О безопасности принято говорить языком барьеров: поставить ещё один фильтр, купить новую платформу, закрыть очередную уязвимость. Всё это полезно, но ни один барьер не даёт гарантии. Практический вопрос сегодня звучит иначе: как быстро организация заметит, что злоумышленник уже действует внутри, и сможет ли продолжать работу, пока разбирается с последствиями?

Октябрьский доклад Microsoft о цифровой защите обращает внимание на неприятный сдвиг. В наблюдавшихся компанией вторжениях доля фишинга выросла с 7% в 2025 году до 23% в 2026-м. Эти цифры описывают только её выборку, а не весь интернет, но хорошо иллюстрируют проблему: атакующий нередко входит под настоящей учётной записью и выглядит почти как обычный сотрудник.

Главный показатель — время до обнаружения

Если скомпрометированная учётная запись остаётся незамеченной несколько дней, у атакующего появляется время изучить переписку, найти резервные копии и перейти в соседние системы. Поэтому одной блокировки подозрительных писем недостаточно. Нужна видимость того, что происходит после входа: необычные авторизации, внезапное расширение прав, массовая выгрузка данных, действия в нехарактерное время.

Важно не превратить эту видимость в бесконечную ленту тревог. Хороший процесс начинается с нескольких сценариев, действительно опасных для конкретной организации, и понятного ответа на каждый сигнал. Кто проверяет событие? Кто может временно заблокировать доступ? Как восстановить работу, если тревога оказалась настоящей? Без ответов на эти вопросы даже дорогая система мониторинга превращается в экран с красными лампочками.

Защищать нужно цепочку услуг

Сервис редко существует сам по себе. У него есть облачный провайдер, подрядчики, почта, платёжная система, устройства сотрудников и резервное хранилище. Атака на одно звено может остановить всю услугу. Поэтому карта зависимостей должна показывать не только серверы, но и людей, внешние договоры, способы связи и порядок принятия решений при аварии.

Разумный минимум — заранее определить критичные функции и проверить, как они будут работать при недоступности основной инфраструктуры. Резервная копия ценна лишь тогда, когда её действительно можно восстановить; запасной канал связи — когда сотрудники знают, где его искать. Учебное реагирование без реальной катастрофы быстро обнаруживает пробелы, которые невозможно увидеть в красивой презентации.

Новая покупка не заменит дисциплину

Для небольшой команды разумнее сначала наладить многофакторный вход, ограничить избыточные права, собирать необходимые журналы событий и назначить ответственных за инциденты. Затем измерять, сколько времени уходит на обнаружение, изоляцию и восстановление. Эти показатели полезнее абстрактного числа «отражённых атак»: они показывают, сможет ли организация удержать ущерб в допустимых пределах.

Киберустойчивость не означает неуязвимость. Она означает способность увидеть проблему достаточно рано, локализовать её и сохранить важную услугу для людей. Это менее эффектно, чем обещание абсолютной защиты, зато гораздо ближе к реальности.