Данные – это новое золото: в России формируется новая модель цифровой безопасности
В России формируется дата-центричная модель кибербезопасности
Сергей Крюков, генеральный директор ExploidDog (НИР), в интервью редакции IT Russia рассказал, с чего компании начинают переход на новые форматы кибербезопасности, как считают риски и где чаще всего теряют контроль над данными.
– Как сегодня меняется подход к кибербезопасности и почему в центре внимания оказываются именно данные?
– Сегодня кибербезопасность перестаёт быть вопросом защиты инфраструктуры и всё больше смещается в сторону управления данными. Компании пересматривают подходы к защите, поскольку именно данные становятся ключевым активом и основной точкой риска. На этом фоне формируется дата-центричная модель, в которой данные – это новое золото.
Зарубежные компании всё чаще отказываются от периметральной защиты в пользу модели, где в центре находятся данные и контроль над ними. В России этот переход уже происходит на уровне практики. По результатам исследований, в 2025 году 56% корпораций увеличили расходы на киберзащиту в среднем на 20-40%. При этом 49% опрошенных компаний отметили значительное повышение интереса к информационной безопасности со стороны генеральных директоров за последние два года.
– С чем это связано?
– Активизация защиты данных в РФ вызвана целым рядом причин. Среди них — стремительный рост числа и изощрённости киберугроз на фоне повсеместной цифровизации, которая сделала данные ценным активом и главной мишенью. Одновременно компании реагируют на регуляторное давление и осознание значительных экономических и репутационных рисков, связанных с утечками.
Наконец, геополитические факторы стимулируют развитие отечественных решений для обеспечения технологической независимости в сфере кибербезопасности.
– На каких базовых принципах строится дата-центричная безопасность и с чего компаниям стоит начинать переход?
– Основой дата-центричной безопасности остаются три вещи. Это целостность, доступность и конфиденциальность данных. При этом саму безопасность важно воспринимать не как внедрение отдельного класса решений, а как постоянный процесс. Поэтому начинать переход нужно с аудита данных и их классификации. До того, как защищать данные, компания должна определить, что именно требует защиты.
Без аудита данных защита не работает. Почему компании сначала и разбираются, что именно они хранят и теряют.
– Как на практике проходит аудит данных и почему он является критически важным этапом?
– На практике аудит можно проводить по-разному. Классический вариант предполагает работу с владельцами данных. На этом этапе важно восстановить весь жизненный цикл данных, понять, кто их создаёт, для чего они нужны бизнесу, куда передаются и как используются дальше. Параллельно бизнес должен ответить на базовый вопрос о последствиях компрометации. Если данные будут подменены, раскрыты или потеряны, компания должна заранее понимать масштаб ущерба. Например, подмена банковских реквизитов ведёт не только к прямым финансовым потерям, но и к потере доверия со стороны клиентов и партнёров.
Поэтому в этой логике безопасность напрямую связана с доверием. А любые проблемы с данными в итоге превращаются в деньги. Это и утечки, и штрафы регуляторов, и последующие проверки.
– Как компании оценивают риски в информационной безопасности и чем российская практика отличается от зарубежной?
– В информационной безопасности давно существует практика принятия рисков, когда на уровне CEO определяется допустимый для компании объём потерь. В международной практике этот показатель обычно находится в пределах 2-3 процентов в год. По данным НИР, в России он может доходить до 10 процентов. После этого бизнес сопоставляет стоимость мер информационной безопасности с потенциальными потерями. Российские компании чаще готовы принимать такие риски, тогда как за рубежом чаще инвестируют в их снижение. При этом внутри российского рынка ИБ постепенно формируется более зрелый подход. Компании всё чаще учатся считать эти риски и учитывать их в экономике бизнеса.
– Какие подходы используют компании при внедрении дата-центричной безопасности?
– С точки зрения внедрения дата-центричной безопасности используются два подхода.
Первый – ручной. Сначала проводится аудит, затем классификация и инвентаризация данных. После этого выстраивается ролевая модель доступа. Специалисты определяют, кто и в каком объёме должен работать с данными, фиксируют процессы создания, передачи и использования информации. Уже после этого внедряется DLP как инструмент контроля выстроенной системы.
Второй подход – автоматизированный. Он предполагает внедрение DLP на раннем этапе. Это дорогое решение, которое позволяет анализировать каналы передачи данных, включая почту и интернет, а также действия пользователей, включая копирование, печать и перенос на носители. При этом DLP не решает задачу классификации. Система помогает выявлять и блокировать нарушения, но не определяет сама, какие данные являются критичными для бизнеса. Поэтому на практике возможен комбинированный сценарий. DLP подключается уже на этапе аудита, затем проводится ручная доработка, формируются ролевые модели доступа, и после этого система используется для постоянного контроля.
Дальше необходим непрерывный мониторинг. Это автоматизированный и цикличный процесс поиска, отслеживания и контроля конфиденциальной информации.
– С какими типовыми проблемами компании сталкиваются на этапе инвентаризации данных?
– Одна из них связана с плохим знанием собственной инфраструктуры. В таких случаях внутри компании могут существовать неучтённые хранилища с повышенными привилегиями доступа. Именно поэтому на этом этапе важен превентивный подход. Без понимания, где находятся данные и как они перемещаются внутри системы, дальнейшая защита теряет смысл.
Вторая проблема возникает, когда бизнес не понимает, зачем вообще нужна классификация данных, и относится к этому этапу формально.
Третья группа рисков связана с ошибками в классификации, из-за которых чувствительные данные оказываются в небезопасных хранилищах. Отдельно стоит проблема работы с персональными данными. Если в компании нет профильных специалистов, ошибки на этом участке быстро приводят к утечкам и штрафам.
Именно поэтому инвентаризация активов становится не технической формальностью, а точкой, в которой закладывается вся дальнейшая устойчивость системы защиты данных.
