Информационная безопасность — это набор правил и инструментов, который не даёт посторонним увести деньги со счёта, базу клиентов и доступы к вашим сервисам, а вам самим — потерять документы. Малому бизнесу для этого не нужен отдел из пяти человек: хватает пяти-шести мер и одного ответственного. С чего начать — видно в рейтинге сервисов информационной безопасности.
Короткий ответ
Информационная безопасность (ИБ) — это состояние, при котором ваша информация остаётся конфиденциальной, целостной и доступной, плюс набор мер, который это состояние удерживает. Определение из ГОСТ Р 50922-2006 звучит суше, но смысл тот же: посторонний не прочитал, никто не подменил, вы сами открыли файл, когда он понадобился. Данные на месте и под контролем. Защищают при этом не только серверы: бумажный договор в незапертом шкафу — такой же объект защиты, как база в облаке.
Для компании до 100 человек информационная безопасность — не проект на год и не отдельный отдел. Это шесть-семь решений, которые принимают один раз. Кто имеет доступ к деньгам и базе клиентов. Где хранятся пароли и как сотрудники входят в сервисы. Откуда берутся резервные копии — второй экземпляр данных, который лежит отдельно от рабочего. Что происходит с доступами уволенного и кто отвечает за инцидент. Технику подтягивают под эти решения, а не наоборот.
Ниже — что защищать в первую очередь, сколько это стоит в рублях за год и кто отвечает, если штатного специалиста нет. Инструменты мы сравнили в подборке сервисов информационной безопасности.
| Ваш случай | С чего начать | Почему |
|---|---|---|
| ИП или команда до 10 человек, всё в облаке | Kaspersky Small Office Security и второй фактор на почту и банк | Закрывает устройства и вход за один вечер, без администратора |
| 10–50 человек, клиентская база в CRM — программе учёта клиентов | Разграничение прав в CRM плюс Multifactor | Большинство утечек начинается с чужого входа под паролем сотрудника |
| Общие пароли от 20 и более сервисов | Корпоративный сейф паролей Пассворк | Пароли в переписке и заметках переживают увольнение сотрудника |
| 50+ человек, есть риск утечки изнутри | Staffcop Enterprise или СёрчИнформ КИБ | Контроль каналов и расследование инцидентов без корпоративного бюджета |
| Госсектор, критическая инфраструктура, много персональных данных | Контур.Эгида, UserGate NGFW, Solar Dozor | Нужны сертифицированные средства и защита периметра |
1. Что именно защищаем: четыре группы активов
У малого бизнеса нет «информационных активов» в отчётности, зато есть четыре вещи, потеря которых ощущается сразу. Первая — деньги: доступ к банк-клиенту, зарплатному проекту и корпоративной карте. Вторая — данные клиентов: телефоны, адреса, паспорта, история заказов; всё это персональные данные, и за них отвечает 152-ФЗ. Что именно попадает под определение, мы разбирали в статье что такое персональные данные.
Третья группа — доступы: логины и пароли к почте, домену, сайту, CRM, расчётному счёту и кабинетам маркетплейсов. Она опаснее остальных, потому что один украденный доступ открывает и деньги, и данные разом. Четвёртая — документы: договоры, сметы, себестоимость, база поставщиков, всё, что в суде называется коммерческой тайной. Часть их живёт в системе электронного документооборота, часть — в кадровом контуре КЭДО, а часть до сих пор лежит в папке «Общая» на сетевом диске.
Полезное упражнение: против каждой группы напишите, что произойдёт, если она пропадёт на три дня и если её увидит конкурент. Обычно выясняется, что для базы клиентов страшнее огласка, а для документов — потеря, и меры к ним нужны разные.
- Деньги — второй фактор на вход в банк и лимит на платёж без подтверждения
- Клиенты — ограничение прав в CRM и запрет выгрузки базы в файл
- Доступы — корпоративный сейф паролей вместо переписки в мессенджере
- Документы — резервная копия и режим коммерческой тайны на бумаге
- Устройства — антивирус и шифрование дисков: без пароля файлы с ноутбука не прочитать
2. Три составляющие: конфиденциальность, целостность, доступность
Классическая триада выглядит академично, пока её не перевести на бытовые примеры. Конфиденциальность — свойство информации быть закрытой от тех, кому она не адресована. Нарушение: менеджер выгрузил базу из CRM на флешку перед уходом к конкуренту. Никто ничего не сломал, файлы на месте, но защита рухнула.
