О спикере: Мария Лосюкова, руководитель проектов по устойчивому развитию «Лаборатории Касперского».
Кибербезопасность стала условием устойчивой работы бизнеса
— Что означает ESG применительно к кибербезопасности?
— Цифровая безопасность связана со всеми тремя составляющими устойчивого развития.
Начнем с S (social) — социального фактора. Мы давно живем в цифровой экономике, необходимым условием бесперебойной работы которой является кибербезопасность. Поэтому ее влияние охватывает общество в целом, а не только пользователей защитных решений. Она помогает поддерживать стабильную работу социально важных сфер, например медицины, транспорта и энергетики.
Вторая составляющая — G (governance), или корпоративное управление. Кибербезопасность здесь — не только защита серверов и данных. Это требование для непрерывной работы, а также понимание, как минимизировать последствия возможной атаки для бизнес-процессов и стейкхолдеров компании — клиентов и партнеров.
Наконец, E (environmental) — экологическая составляющая. Здесь влияние информационной безопасности (ИБ) скорее косвенное. Например, кибератакам могут подвергаться энергетические объекты, водоочистные сооружения, промышленные предприятия. Их защита снижает риск аварий и экологических последствий.
— Вы назвали много отраслей, где последствия кибератак могут быть гораздо серьезнее обычного сбоя в работе приложения или компьютерной системы. В каких сферах цифровые уязвимости, на ваш взгляд, наиболее опасны?
— Самые серьезные последствия возникают там, где есть угроза безопасности здоровью и жизни людей. В первую очередь это касается здравоохранения. Кибератака может нарушить работу медицинского учреждения или диагностического оборудования, ограничить доступ к данным пациентов и повлиять на оказание помощи.
Другие важные сферы — промышленность, энергетика, нефтегазовая и химическая отрасли, особенно объекты критической инфраструктуры. Вмешательство в производственные процессы может привести к пожарам, утечкам опасных веществ или вредным выбросам.
— Чем больше сфер становятся цифровыми, тем больше возникает и киберрисков. Можно ли сегодня считать цифровую безопасность базовым условием устойчивой работы бизнеса и почему?
— Безусловно, и главная тому причина — повсеместное внедрение технологий. Сегодня сложно найти бизнес, который не встроен в цифровую экономику.
Еще одна причина — быстрое развитие киберпреступности. В 2025 году мы ежедневно обнаруживали около 500 тыс. новых вредоносных файлов. Технологии помогают развивать средства защиты, но одновременно расширяют возможности злоумышленников. Например, с распространением искусственного интеллекта для некоторых кибератак теперь требуется меньше ресурсов, а значит, провести их проще, чем раньше.
Компании необязательно быть непосредственной целью злоумышленников, чтобы пострадать. Сегодня растет число атак через подрядчиков и цепочки поставок. Например, если хакеры получают доступ к CRM-сервису (система для работы с клиентской базой и продажами. — «РБК Тренды»), под угрозой оказываются и компании, которые им пользуются, и их клиенты. Последствиями могут стать компрометация данных, остановка бизнес-процессов и финансовый ущерб.
— То есть даже если компания выстроила защиту, полностью исключить кибератаку невозможно — в том числе из-за рисков со стороны подрядчиков. Что в таком случае бизнесу важно делать помимо предотвращения атак?
— Важно быть готовым действовать, если инцидент все-таки произойдет: быстро восстановить работу, минимизировать последствия и открыто рассказать о случившемся.
В этом и заключается киберустойчивость, которая напрямую влияет на конкурентоспособность компании. Пока организация устраняет последствия атаки, ее конкуренты продолжают оказывать услуги или выпускать продукцию. Киберустойчивость помогает поддерживать непрерывность работы.
Цифровая защита строится на сотрудничестве
— Как компании по кибербезопасности достигают целей устойчивого развития?
— Для поставщиков ИБ-решений принципы ESG связаны с их основной деятельностью. Разрабатывая продукты для защиты людей, бизнеса и инфраструктуры от цифровых угроз, компании уже вносят вклад в развитие общества.
Еще одно важное направление — сотрудничество с международными правоохранительными организациями. Специалисты по информационной безопасности находят новые угрозы и исследуют их, но задержать киберпреступников могут только органы правопорядка.
Например, «Лаборатория Касперского» много лет работает с Интерполом, а недавно заключила пятилетнее соглашение с Африполом. В рамках этого сотрудничества эксперты компании провели тренинги по кибербезопасности для представителей правоохранительных органов из более чем 23 африканских стран. Благодаря совместным операциям с Интерполом и Африполом в 2024-2025 гг. были задержаны более 2,5 тыс. подозреваемых в киберпреступлениях.
