Кибергигиена в 2027 году: какие привычки действительно определяют уровень защищенности компании

Многие думают, что заботиться о защите компании должен только IT-отдел. Однако это общее дело, в котором просто разнятся подходы.  

На бытовом уровне все держится на крепких паролях, осторожности с подозрительными письмами и банальной гигиене в сети. Для бизнеса же это целая система: кроме обучения людей, нужно непрерывно мониторить риски, проверять прочность инфраструктуры и иметь четкий план действий в случае атаки.  

В этой статье Евгений Кураш, Sales Engineer в BAKOTECH, анализирует, как эти подходы работают на практике и на что стоит обратить внимание для защиты личных данных и корпоративной инфраструктуры. 

Как изменились киберугрозы в 2026 году?  

В 2026 году злоумышленникам стало все проще готовить атаки с помощью ИИ, но многие риски для бизнеса до сих пор связаны с привычками людей и ложными представлениями о кибербезопасности.  

Важнейшие изменения в поведении злоумышленников  

На мой взгляд, главное изменение состоит в том, что злоумышленники стали более самостоятельными. Раньше это были группировки: хакеры, которые работали в команде или объединялись вокруг общей идеи. Такая модель никуда не исчезла, но теперь начать взламывать компании может практически кто угодно.   

Вместо форумов и знакомств с «профи» достаточно написать в «умный чатик», и ИИ нагенерирует более эффективные методы атаки.   

Хотя многие генеративные модели и блокируют прямые запросы типа «помоги что-то взломать», их все еще можно обойти завуалированным запросом: сослаться на этичный хакинг и сказать, что нужен совет для тестирования собственной компании.   

В то же время не стоит думать, что теперь кто угодно станет крутым хакером и взломает любую компанию. А вот провести примитивную атаку стало гораздо легче.    

Говоря о «хакерах-одиночках», стоит упомянуть теневой ИИ — таких примеров становится все больше. Злоумышленник может создать собственную ИИ-систему, развернуть ее локально и научить. Вместо поиска сообщества хакеров ему нужны преимущественно ресурсы: вычислительные мощности на домашнем компьютере или сервере, защита и анонимизация этого сервера, а затем загрузка собственной модели.    

Благодаря открытым языковым моделям злоумышленники могут самостоятельно создавать инструменты для кибератак, не полагаясь на готовые решения из хакерских сообществ. И хотя для этого требуются технические знания и дополнительные настройки, такой подход становится все более доступным.   

Распространенные представления о кибербезопасности, не соответствующие реальности  

Когда компании задумываются о кибербезопасности, первое, что приходит им в голову, — это размер бизнеса.  

Если компания очень маленькая, руководство вряд ли думает о защите. Но такой ход мыслей уже ошибочен.    

О кибербезопасности нужно думать всегда, а риски оценивать сразу, как только вы совершили какое-то действие. Когда человек выходит в интернет, он должен понимать, что там есть угрозы.    

С искусственным интеллектом очень просто запустить стартап, скажем, разрабатывать сервисы или выпускать приложения. Многие маленькие компании даже не задумываются, что теперь они — легитимная цель для хакеров, ведь немало информации лежит в открытом доступе. И если бизнес становится прибыльным, он неизбежно привлекает желающих его взломать.   

Есть еще одно опасное заблуждение: защититься можно каким-нибудь одним инструментом.    

Кибербезопасность, да и информационная безопасность в целом, — это не о том, сколько решений вы используете, чтобы чувствовать себя защищенными. Это о том, сколько существует каналов, по которым могут поступать угрозы, и закрыты ли риски по каждому из них.   

Например, первый канал — вредоносный файл, загруженный на компьютер. Второй — фишинговое письмо. Третий — массовая DDoS-атака. Самое важное здесь — знать эти риски и понимать, чем их закрывать, пусть даже бесплатными инструментами.    

По опыту, я замечал у компаний ошибочное представление, что достаточно закрыть один канал (скажем, поставить антивирус), и дальше все будет супер. На самом деле нужен баланс и разные решения для разных задач. Решение — это не обязательно продукт, который можно купить. Это прежде всего то, как компания решает работать с определенным риском и что делает, чтобы его минимизировать.    

