Если вы руководите компанией на 20–100 человек, история обычно такая: вендоры продают «комплексные решения», интеграторы пугают требованиями ФСТЭК, а ваш админ на вопросы о безопасности отвечает «ну вроде работает». В 2026-м такая расслабленность выходит боком: атаки на малый бизнес давно стали массовыми, а не точечными, а штрафы за утечку персональных данных считаются в процентах от выручки. Ниже — план из семи блоков, который реально работает, с бюджетом и без маркетинга.
Почему «у нас нечего красть» — это не аргумент
Логика «мы маленькие, кому мы нужны» разбивается о простую экономику атакующих. Автоматические инструменты — подбор паролей, фишинговые рассылки, сканеры интернета — не делят жертв на интересных и нет. Им нужен лёгкий вход и быстрый выход в деньги, а у малого бизнеса защита слабее, зато есть и данные, и расчётный счёт. По отчётам Positive Technologies и BI.ZONE за 2024–2025 годы, малый и средний бизнес стабильно входит в тройку главных целей атак. Плюс второй сценарий: через слабо защищённого подрядчика атакующие лезут к его крупному заказчику. Поэтому вопрос не «взломают ли нас», а «что мы успеем сделать до этого».
Чего не покупать: три «волшебные кнопки»
- «ИИ-антивирус» с ценником как у подержанного автомобиля. Хороший endpoint важен, но технологии ИИ в нём решают процентов десять задачи. Остальное — обновления, политики и то, как вы его настроили.
- SIEM за миллион на компанию из тридцати человек. Это как купить погрузчик, чтобы перевезти два мешка цемента. Начните со сбора логов на open source — об этом ниже.
- «Импортозамещённую коробку», которую некому настроить. Любой firewall, купленный для галочки и стоящий в стойке с дефолтным паролем, — это декорация, а не защита.
Правило простое: сначала процесс, потом инструмент. Купленный софт без человека, который за него отвечает, — это расходы, а не безопасность.
План на 2026 год: семь блоков
1. Инвентаризация: вы не защитите то, о чём не знаете
Составьте список всего, что у вас есть: серверы, ноутбуки, облачные аккаунты, CRM, банк-клиент, забытые тестовые базы. Обычно на этом этапе всплывают две-три административные учётки с паролем от 2019 года и доступы уволенных сотрудников. Достаточно таблицы в Excel или Google Sheets — главное, чтобы она была полной и актуальной.
2. Доступ: меньше прав — меньше боли
- Двухфакторная аутентификация (2FA) на почте, банке, VPN, облаке и админках — обязательна. Без исключений для «мне так неудобно».
- Раздельные учётки: рабочая и административная. Админкой пользуетесь только для администрирования.
- Права по ролям: бухгалтер не должен видеть базу клиентов отдела продаж. Пересматривайте доступы раз в квартал.
- При увольнении доступы отзываются в день ухода, а не «потом, когда вспомним».
3. Резервные копии по правилу 3-2-1
Три копии данных, на двух разных носителях, одна — вне офиса: в облаке или на диске в другом месте. Банально, но в девяти случаях из десяти именно отсутствие бэкапов превращает инцидент в катастрофу. Раз в месяц делайте тестовое восстановление: бэкап, который не восстанавливается, — это не бэкап, а архивированный мусор. Для малого бизнеса хватает Veeam Community Edition (бесплатно до десяти виртуальных машин) или штатных средств вашего облака.
4. Обновления: скучно, но это восемьдесят процентов успеха
Большинство взломов идёт через давно известные уязвимости, для которых уже вышли патчи. Критические обновления закрывайте в первые 48–72 часа, остальные — по регулярному графику. Если у вас есть свой код, подключите в CI/CD сканер зависимостей — OWASP Dependency-Check, Snyk или аналог. И не храните секреты в git: для этого есть секрет-менеджмент (Vault, .env вне репозитория).
5. Почта и фишинг: главный вектор атак
Фишинг и компрометация деловой переписки (BEC) — самый массовый способ вывести деньги и данные из малого бизнеса. Минимум, который нужно сделать:
- Настроить SPF, DKIM и DMARC для домена, чтобы мошенники не рассылали письма от вашего имени.
- Раз в квартал проводить тренировочные фишинговые рассылки — своими силами или через GoPhish.
- Ввести правило: переводы и смена реквизитов только после подтверждения голосом по телефону. Это закрывает большинство BEC-атак.