Целостность — гарантия, что данные не изменились без вашего ведома. Нарушение: в реквизитах поставщика в шаблоне договора кто-то поменял номер счёта, и три платежа ушли не туда. Здесь информация доступна и конфиденциальна, но ей нельзя верить, а это часто дороже утечки. Классический приём — подмена реквизитов в письме. Это фишинг: поддельное письмо от имени знакомого контрагента или коллеги.
Доступность — возможность получить данные, когда они нужны. Нарушение: шифровальщик — программа, которая делает файлы нечитаемыми и требует выкуп, — закрыл сетевой диск, и отдел продаж третий день не видит договоров. Данные никуда не ушли и не изменились, но бизнес стоит. Именно доступность чаще всего страдает у малых компаний, и лечится она резервными копиями, а не антивирусом.
| Свойство | Что означает | Типовое нарушение | Базовая мера |
|---|---|---|---|
| Конфиденциальность | Видит только тот, кому положено | Выгрузка базы клиентов при увольнении | Права по ролям, запрет экспорта |
| Целостность | Данные не изменены незаметно | Подмена реквизитов в договоре | Электронная подпись, история версий |
| Доступность | Данные под рукой в нужный момент | Шифровальщик или отказ диска | Резервные копии по правилу 3-2-1 |
3. Типовые угрозы для компании до 100 человек
Угрозы малого бизнеса скучнее, чем в новостях, и оттого результативнее. На первом месте — фишинг: письмо «акт сверки во вложении», сотрудник открывает файл, и в компании появляется чужой. На втором — подбор и повторное использование паролей: один и тот же пароль от почты и от кабинета маркетплейса означает, что утечка на стороннем сервисе становится вашей проблемой.
Третья угроза — вредоносные программы, прежде всего шифровальщики. Они не выбирают жертву по размеру: небольшой компании часто восстанавливаться дольше, потому что резервных копий нет либо они лежат на том же сервере. Четвёртая — внутренние угрозы: уволенный менеджер с действующим доступом, подрядчик с правами администратора, бухгалтер, отправивший таблицу с зарплатами не в тот чат. По нашему опыту работы с сервисами категории именно доступы уволенных остаются самой частой незакрытой дырой.
Пятая — потеря устройства. Ноутбук с незашифрованным диском и сохранёнными сессиями в браузере отдаёт злоумышленнику всё сразу. Технические стороны атак подробнее разобраны в материале что такое кибербезопасность; здесь важнее другое. Все пять сценариев в первую очередь закрываются порядком в компании и только потом покупкой программ.
Kaspersky Small Office Security 8.7/10
Малому бизнесу без IT-отдела, до 25 рабочих мест, кому нужна защита «поставил и забыл».
4. Базовый набор мер и сколько он стоит
Минимальный контур для команды до 25 рабочих мест собирается из пяти мер. Антивирус с централизованной консолью — Kaspersky Small Office Security стоит от 6 739 ₽ в год за 5 устройств, есть триал 30 дней, лимит — 25 сотрудников (по данным te9 на сентябрь 2026). Второй фактор на вход — Multifactor бесплатен до 3 пользователей, дальше цена считается по числу лицензий. Поддержка по инцидентам работает круглосуточно, а SLA 99,99 % — это записанное в договоре обещание, что сервис почти всегда на связи.
Сейф паролей нужен раньше, чем кажется: как только в компании больше десяти общих учётных записей, пароли начинают жить в переписке. Пассворк ставится на ваш собственный сервер и шифрует хранилище по алгоритму AES-256 или по ГОСТ. Есть версия с сертификатом ФСТЭК — это государственный регулятор в области защиты информации — по 4 уровню доверия. Резервные копии делают по правилу 3-2-1: три копии, два разных носителя, одна вне офиса. Восстановление проверяют раз в квартал, иначе копия существует только на бумаге.
Пятая мера — регламент на 2 страницы: кто выдаёт и отзывает доступы, что делать при подозрительном письме, куда звонить ночью. Он бесплатен и работает лучше половины купленного софта.
| Мера | Что закрывает | Порядок цены за год |
|---|---|---|
| Антивирус на 5 устройств | Вредоносные программы, шифровальщики | от 6 739 ₽ |
| Второй фактор входа | Кражу пароля и вход под чужой учётной записью | 0 ₽ до 3 пользователей, далее по расчёту |
| Корпоративный сейф паролей | Пароли в переписке и заметках | по запросу, лицензия на пользователя |
| Резервные копии в облаке | Потерю данных и простой | от 3 000 ₽ за терабайт |
| Регламент и инструктаж | Ошибки сотрудников | 0 ₽, 4 часа рабочего времени |
Multifactor 8.5/10
Компаниям с удалённым доступом и требованиями к compliance — за российской MFA.
