ФСТЭК: 47% организаций в России не защищены от киберугроз

Согласно оценке ФСТЭК России, 47% из 170 организаций, относящихся к критически важной информационной инфраструктуре (КИИ), находятся в критическом состоянии защиты от киберугроз. Еще у 40% организаций уровень защищенности низкий, и только у 13% установлен минимальный базовый уровень защиты, сообщил заместитель директора службы Виталий Лютиков 12 февраля на «ТБ Форум 2025».

Регулятор отметил, что у 100 работающих государственных информационных систем (ГИС) выявлено 1,2 тысячи уязвимостей, большая часть которых относится к высоким и критическим уровням опасности. По словам Лютикова, некоторые из них известны регуляторам уже несколько лет. Эксперты подтверждают, что многие компании не закрывают уязвимости на протяжении долгого времени, создавая лазейки для злоумышленников. Хакеры могут годами оставаться незамеченными в сети, планируя атаки.

Специалисты подчеркивают, что устранить все уязвимости практически невозможно, но важно правильно их приоритизировать. В первую очередь должны устраняться те, которые наиболее активно используются злоумышленниками или с высокой долей вероятности будут использованы. Устранение уязвимостей требует технологических окон, то есть временной остановки работы системы, что затруднительно для круглосуточных сервисов. При этом установка всех обновлений одновременно неэффективна.

Что касается государственных информационных систем, у их владельцев часто отсутствует четко выстроенный процесс работы с уязвимостями: методика их обнаружения и устранения, понимание периодичности проверки. Замдиректора ФСТЭК Виталий Лютиков назвал типовыми недостатками в защите КИИ среди прочего отсутствие двухфакторной аутентификации и критические уязвимости на периметре IT-инфраструктур.

Финансовый сектор России отчитывается о значительном устранении уязвимостей внешнего контура. Однако одной из ключевых проблем для банков остается рост числа DDoS-атак. Хотя системы банков остаются доступными, критическое падение скорости каналов передачи данных делает их фактически невидимыми для пользователей. В связи с этим дорогостоящее закрытие внутренних уязвимостей, которые в целом недоступны извне, не является первоочередной задачей.