— Помимо сотрудничества с правоохранительными органами, насколько важен обмен информацией между компаниями в индустрии? Например, если одна из них обнаружила новую угрозу, важно ли сообщать об этом другим участникам рынка?
— Да, у кибербезопасности есть эффект коллективной защиты. Если компания оперативно делится информацией о новой угрозе с другими вендорами, больше пользователей получают возможность вовремя защититься от атак. Поэтому участники рынка обмениваются данными, а также рассказывают о своих расследованиях на отраслевых конференциях, публикуют отчеты и рекомендации.
Кроме того, важно раскрывать информацию о собственных продуктах. Если у них возникает проблема с безопасностью, лучше сразу сообщить о ней и исправить ее до того, как этим воспользуются злоумышленники.
Один из инструментов для поиска подобных технических проблем — программы Bug Bounty. Они дают возможность независимым исследователям тестировать продукты и сообщать об уязвимостях, а компании вознаграждают их за подтвержденные находки.
Среди более комплексных, но менее распространенных практик по проверке надежности и безопасности ИБ продуктов — центры прозрачности, где эксперты могут узнать больше о процессах разработки. В центрах прозрачности «Лаборатории Касперского» можно в том числе проверить исходный код решений компании. Такая проверка нужна профессиональному сообществу, клиентам и регуляторам. Они могут самостоятельно оценить, как устроен продукт и насколько ему можно доверять.
Прозрачность касается и практик устойчивого развития — компании раскрывают информацию о своих проектах и результатах в этой сфере. Например, «Лаборатория Касперского» собрала итоги работы за 2024–2025 годы в отдельном ESG-отчете.
— В отчете отмечается, что сложные решения по кибербезопасности усиливают разрыв между организациями с разными финансовыми и технологическими возможностями. Что могут сделать поставщики, чтобы небольшие компании и НКО тоже получали необходимую защиту?
— Помогать таким организациям можно по-разному. Например, в 2024–2025 годах «Лаборатория Касперского» передала бесплатные лицензии более чем 100 благотворительным фондам и НКО.
Но защитное решение еще нужно установить, а своего специалиста у организации может не быть. Поэтому продукты для малого бизнеса, НКО, школ и социальных учреждений должны быть максимально простыми в настройке и использовании.
При этом чем крупнее структура, тем сложнее ее защита, то есть модель «установил и забыл» работает не всегда. Поэтому важно упрощать и автоматизировать продукты, а также обучать сотрудников ими пользоваться.
— В ESG-отчете вы также рассказываете об экологических инициативах. Как компании в сфере кибербезопасности участвуют в решении задач, связанных с защитой окружающей среды?
— Я бы выделила здесь два направления. Первое связано с собственной операционной деятельностью компании. Это повышение энергоэффективности офисов, центров обработки данных и серверов, сдача оборудования на переработку. Технику, которая больше не используется внутри компании, также можно передавать образовательным и некоммерческим организациям.
Второе направление связано с косвенным эффектом от основной деятельности. Сюда можно отнести защиту промышленных и энергетических объектов, кибератака на которые приводит к авариям и экологическим угрозам. Еще один пример — незаконный майнинг, который требует очень много энергоресурсов. Чем больше такой активности удается предотвращать с помощью защитных решений, тем лучше для экологии.
Развитие экологической культуры внутри компании тоже вносит свой вклад. Мы стараемся формировать экологические привычки у сотрудников через разные проекты. Например, с 2022 года в московском офисе установлен контейнер фонда «Второе дыхание» для передачи одежды и обуви на благотворительность, переработку и правильную утилизацию. Мы регулярно делимся с сотрудниками результатами сборов и напоминаем о том, как корректно сдавать вещи. За 4 года у нас значительно повысился процент одежды, которую фонд может передать людям в сложной жизненной ситуации.
«Лаборатория Касперского» также участвует в проектах, которые помогают заботиться об окружающей среде. Например, в партнерстве с фондом «Природа и люди» мы поддерживаем инициативы по сохранению популяций редких видов животных и экосистем.
«Ничего для нас без нас»: как защищают уязвимые группы
— Какие группы людей сегодня особенно уязвимы перед интернет-угрозами?
— Таких групп довольно много, и они очень разные. В первую очередь это дети и подростки, которым еще не хватает знаний и жизненного опыта, чтобы распознавать мошеннические схемы.
Другая аудитория — пожилые люди. Они не всегда успевают за быстрым развитием технологий и нередко становятся мишенью финансового мошенничества.