Поэтому когда выстраиваем защиту, мы все это анализируем. Компании отличаются по зрелости и информационным процессам. Общаясь с заказчиками, мы стараемся понять их уровень зрелости и финансовые ресурсы и помочь разрушить эти ошибочные представления о безопасности. И только после этого предлагаем стратегию, разработанную именно под них.   

Как одна ошибка сотрудников может иметь большие последствия для компании  

В организациях всегда стремятся все автоматизировать, чтобы убрать человеческий фактор, который часто становится причиной массовых проблем.    

Принято считать, что машины не ошибаются. Мы уже на этапе, когда можем наладить контроль и избавиться от рутинной работы, но…  

Пока в системе есть человек, факторы риска будут появляться всегда.   

Риском считается и несерьезное отношение к работе. Здесь мы не говорим о злонамеренной активности: инсайдер внутри компании действует по расчету. Речь идет о сотруднике, который что-то «не доглядел».  

Приведу пример. У компании есть ролевая модель: разные люди отвечают за разные части инфраструктуры, но кто-то стоит выше в иерархии. У таких специалистов больше прав и ответственности, иногда их работа связана с жизнеобеспечением элементов компании. Поэтому ошибка такого человека может иметь катастрофические последствия.    

При этом ошибиться может даже администратор с большим стажем, выстраивавший все сервисы компании. Поэтому сама по себе кибербезопасность создана для того, чтобы минимизировать вероятность подобных инцидентов.    

Для ролевой модели есть много решений. К примеру, человек не может выполнить действие без подтверждения своих прав. Подобные системы рассчитаны на минимальное доверие: ты не доверяешь никому «по умолчанию», а когда сотрудник пытается что-либо сделать, система проверяет действие еще раз и направляет его в правильное место.  

Одна из таких систем — DLP (Data Loss Prevention). Она нужна на случай, когда человек может случайно спровоцировать утечку данных (скажем, работник скинул в ChatGPT информацию, которая оказалась конфиденциальной). 

Есть отдельные продукты, которые самостоятельно реагируют на проблемы. Так, установленный на компьютере сотрудника софт подсказывает, с какими данными надо быть осторожнее: ставит метки на документы или анализирует их содержимое и на этой основе решает, как с ними обращаться. И когда человек случайно провоцирует утечку, потому что не знал о запрете (давайте честно, кто из нас читает все инструкции полностью?), система выводит во весь экран предупреждение, почему, скажем, нельзя пересылать файл. После этого действие блокируется.  

ИИ и социальная инженерия  

ИИ делает фишинговые атаки более убедительными. Поэтому важно не только знать новые угрозы, но и понимать, как действовать, если что-то пошло не так.    

Сценарии социальной инженерии, которые сотрудникам сложнее всего распознать  

Новые элементы на основе ИИ, например имитация голоса или генерирование видео, помогают злоумышленникам сделать атаку настолько реалистичной, что жертве легко поверить в сообщения.  

Поэтому нужно позаботиться, чтобы работник на базовом уровне понимал, что такое фишинг и социальная инженерия. Даже если он просто слышал истории о том, как кого-то взломали из-за подозрительного сообщения, это уже формирует определенное понимание угрозы.  

Немного статистики.  

Среди методов ИИ-хакинга наиболее заметны ИИ-усиленный фишинг и атаки на сами языковые модели и ИИ-агенты. В эксперименте группы исследователей, в основном из Гарварда, полностью автоматизированные ИИ-письма получили 54% кликов, как и письма, созданные экспертами-людьми, тогда как в традиционных кампаниях этот показатель составил 12%.  

Что касается атак на LLM: в исследовании Cisco (май 2026) многоходовые атаки на 15 закрытых флагманских моделей имели успех от 7,9% до 88,3%, а одноходовые — от 2,2% до 64,9%. Одноходовые атаки — это действия, которые достигают промежуточной или конечной цели за один шаг, тогда как многоходовые атаки (комбинации) — это последовательность взаимосвязанных действий, где первые шаги готовят почву для решающего удара.   

