logo/ Серпухов
/новости Московской области
Картинка
/ Фото: REGIONS/Сергей Сергашов/Сгенерировано нейросетью

Киберугрозы для малого бизнеса: как защитить данные и не попасть на штрафы

/Главная /Интересное
Автор текста:
Алексей Селиверстов
/Главная /Интересное
Автор текста:
Алексей Селиверстов
Информационная безопасность все чаще становится частью повседневного управления бизнесом, а не отдельной статьей расходов крупных корпораций. В интервью изданию REGIONS эксперт в сфере цифровых решений, вице-президент Серпуховской торгово-промышленной палаты Сергей Сергашов объясняет, с чего небольшой компании стоит начать, сколько это стоит и какие требования закона важно учитывать при работе с персональными данными клиентов.

Как защитить бизнес, не тратя огромные деньги на информационную безопасность? Слабый пароль, неосторожность сотрудника или уязвимость в программе могут обернуться потерей клиентской базы и многомиллионным штрафом. На вопросы, которые волнуют предпринимателей и обычных пользователей, в интервью изданию REGIONS ответил вице-президент Серпуховской торгово-промышленной палаты, эксперт в сфере цифровых решений Сергей Сергашов.

Хакерам не обязательно выбирать вашу компанию

Сергей Анатольевич, многие считают, что кибератаки угрожают в первую очередь банкам и крупным корпорациям. Малому бизнесу действительно есть чего опасаться?
«На самом деле злоумышленникам необязательно целенаправленно охотиться за конкретной компанией. Они массово рассылают мошеннические письма, подбирают пароли, ищут уязвимые сайты и компьютеры. И если у небольшой фирмы защита настроена плохо, она становится легкой целью», — рассказывает Сергей Сергашов.

По его словам утечка не всегда связана с хакерской атакой. Сотрудник может отправить клиентскую базу не тому адресату, открыть общий доступ к документам или потерять ноутбук с рабочими файлами. Результат один: информация попадает к посторонним.

Показательный случай произошел в июне 2025 года. Из системы онлайн-академии для детей «ЮКИДС» утекли данные более 300 тыс. клиентов и исполнителей. Около полумиллиона строк с именами, телефонами, адресами электронной почты и комментариями о взаимодействии с клиентами оказались в открытом доступе в Telegram. В марте 2026 года суд назначил компании штраф в ₽400 тыс., учитывая ее статус микропредприятия. При этом предусмотренная законом санкция за такую масштабную утечку для юридических лиц значительно выше.

Этот пример показывает: даже если компания использует CRM и современные цифровые сервисы, безопасность нельзя считать обеспеченной автоматически.

Персональные данные есть практически у каждого предпринимателя

Какие сведения нужно защищать в первую очередь?
«Фамилии, телефоны, адреса электронной почты, паспортные данные клиентов и сотрудников, кадровые документы, сведения о зарплате. Все это может храниться в бухгалтерской программе, CRM, таблицах Excel, почте и мессенджерах. Поэтому я рекомендую начать с простой проверки: какие данные собирает компания, где они хранятся и кто имеет к ним доступ. Менеджеру по продажам совершенно необязательно видеть зарплаты всех сотрудников, а уволенный работник не должен продолжать пользоваться корпоративной почтой», — говорит Сергашов.

В России обработку персональных данных регулирует закон № 152-ФЗ. Он распространяется не только на крупные организации, но и на индивидуальных предпринимателей. Нужно иметь законное основание для обработки, выполнять требования к защите информации, подготовить необходимые документы и проверить, требуется ли уведомление Роскомнадзора.

Штрафы уже нельзя считать символическими

Что грозит предпринимателю, если данные клиентов все-таки утекут?
«Ответственность установлена статьей 13.11 КоАП РФ. С 30 мая 2025 года за утечки действуют существенно более строгие санкции. В зависимости от масштаба нарушения штраф для организации может составить от ₽3 до 15 млн. За утечку биометрических данных предусмотрено до ₽20 млн. При повторных нарушениях в установленных законом случаях возможен штраф в размере 1–3 процента выручки, но не менее 20 или 25 миллионов рублей в зависимости от состава нарушения», — рассказывает эксперт.

Отдельное наказание предусмотрено за несвоевременное уведомление Роскомнадзора об утечке. При выявлении инцидента, повлекшего нарушение прав субъектов персональных данных, первоначальное уведомление необходимо направить в течение 24 часов, а результаты внутреннего расследования представить в течение 72 часов.

Это не означает, что каждый случай автоматически приведет к максимальному штрафу. Суд учитывает обстоятельства дела. Но рассчитывать на снисхождение вместо того, чтобы заранее позаботиться о защите, точно не стоит.

Пять простых шагов, которые стоит сделать уже сейчас

С чего начать небольшой компании, у которой нет собственного специалиста по кибербезопасности?
«Наведите порядок с паролями. Не используйте один пароль для всех сервисов, включите двухфакторную аутентификацию для корпоративной почты и важных систем, своевременно отключайте учетные записи бывших сотрудников. Регулярно обновляйте операционные системы и программы, используйте актуальную антивирусную защиту. Не оставляйте серверы и системы удаленного доступа открытыми для любых подключений из интернета. Делайте резервные копии бухгалтерских баз, документов и клиентской информации. Они должны храниться так, чтобы вирус не смог уничтожить их вместе с рабочими файлами. Обязательно проверяйте, можно ли восстановить данные из этих копий. Объясните сотрудникам, как распознавать мошеннические письма. Нельзя передавать коды подтверждения посторонним, открывать подозрительные вложения и переводить деньги по неожиданным распоряжениям без дополнительной проверки» — советует Сергей Сергашов.

По словам эксперта, следует проверить сайт и используемые облачные сервисы. Необходимо соблюдать требования к обработке и хранению персональных данных клиентов, в том числе предусмотренные законом правила локализации баз данных. При работе с внешними подрядчиками нужно определить их обязанности по защите информации и проверить предоставленные им доступы.

Обязательно ли для этого нанимать отдельного специалиста?
«Нет. Для начала можно привлечь внешнего ИТ-специалиста, который проверит основные уязвимости, настроит резервное копирование, разграничит доступы и поможет привести работу с персональными данными в соответствие с законом. Главное, не покупать дорогостоящие решения вслепую, а сначала понять, какие риски существуют именно у вашего бизнеса», — отмечает Сергей.

Безопасность начинается не с покупки антивируса

Какой главный совет вы дали бы предпринимателям?
«Не ждать, пока случится первая утечка. Информационная безопасность складывается из вполне конкретных вещей: порядка в доступах, обновления программ, резервных копий, обучения сотрудников и соблюдения закона. Абсолютной защиты не существует. Но можно значительно снизить вероятность атаки, ограничить ее последствия и быстрее восстановить работу компании. В конечном счете речь идет не только о компьютерах, но и о деньгах, репутации и доверии клиентов», — предупреждает эксперт.

На этом разговор о цифровых рисках не заканчивается. REGIONS продолжbn цикл публикаций о цифровых технологиях, которые уже меняют жизнь людей и работу предприятий. В следующих материалах поговорим о цифровизации малого бизнеса, отечественном программном обеспечении, электронном документообороте, защите от мошенников, автоматизации и искусственном интеллекте.

Ранее REGIONS писал о том, что с чего начать и как применять ИИ в бизнесе по мнению эксперта из Серпухова.

/читайте также

Картинка
Интересное

Серпуховский писатель Владимир Голубев представил книгу «Деревянный танк»

Картинка
Интересное

Проект «Герои Подмосковья» собирает истории: автор лучшей получит iPhone