что сделано на самом деле, а не на бумаге.
