9% компаний в РФ не знают числа подрядчиков: финансовый ущерб от атак через партнеров вырос до 61%

Исследование «Лаборатории Касперского», представленное на ПМЭФ-2026, фиксирует критический разрыв в управлении рисками: 9% российских компаний не знают точного количества своих поставщиков и подрядчиков. В среднем одна организация взаимодействует с 67 поставщиками ПО и 99 подрядчиками, имеющими доступ к системам, при этом лишь 8% бизнеса удовлетворены текущим уровнем защиты цепочки поставок. Финансовый ущерб от атак через партнеров стал главным страхом для 61% респондентов, что выше мирового показателя в 48%.

Состояние видимости и контроля

Данные опроса выявляют системную проблему «слепых зон» в инфраструктуре бизнеса. Компании теряют контроль над периметром безопасности из-за масштабной зависимости от внешних партнеров.

• Уровень неопределенности: 9% организаций в России не могут назвать точное число контрагентов. Для сравнения, на глобальном рынке этот показатель составляет 6%.
• Масштаб взаимодействия: Типичная российская компания обслуживает связи с 67 поставщиками программного обеспечения и 99 подрядчиками.
• Дефицит инструментов: 45% респондентов указывают на нехватку решений для контроля кибербезопасности партнеров. Этот показатель значительно превышает мировой уровень в 31%.

Важный нюанс: Отсутствие полной инвентаризации подрядчиков создает ситуацию, когда компания не может оценить реальный объем своих рисков, так как не знает, сколько именно точек входа доступно злоумышленникам.

Оценка угроз и реакция рынка

Бизнес осознает высокую вероятность атак через доверенные связи, однако уровень воспринимаемой уязвимости в России выше, чем в мире. 38% российских компаний оценивают свои риски как значительные (против 26% глобально). При этом 92% организаций признают необходимость совершенствования защиты, а 18% считают, что требуются фундаментальные изменения в подходах. Структура ожидаемых последствий атак в РФ имеет свою специфику:

• Финансовый ущерб: 61% (мировой уровень — 48%).
• Операционные нарушения: 49% (мировой уровень — 52%).
• Кража интеллектуальной собственности: 44% (мировой уровень — 33%).

Мировая практика показывает, что компании, уже пострадавшие от атак, активнее внедряют проверки: 56% требуют результаты тестирования на проникновение, а 53% анализируют политики безопасности цепочек поставок у партнеров.

Стоит учесть: Российский рынок демонстрирует более высокую тревожность по поводу финансовых потерь, чем глобальный, что указывает на приоритет защиты ликвидных активов перед операционной непрерывностью в текущих условиях.

Механизмы снижения рисков

Эксперты предлагают комплекс мер, смещающий фокус с реактивного реагирования на превентивный контроль на этапе выбора контрагента. Ответственность за безопасность перестает быть задачей только отдела ИБ и становится критерием коммерческой сделки.

• Аудит до заключения контракта: Проверка политик безопасности, истории инцидентов и соответствия стандартам у вендоров ПО.
• Юридическое закрепление: Включение требований по кибербезопасности, регулярным аудитам и протоколам оповещения о инцидентах в договоры.
• Технологическая изоляция: Внедрение принципа наименьших привилегий и модели нулевого доверия для ограничения доступа подрядчиков.
• Финансовая модель: 100% компаний, не разделяющих расходы на безопасность с подрядчиками, готовы к этому. В 20% организаций такая практика уже реализована.

На фоне этого: Ответственность за управление рисками должна начинаться на этапе тендера, где критерии кибербезопасности становятся блокирующим фактором для выбора любого контрагента с доступом к инфраструктуре.

Рекомендации для бизнеса

Для минимизации ущерба от компрометации цепочек поставок рекомендуется внедрить следующие практики:

1. Проверка вендоров: Оценивать уязвимости и проводить пентесты перед интеграцией ПО и облачных сервисов.
2. План реагирования: Разработать сценарии действий при атаке через поставщика, включая возможность быстрого отключения доступа.
3. Обучение персонала: Проводить тренинги по цифровой грамотности для защиты от социальной инженерии и фишинга.
4. Лицензионное ПО: Использовать только легальный софт с регулярными обновлениями.
5. Защита инфраструктуры: Для среднего и крупного бизнеса — внедрение платформ многоуровневой защиты (например, Kaspersky Symphony XDR), для малого бизнеса — установка специализированных решений (Kaspersky Small Office Security).