5. Кто отвечает, если штатного специалиста нет
В компании до 100 человек отдельный специалист по ИБ обычно не окупается. Работает другая схема: ответственность закрепляют приказом за конкретным человеком — чаще за руководителем или финансовым директором, а не за «айтишником на подряде». Владелец решения должен иметь право сказать «нет» на просьбу дать всем полный доступ, а у приходящего администратора такого права нет.
Технические задачи делят на три части. Настройка и обновления — на системном администраторе или подрядчике, с прописанным в договоре временем реакции. Выдача и отзыв доступов — на руководителе подразделения, который единственный точно знает, кто у него работает сегодня. Реакция на инцидент — на назначенном ответственном, у которого есть телефоны банка, хостинга и подрядчика в одном файле.
Отдельно фиксируют роль ответственного за обработку персональных данных: 152-ФЗ прямо требует назначить такое лицо в организации приказом. По совместительству это может быть тот же человек, но приказ должен существовать — при проверке спрашивают именно бумагу.
6. Что требует закон: 152-ФЗ и коммерческая тайна
Три закона касаются почти любой компании. 149-ФЗ «Об информации, информационных технологиях и о защите информации» задаёт общие правила обращения с информацией. 152-ФЗ «О персональных данных» требует уведомить Роскомнадзор о намерении обрабатывать данные до начала обработки, взять согласия, назначить ответственного и принять меры защиты. 98-ФЗ «О коммерческой тайне» позволяет защитить внутреннюю информацию, но только если режим введён формально.
Штрафы за утечку выросли с 30 мая 2025 года и считаются по числу пострадавших. Утечка данных 1 000–10 000 субъектов — от 3 до 5 млн ₽, 10 000–100 000 — от 5 до 10 млн ₽, свыше 100 000 — от 10 до 15 млн ₽. Столько же грозит за утечку специальных категорий, например сведений о здоровье. За утечку биометрии — отпечатков пальцев, снимков лица, образцов голоса — от 15 до 20 млн ₽. При повторном нарушении применяется оборотный штраф 1–3 % годовой выручки: не менее 20 млн и не более 500 млн ₽. По примечанию к ст. 13.11 КоАП предприниматели отвечают как юридические лица, так что «я же просто ИП» здесь не аргумент. Отдельно наказывают за формальности: не опубликованная на сайте политика обработки персональных данных — от 30 000 до 60 000 ₽, неподанное уведомление в Роскомнадзор — от 100 до 300 тыс. ₽ юрлицу.
Режим коммерческой тайны по 98-ФЗ работает только при выполнении четырёх шагов: утверждён перечень сведений, введено положение приказом, сотрудники ознакомлены под подпись, на носителях стоит гриф. Без любого из них суд не признает информацию охраняемой, и взыскать ущерб с бывшего сотрудника не выйдет — это самая частая ошибка в спорах о переманивании клиентской базы.
Пассворк 8.2/10
Корпоративный менеджер паролей: общие сейфы, ролевой доступ, аудит, on-premise, шифрование по ГОСТ и версия с сертификатом ФСТЭК.
7. Что делать после инцидента: первые трое суток
План на случай инцидента пишут заранее, потому что в момент события думать некогда. Первый шаг — изолировать: отключить заражённую машину от сети, сменить пароли к затронутым сервисам, отозвать активные сессии. Второй — сохранить следы: не переустанавливать систему, снять образ диска и выгрузить журналы, иначе расследование потом не на чем будет строить.
Третий шаг обязателен по закону. При утечке персональных данных 152-ФЗ отводит 24 часа на уведомление Роскомнадзора о факте инцидента и 72 часа на сообщение о результатах внутреннего расследования. Если пострадали деньги — параллельно звонок в банк и заявление в полицию; чем быстрее, тем выше шанс остановить перевод. Четвёртый шаг — уведомить клиентов, если их данные затронуты: молчание в этой ситуации обходится дороже.