6. Пароли и секреты: убираем стикеры с монитора
Заведите корпоративный менеджер паролей — Bitwarden, KeePassXC или российский аналог — и запретите пароли в мессенджерах, Excel и на бумажках. Генератор паролей — стандарт, а не роскошь. Настройте общие хранилища по отделам, чтобы доступы не уходили вместе с уволившимся сотрудником.
7. Мониторинг: минимум, который видит атаку
SOC на аутсорсе с первого дня не нужен. Достаточно собирать логи в одном месте — например, через бесплатный Wazuh или связку Elasticsearch и Filebeat. Включите алерты на множественные неудачные попытки входа, создание новых административных учёток, входы в нерабочее время и из необычных геолокаций, исходящие подключения на подозрительные адреса. Честно: Wazuh бесплатный, но требует времени админа на настройку. Если админа нет — возьмите разовую поддержку, а не дорогую коробку.
Российская специфика: 152-ФЗ, ФСТЭК и импортозамещение
Если вы обрабатываете персональные данные — а вы их обрабатываете, хотя бы ФИО и телефоны клиентов и сотрудников, — у вас обязанности по 152-ФЗ: уведомление Роскомнадзора, согласия на обработку, политика ПДн. С мая 2025 года действуют оборотные штрафы за утечки: для юрлиц от 3 до 15 миллионов рублей за первую и до трёх процентов годовой выручки за повторную. Уведомить Роскомнадзор о случившемся нужно в течение 24 часов. Для малого бизнеса это финальная точка: один слив базы клиентов может стоить года работы.
Полная сертификация по ФСТЭК нужна не всем — только госзаказчикам и объектам критической инфраструктуры. Но методички ФСТЭК (приказы № 21 и № 17) удобны как готовый список мер: берите их как чек-лист, а не как бюрократический груз.
Импортозамещение в ИБ — тема для спекуляций. Российские решения — Kaspersky, Solar, Positive Technologies — часто качественные, но покупать их «потому что так сказали» и не внедрять бессмысленно. Open source вроде Wazuh или Bitwarden для внутреннего использования в РФ никто не запрещал. Выбирайте по одному критерию: сможет ли ваша команда это эксплуатировать.
Инцидент случился: план из пяти шагов
- Остановите кровь: отключите скомпрометированные учётки и сервисы, отзовите доступы. Не удаляйте следы — не переустанавливайте заражённую систему до сбора логов.
- Зафиксируйте всё: время, логи, скриншоты. Это пригодится для Роскомнадзора, полиции и страховой.
- Оцените масштаб: какие данные затронуты. Если персональные данные — уведомите РКН в течение 24 часов.
- Выясните вектор: как вошли. Иначе закроете одну дыру, а следующая атака пройдёт через вторую.
- Извлеките уроки: обновите план, проведите разбор с командой, добавьте пропущенные меры.
Бюджет: сколько это стоит честно
Минимальный набор для компании из 30–50 человек:
- Менеджер паролей: 3–6 тысяч рублей на пользователя в год.
- Резервное копирование: Veeam Community Edition бесплатен, плюс место в облаке от 2–5 тысяч в месяц.
- Мониторинг: Wazuh бесплатен, плюс пара дней работы админа на настройку.
- 2FA: большинство сервисов включают бесплатно, аппаратные ключи — от 2–3 тысяч за штуку для администраторов.
- Обучение сотрудников: два часа в квартал, можно провести своими силами.
Итого: 50–150 тысяч рублей разово и 10–30 тысяч в месяц. Для сравнения: средняя стоимость инцидента для малого бизнеса легко превышает полмиллиона — простой, выкуп, штрафы, потеря клиентов.
Чек-лист на этот месяц
- Сделайте инвентаризацию активов и доступов.
- Включите 2FA везде, где можно.
- Настройте бэкапы по правилу 3-2-1 и проведите тестовое восстановление.
- Закройте критические обновления за последний квартал.
- Настройте SPF, DKIM, DMARC на почте.
- Заведите менеджер паролей и перенесите в него все доступы.
- Настройте сбор логов и алерты на подозрительные входы.
- Проверьте, что уволенные сотрудники больше не имеют доступа.
- Назначьте ответственного за ИБ — хотя бы на полставки.
- Запишите номера: банк, Роскомнадзор, админ облака, аварийный подрядчик.
Защита информации для малого бизнеса в 2026-м — это не покупка комплексного решения, а дисциплина: инвентаризация, доступы, бэкапы, обновления, обучение. Ничего эффектного, но именно эти скучные вещи решают исход, когда приходит письмо «от директора» или требование выкупа за зашифрованную базу. Начните с чек-листа — через месяц у вас будет фундамент, на котором можно строить что угодно, включая сертификацию, если бизнес вырастет.