Но, на мой взгляд, искусственный интеллект пока не научился на 100% обманывать любого человека, и до этого ему еще далеко.    

Да, имитация голоса или видео уже достаточно качественная, но если ты часто смотришь такой контент в интернете, то ты уже умеешь его распознавать.   

Другое дело, когда ты внезапно получаешь голосовое сообщение якобы от жены или кого-то из родных с просьбой срочно перевести деньги. Голос звучит знакомо, потому что злоумышленник нашел его образец в открытом доступе. В такой ситуации человек может растеряться и не сразу заметить подмену.   

Как же реагировать на изменения, связанные с ИИ?  

Надо постоянно учиться.    

Кем бы ты ни был и какую бы профессию ни имел, нужно разбираться, что такое социальная инженерия, фишинг, смишинг, дипфейки и т.д. Все больше людей пользуются умными чат-ботами, поэтому логично узнавать и о рисках, связанных с этими технологиями. Если такие инструменты облегчают тебе задачу, то и другому человеку становится проще тебя обмануть.  

Человек может сам искать информацию в интернете, но есть и готовые решения, в которых все структурировано: симуляции атак от сервисов по кибербезопасности, тренинги, вебинары, образовательные материалы, риски, связанные с искусственным интеллектом и LLM-системами.    

Обучение должно быть простым. Не регламенты на тысячу страниц, а краткие видеоуроки, в том числе 3D-игры. Можно даже устроить конкурс с призами. Еще один действенный вариант — симуляции кибератак на сотрудников. Людей следует поощрять проходить обучение и мотивировать быть более осторожными, ведь маленькая ошибка одного может стать большой проблемой для всей компании.     

Результат, к которому мы стремимся, — сотрудник должен понимать, какие сообщения могут поступать, какие существуют риски и техники атак, и как выглядит цепочка атаки, например, после перехода по подозрительной ссылке, чтобы не пугаться и не паниковать, если что-то пошло не так.    

Для каждого работника должен быть четкий пошаговый план действий на случай киберинцидента, так же как и во время ракетной угрозы или пожара в офисе. Если компьютеры заражены или есть подозрение на атаку, администраторы должны предоставить конкретные инструкции.  

То же самое касается и социальной инженерии: сотрудник должен знать, что делать, если он получил подозрительное сообщение, заметил попытку манипуляции или уже нажал на ссылку или перешел на подозрительный сайт.    

Поэтому и существуют специализированные системы, объединяющие обучающие курсы и симуляции фишинговых атак. Это именно то, что мы предлагаем: готовые продукты, которые можно приобрести и настроить под потребности компании.  

Полезные привычки кибергигиены, которые действительно имеют значение   

Надежная защита начинается с обычных привычек — как мы пользуемся ИИ, создаем и сохраняем пароли и работаем с личных устройств.  

Привычка 1. Безопасное использование генеративного ИИ  

Здесь анализирую два ракурса: полезные привычки для бизнеса и отдельного сотрудника.   

Со стороны бизнеса  

В первую очередь должно появиться понимание, какие ИИ-инструменты используются в компании, потому что обычно не все это знают. Компании часто внедряют ИИ и поощряют сотрудников им пользоваться, но нет инструментов, чтобы отслеживать, кто, где и как его применяет.    

ИИ-инструменты отличаются в зависимости от версии и могут иметь разные уязвимости и ограничения. Особенно это касается разработки программного обеспечения, где ИИ уже играет значительную роль в повседневной работе разработчиков. Здесь важны не только возможности инструмента и его совместимость с языком программирования, но и то, может ли сгенерированный код содержать уязвимости.  

Бизнес также должен четко понимать, какие данные сотрудники могут передавать ИИ, а какие нет.   

Поэтому полезная привычка — контролировать использование ИИ-инструментов, знать, какие версии применяются, и понимать связанные с ними риски.   

Со стороны сотрудника  

Для человека это прежде всего означает понимать, с каким инструментом он работает. Не стоит перекладывать на ИИ все задачи. Мое мнение таково: если ты можешь сам разобраться с вопросом, попробуй сначала сделать это своими руками.  