Пятый шаг делают через неделю, когда всё улеглось: разбор без поиска виноватого. Важно понять, какая именно мера отсутствовала, и закрыть её — иначе тот же сценарий повторится через полгода. Журнал инцидентов помогает не покупать лишнее: через год-другой по нему видно, каких мер вам действительно не хватает.
8. Бюджет на год: команда 10 и 50 человек
Считаем прямой денежный минимум, без стоимости рабочего времени. Для команды из 10 человек считаем по частям. Антивирус на 10 устройств — это два комплекта по 6 739 ₽, около 13 500 ₽ в год. Второй фактор для 3 пользователей — 0 ₽, для остальных цену считают по коммерческому предложению. Облачное место под резервные копии — порядка 3–6 тыс. ₽ в год. Итого стартовый контур укладывается примерно в 17–20 тыс. ₽ в год плюс 8–10 часов работы администратора.
Для 50 человек арифметика меняется качественно. Kaspersky Small Office Security упирается в лимит 25 мест, поэтому нужен класс выше с централизованным управлением. Появляется внутренний контроль: Staffcop Enterprise стоит от 9 300 ₽ за ПК при минимальной закупке 20 лицензий, то есть от 186 тыс. ₽ на 20 машин и от 465 тыс. ₽ на 50 (по данным te9 на сентябрь 2026, есть триал 15 дней на 5 агентов). Добавляется сейф паролей и, если сотрудники подключаются извне, корпоративная многофакторная аутентификация (MFA) — единая система входа сразу во все рабочие сервисы.
| Статья | 10 человек | 50 человек |
|---|---|---|
| Защита устройств | около 13 500 ₽ в год | решение с консолью, по расчёту |
| Второй фактор входа | 0 ₽ до 3 пользователей | корпоративная лицензия по запросу |
| Сейф паролей | по запросу | по запросу, лицензия на пользователя |
| Внутренний контроль | не нужен | от 186 тыс. ₽ за 20 лицензий |
| Резервные копии | 3–6 тыс. ₽ в год | 15–30 тыс. ₽ в год |
Ориентир: у команды из 10 человек защита стоит меньше одной средней зарплаты в год, у команды из 50 — сопоставима с месячным фондом оплаты труда одного отдела. Сравните это с нижней границей штрафа за утечку в 3 млн ₽, и приоритет становится очевидным.
9. Частые ошибки малого бизнеса
Ошибка первая — общий пароль от почты компании, который знают шесть человек и один уволенный. Цена: перехват переписки с поставщиками и подменённые реквизиты — обычно теряется сумма одного-двух платежей. Лечится сейфом паролей и персональными учётными записями за 1 день.
Ошибка вторая — резервная копия на том же сервере, где боевые данные. Шифровальщик забирает и то и другое, восстановление занимает 3–7 дней простоя. Ошибка третья — доступы уволенных, которые никто не отзывает: проверьте прямо сейчас, сколько бывших сотрудников ещё видят вашу CRM и корпоративную почту.
Ошибка четвёртая — согласия на обработку персональных данных «когда-нибудь потом» и неподанное уведомление в Роскомнадзор: от 100 до 300 тыс. ₽ штрафа юрлицу, при том что подача занимает 30 минут. Ошибка пятая — режим коммерческой тайны без приказа и грифов: информация формально не охраняется, и суд откажет во взыскании. Ошибка шестая — покупка DLP-системы вместо базовых мер. DLP — это программа, которая следит за пересылкой файлов и писем и не даёт вынести данные наружу. Без отдельного специалиста она превращается в неработающий журнал событий и потраченный бюджет.
10. Что делать дальше
Начните с бесплатной части: она даёт основной эффект и не требует согласования бюджета. Затем добавляйте инструменты по мере роста команды, сверяясь с рейтингом решений для защиты информации и карточками сервисов в каталоге компаний.
- Составьте карту доступов: сервис, кто имеет доступ, кто выдаёт
- Включите второй фактор на почту, банк и расчётный счёт — как это работает, разобрано в статье про двухфакторную аутентификацию
- Настройте резервные копии по правилу 3-2-1 и проверьте восстановление
- Издайте приказ об ответственном за персональные данные и подайте уведомление в Роскомнадзор
- Выберите антивирус и сейф паролей в подборке сервисов информационной безопасности, а документы переведите в ЭДО с разграничением прав
Информационная безопасность в компании до 100 человек — это дисциплина, а не бюджет. Один ответственный, пять мер и квартальная проверка закрывают большинство сценариев, из-за которых малый бизнес теряет деньги и клиентов.
