Дмитрий Шепелявый: «Искусство управления устойчивостью — найти баланс в треугольнике регуляторика – защита – бюджет»

1 час назад

© Изображение сгенерировано ИИ

В условиях ужесточения регуляторных требований и роста киберугроз российскому бизнесу всё сложнее выстраивать сбалансированную систему киберзащищённости: попытки буквально соблюсти все нормы оборачиваются неоправданными тратами, а упрощённые расчёты рисков — недоверием со стороны руководства и финансового блока. Поиск золотой середины между требованиями регуляторов, реальной защищённостью и бюджетом стал ключевым вопросом для компаний. Как отмечает издание «Телеспутник», об этом в ходе дискуссии на Международном форуме Kazan Digital Week – 2026 рассказал директор по развитию международного бизнеса Innostage Дмитрий Шепелявый.

Треугольник киберустойчивости

Буквальное исполнение всех нормативных предписаний не всегда оправданно с практической и экономической точек зрения, отмечает эксперт.

«Если трактовать требования регуляторов буквально, придётся, например, вместо доменной печи закупать систему безопасности АСУ ТП» — заявляет Дмитрий Шепелявый.

По мнению специалиста, столь же прямолинейный подход к экономике может привести к «фантастическому ущербу» от атаки, которой никогда не случилось бы в реальности.

Наконец, стремление обеспечить максимально возможный уровень технической защищённости также имеет ограничения. Установка большого количества защитных систем, содержание собственной команды расследования инцидентов и одновременное подключение нескольких SOC могут обеспечить высокий уровень соответствия требованиям, но потребуют значительных расходов.

Когда информационная безопасность поглощает инвестиционную программу

В качестве примера Шепелявый привёл ситуацию из практики Innostage. К компании обратился один из крупных холдингов, причём инициатива исходила непосредственно от собственника бизнеса.

Предприятие попало под действие новых требований регулирования КИИ, в результате чего большинство его информационных систем получили статус объектов критической информационной инфраструктуры. После оценки необходимых затрат специалисты по информационной безопасности пришли к выводу, что на выполнение требований придётся направить практически всю инвестиционную программу холдинга.

В такой ситуации недостаточно просто сократить расходы на защиту или, наоборот, выделить под неё весь доступный бюджет. Необходимо определить, какие меры действительно влияют на устойчивость предприятия, какие риски требуют первоочередного внимания и какие решения позволят выполнить нормативные требования без ущерба для развития бизнеса.

Innostage помогает холдингу выстроить такую модель: совместить выполнение требований регуляторов с обеспечением фактической защищённости, согласовать выбранные решения с ФСТЭК и сохранить финансовую сбалансированность. При этом учитываются возможные убытки и события, последствия которых для предприятия неприемлемы.

Почему расчёт «час простоя × убытки» не работает

Отдельная проблема при планировании затрат на кибербезопасность — упрощённая оценка экономических последствий инцидентов. Распространённая модель, в которой стоимость простоя предприятия умножается на предполагаемую продолжительность атаки, может давать существенно завышенные результаты.

Такие расчёты не учитывают реальные механизмы обеспечения непрерывности деятельности. В частности, предприятие может использовать организационные и технические компенсирующие меры: переходить на пониженный режим работы, откладывать отдельные операции, перераспределять нагрузку или задействовать альтернативные процессы.

Без учёта этих возможностей оценка потенциального ущерба оказывается оторванной от реальных условий функционирования бизнеса. Это затрудняет обоснование инвестиций в информационную безопасность и может подрывать доверие к расчётам со стороны руководства и финансового блока.

По мнению Дмитрия Шепелявого, экономическая модель киберустойчивости должна учитывать не только возможные последствия атак, но и способность предприятия сохранять работоспособность при возникновении инцидентов. Именно такой подход позволяет определить обоснованный объём инвестиций в защиту, расставить приоритеты и найти компромисс между регуляторными требованиями, реальными угрозами и бюджетными ограничениями.

Ранее журнал RUБЕЖ писал о кибербезопасности в системах видеонаблюдения.