Результат работы ИИ тоже следует проверять в несколько этапов и не довольствоваться первым же ответом. Следует критически оценивать результат, проверять его достоверность и совершенствовать формулировку запросов, то есть подход к промпт-инжинирингу. 

Лучше всего комбинировать несколько ИИ-инструментов, сравнивать их результаты и анализировать самостоятельно.  

В то же время никто не отменял обычный поиск в интернете, обращение к другим источникам и чтение книг. Все это помогает проверять результаты и формировать собственное понимание темы.   

Ну и понятно, что не следует пользоваться неизвестными, бесплатными или китайскими ИИ-сервисами. Не нужно загружать туда личные фото, паспортные данные, информацию о банковских картах или паролях.  

Привычка 2. Правильное обращение с паролями   

Отдельных особых привычек касательно паролей сейчас нет, кроме одной: пароль должен быть очень длинным и сложным. 

Со стороны бизнеса 

Независимо от того, покупает ли компания готовый продукт или разрабатывает собственный, вопросы аутентификации нужно учитывать заранее.  

Сейчас есть много решений, которые позволяют централизовать проверку подлинности в компании. Какими бы ресурсами работник ни пользовался, работает единая точка входа: он регистрируется в одном сервисе, имеет один регулярно меняющийся пароль и с его помощью заходит на все нужные сервисы. Это очень удобно, и в продуктах, которыми мы занимаемся, такие инструменты тоже есть. 

Поэтому хорошая привычка для компании — использовать систему, в которой предусмотрены ротация паролей, требования к их сложности и двухфакторная аутентификация.  

Казалось бы, о двухфакторной аутентификации уже знают почти все, но на практике о ней не всегда задумываются. А лучше способа защитить пароль, чем проверить личность пользователя через другой канал, пока не придумали.   

Со стороны сотрудника  

Раньше хватало более коротких паролей (условно до 20 символов), но теперь следует отдавать предпочтение более длинным: от 15 до 20 символов, а в идеале и более 30. Важно сочетать верхний и нижний регистры, цифры и специальные символы. 

Важнейшая привычка касательно паролей — вовремя их менять.  

Ротацию нужно проводить регулярно и не ждать, пока сервис сам об этом напомнит. Советую сделать себе заметку в календаре. В то же время следует проверять, поддерживает ли сервис необходимые механизмы управления паролями. 

Привычка 3. Безопасное использование личных устройств, публичных Wi-Fi и несанкционированных сервисов 

Со стороны бизнеса 

В нынешних нестабильных условиях сотрудникам разрешают работать с ноутбуков и телефонов, в том числе и личных. Это создает дополнительные риски. 

В офисе все более контролируемо: есть камеры и другие средства безопасности, поэтому, скажем, сложно незаметно вынести монитор. Но человек может работать из дома или уехать куда-нибудь со своим устройством, и тогда компания уже не понимает, что с ним происходит и куда оно может исчезнуть. Сразу возникает множество вопросов: как защищать все эти устройства и какие привычки в этом помогут.  

Полезная привычка для компании — иметь софт, проверяющий уровень защищенности устройств.  

Эту задачу выполняют решения класса Mobile Device Management (MDM). К примеру, если устройство долго не выходит в интернет, MDM может заблокировать его или удалить с него корпоративные данные.  

Следует также иметь возможность удаленно подключиться к устройству, которое выдала компания, даже если сотрудник пользуется им как персональным (например, берет с собой в путешествия). Это позволяет проверять состояние устройства, помогать сотруднику, дистанционно блокировать рабочие данные паролем или удалять их, а также обеспечивать их шифрование. 

Можно также контролировать геолокацию: если устройство оказалось там, где оно не должно быть, но имеет доступ к интернету, его местонахождение можно определить удаленно.  