Отдельная большая группа — люди с инвалидностью. В зависимости от особенностей человека трудности могут быть разными — от недоступных интерфейсов до слишком сложных объяснений.
Также к уязвимым группам относятся жертвы домашнего насилия и киберсталкинга (преследование с помощью цифровых технологий. — «РБК Тренды»). Опасность для них представляют шпионские программы, включенная геолокация и другие технологии, которые позволяют контролировать человека.
— Как компании в сфере кибербезопасности помогают уязвимым группам защищаться от подобных рисков?
— Одно из основных направлений — цифровое просвещение. Например, мы выпускаем образовательные курсы, где простым языком рассказываем о фишинге, телефонном мошенничестве и защите данных.
В некоторых случаях не обойтись без партнерства с профильными организациями. Особенно это заметно в работе с жертвами домашнего насилия и киберсталкинга. До такой аудитории сложно достучаться напрямую, поэтому компании по кибербезопасности часто сотрудничают с НКО. Например, мы выпускаем информационные материалы вместе с Нижегородским женским кризисным центром.
— У детей, пожилых людей и людей с инвалидностью разный жизненный опыт, уровень цифровой грамотности и особенности восприятия информации. Как учесть эти различия при разработке образовательных программ?
— Универсального подхода нет. С каждой аудиторией важно говорить на понятном ей языке и адаптировать программу под ее потребности. Например, несколько лет назад вместе с фондом «Синдром любви» мы выпустили методическое пособие по цифровой грамотности для людей с синдромом Дауна, доступное всем желающим. При работе над ним мы поняли ценность принципа «ничего для нас без нас». Чтобы создать материал для конкретной аудитории, важно привлекать ее представителей и получать от них обратную связь.
Кроме того, внутри уязвимых групп часто есть более узкие категории со своими рисками. Например, сейчас мы разрабатываем образовательные материалы для выпускников детских домов. Они начинают самостоятельную жизнь без привычной семейной поддержки, и часто им некому обратиться за советом. Поэтому у них выше риск стать жертвами финансового мошенничества или быть вовлеченными в дропперство (участие в схемах, в которых через банковские карты и счета переводят похищенные деньги. — «РБК Тренды»).
— Киберугрозы и мошеннические схемы постоянно меняются. Как поддерживать образовательные программы актуальными и при этом доступными для разных групп пользователей?
— Материалы необходимо регулярно пересматривать и дополнять. Так, в этом году мы включили в программу для НКО отдельный вебинар о безопасной работе с искусственным интеллектом. Из общения с организациями стало понятно, что они активно используют ИИ-инструменты, но не всегда осознают риски для данных, которые в них загружают.
Не менее важна доступность образовательных программ для любого человека, желающего получить новые знания или навыки по кибербезопасности. Для этого нужно создавать и поддерживать среду, в которой все эксперты, вне зависимости от особенностей здоровья, участвуют в проектировании программ. Этого можно достичь при помощи внешней экспертизы от дружественных НКО, а также привлекая внутренних специалистов. «Лаборатория Касперского» развивает инклюзивное трудоустройство, в том числе приглашая студентов и недавних выпускников с инвалидностью к участию в программах стажировок в различных департаментах компании.
Киберустойчивость будет встраиваться в корпоративную стратегию
— Как будет меняться место кибербезопасности и киберустойчивости в ESG-повестке?
— Прошли времена, когда киберзащита сводилась к предотвращению угроз для данных, серверов и IT-инфраструктуры. Сегодня способность компании противостоять атакам и восстанавливаться после них влияет на ее репутацию, доверие инвесторов и партнеров. В дальнейшем киберустойчивость будет все теснее встраиваться в корпоративную стратегию и риск-менеджмент, учитываться при закупках, разработке продуктов и оценке поставщиков.
— Многие социальные инициативы в сфере кибербезопасности сегодня остаются добровольными. Могут ли они со временем стать отраслевым стандартом?
— Да, это возможно. Многие компании в сфере кибербезопасности уже развивают социальные инициативы. Думаю, со временем ответственность бизнеса будет расти и регулироваться государством. Появление ESG-рейтингов и национальных целей в России показывает, что этой теме уделяют все больше внимания.
Мне бы хотелось, чтобы «золотым стандартом» индустрии стала помощь тем, кто не может защитить себя самостоятельно. Она может включать обучение, бесплатные лицензии и другую поддержку.
➤ Подписывайтесь на телеграм-канал «РБК Трендов» — будьте в курсе последних тенденций в науке, бизнесе, обществе и технологиях.