Так, категорию ИТ-компаний занимает 22% пользователей, однако остальные 78% распределены между оптовой торговлей (10%), здравоохранением (6%), финансовыми организациями, розничной торговлей и научно-техническими компаниями (5%). Защищенное облако также используют предприятия промышленности, строительства, образования и логистики.
В этом году российские компании стали чаще оценивать не вероятность проверки как таковой, а потенциальные издержки, связанные с обработкой чувствительной информации. Такой подход меняет приоритеты: защита данных переходит из категории формального требования в категорию управления рисками. Для малого бизнеса это прямая необходимость искать решения, которые позволяют соответствовать регуляторным требованиям без создания собственной защищенной инфраструктуры.
В пресс-службе Cloud.ru указывают, что основные причины таких подключений - рост требований к информационной безопасности, удорожание оборудования и дефицит квалифицированных ИТ-специалистов. Для малого бизнеса самостоятельное создание инфраструктуры, отвечающей высоким требованиям защиты данных, требует значительных вложений в оборудование, специализированного ПО и работы экспертов по кибербезопасности. Использование облачных платформ, аттестованных по первому уровню защищенности (УЗ-1), позволяет сократить эти затраты, так как большая часть необходимых мер защиты уже реализована на стороне провайдера.
При этом за обеспечение информационной безопасности отвечают обе стороны: провайдер обеспечивает защиту инфраструктуры в пределах своей зоны ответственности, а клиент отвечает за безопасность собственных приложений, управление доступом и другие меры, необходимые для защиты обрабатываемых данных.
Собственный защищенный контур требует капитальных затрат на оборудование, внедрение и сопровождение средств защиты, а для небольшого предприятия это зачастую высокая статья расходов. Аттестованное облако позволяет получить готовую инфраструктуру без лишних затрат и времени.
При этом компании не уходят от стандартной инфраструктуры полностью: 37% пользователей ранее использовали публичное облако провайдера, а 27% совмещают оба формата, распределяя системы с учетом чувствительности данных. Такая модель становится типовой для рынка - бизнес размещает персональные данные в защищенном сегменте, а остальные системы оставляют в публичном облаке.
"Малый бизнес сегодня считает не стоимость аренды облака, а стоимость ошибки. Одна утечка может стоить дороже, чем годовой оборот. Собственный защищенный контур - это оборудование, специалисты, время и ресурсы на аттестацию. Аттестованное облако провайдера позволяет получить ту же инфраструктуру быстро и за доступную стоимость", - рассказал руководитель направления сертификации инфраструктуры "Рег.облака" Егор Сапун.
Так, наиболее востребована облачная инфраструктура у компаний, которые обрабатывают персональные и другие чувствительные данные, а также должны соблюдать повышенные требования к их защите. Прежде всего, это финансовые сервисы, интернет-магазины, медицинские организации, образовательные платформы и компании, предоставляющие цифровые услуги.
"Малый бизнес сегодня интересен злоумышленникам не меньше, чем крупный. Среди наиболее популярных угроз, в том числе потенциальных, которые удается обнаружить в ходе проектов по анализу защищенности, можно выделить несколько основных. Первая из них - фишинг и социальная инженерия. Вторая распространенная угроза - кража персональных данных. Особую ценность для злоумышленников представляют клиентские базы, контактная информация, история заказов и другие сведения, которые можно использовать для дальнейших атак или перепродажи", - говорит руководитель департамента по работе с уязвимостями и инцидентами ИБ-компании "Бастион" Дмитрий Калинин.
Кроме того, малый и средний бизнес наравне с большими организациями рискует столкнуться с компрометациями подрядчиков и облачных аккаунтов. Так атакующие могут получить нелегитимный доступ к инфраструктуре через стороннего исполнителя, уязвимую интеграцию или похищенную учетную запись администратора.
По словам Калинина, отдельный "тренд" этого года - использование популярных ИИ-инструментов в качестве "приманки". Например, вредоносные программы могут маскироваться под приложения для работы с нейросетями, чтобы похищать данные и предоставлять злоумышленникам доступ к корпоративным системам.
"В небольших компаниях нередко отсутствуют необходимые ресурсы для правильной защиты персональных данных. Организации могут размещать клиентские базы в обычных таблицах, на рабочих компьютерах или слабо защищенных серверах. При этом информация там нередко хранится без шифрования, надлежащего разграничения доступа и мониторинга подозрительных действий. В результате компрометация одного устройства или аккаунта в инфраструктуре способна привести к утечке всей базы", - отмечает эксперт.
Также, по его словам, во многих компаниях отсутствует разграничение прав доступа. Нередко несколько сотрудников используют одну учетную запись, а доступ к персональным данным получают даже те, кому он не требуется для выполнения рабочих обязанностей.
Еще одна распространенная ошибка - неправильная организация резервного копирования. Некоторые компании не создают бэкапы, другие - хранят их на том же сервере, что и основную информацию. В случае атаки шифровальщика или технического сбоя данные и резервные копии могут оказаться недоступны одновременно.
Встречается и отсутствие контроля над жизненным циклом данных, отмечает Калинин. Информация о клиентах годами остается в устаревших CRM-системах, архивных таблицах и резервных копиях. "Чем больше ненужных персональных сведений хранит компания, тем выше потенциальный репутационный ущерб при их компрометации. Необходимо устанавливать сроки хранения и процедуры удаления либо обезличивания информации с учетом законодательных требований", - заключает эксперт.