Отдельно о личных мобильных устройствах, принадлежащих сотруднику. На них можно установить рабочие приложения и создать рабочие области, которые контролирует компания. Но геолокация здесь стоит отдельным вопросом, ведь предоставлять доступ к своему местонахождению или нет — это право самого сотрудника. Зато на таких устройствах можно настроить политики безопасности, которые проверяют, есть ли пароль, включено ли шифрование и соответствует ли устройство требованиям безопасности. 

Например, устройство могли купить на OLX с большой скидкой, а оно взломано: имеет root-права или, если это iPhone, jailbreak. Это значительный риск, в частности, при предоставлении доступа к корпоративной почте, ведь ее может читать не только сотрудник, но и кто-то другой, имеющий доступ к устройству. Поэтому полезная привычка даже для личных устройств — пользоваться MDM-системой. 

Со стороны сотрудника  

Правила, по сути, те же. Если вы пользуетесь различными сервисами на личных устройствах, важно иметь отдельный пароль для каждого из них, пользоваться приложением для двухфакторной аутентификации и включать ее везде, где это возможно. Для удобства можно использовать одно приложение.  

Нужно иметь пароль на устройстве и регулярно его менять, а также обновлять свое устройство и не ходить с одним и тем же по 10 лет.   

В старых версиях операционной системы есть уязвимости, которые устраняются обновлениями, поэтому операционную систему важно обновлять регулярно. 

Еще один полезный совет — не пользоваться пиратским программным обеспечением. Для личных устройств это стандартная гигиена работы с информацией: нужно следить за тем, какие ресурсы посещаешь и чем пользуешься. 

Какие организационные изменения следует провести, если хотите укрепить защиту в 2027 году 

Ух, организационные изменения…  

Первое изменение, которое я бы посоветовал провести, звучит так: 

Если у компании нет руководителя по информационной безопасности, нужно назначить человека, отвечающего за это направление.  

Этот человек будет искать способы решения вопросов, будет подбирать продукты, бесплатные и платные, и оценивать риски для компании. 

Руководитель информационной безопасности должен иметь соответствующую квалификацию или профильное образование. Желательно также иметь сертификацию: для этой роли она важна.  

Это вариант для малого бизнеса.  

В среднем и крупном бизнесе соответствующие отделы и департаменты, как правило, уже есть. Из того, что я вижу, компании создают отдельные центры Security Operations Center (SOC), круглосуточно следящие за происходящим в организации. Люди постоянно анализируют ситуацию, отслеживают сигналы и алерты, контролируют безопасность компании и днем, и ночью.  

Второе изменение:  

Организовать внутренний тест на проникновение на постоянной основе, чтобы первым найти проблему и отреагировать на нее.   

Если компания сама не попытается взломать собственные системы, это может сделать кто-то извне: отдельный человек, хакерская группировка или страна, с которой мы граничим и откуда летят кибератаки. И есть вероятность, что у этого «кого-то извне» все получится.  

Обычно компании знают о пентесте как услуге и заказывают ее. Если это разовая услуга, она стоит достаточно дорого, и проводят ее один-два раза в год. Это эффективный способ получить независимый аудит, но смысл в том, чтобы иметь такую практику внутри компании. Пусть это будет даже один человек: если у компании нет отдела информационной безопасности, эту роль может взять на себя IT-специалист, helpdesk-специалист или системный администратор. 

Следует упомянуть и программы bug bounty. Большая компания может установить вознаграждение за обнаружение уязвимостей, чтобы специалисты могли легально тестировать ее системы. Тогда она не пытается судиться с людьми или игнорировать их обращения, а наоборот, платит за найденные уязвимости. Например, некий IT-специалист в Украине, не связанный с компанией, хочет заработать и проверить свои знания. Он протестирует ее системы и, возможно, найдет уязвимость, за которую компания будет готова заплатить.  

Проводить пентест нужно регулярно и автоматизировать процесс, ведь у компании каждый день появляются новые активы: бизнес растет, открывает новые офисы или магазины в других городах, расширяет инфраструктуру, запускает новые серверы, продукты и интеграции с партнерами.  

И я бы хотел, чтобы все наши компании поверили в эту идею и использовали один из двух подходов: либо самостоятельно тестировали собственные системы изнутри, либо позволяли другим специалистам легально их проверять.