Антивирус держит дверь, а окна настежь: зачем бизнесу управлять уязвимостями
Каждая третья кибератака в России в 2026 году начиналась с того, что кто‑то просто не успел закрыть дыру в своем софте — уязвимость, о которой злоумышленники знали лучше, чем владельцы бизнеса. Среднее время «заплатать» критическую брешь по‑прежнему измеряется неделями, а не днями, тогда как у атакующих на это уходят часы. «Инк» побывал на презентации системы управления уязвимостями, которую «Лаборатория Касперского» уже тестирует на себе и предлагает корпоративным заказчикам, включая малый и средний бизнес.
Главный вход для атак
По данным «Лаборатории Касперского», в 2026 году каждая третья кибератака в России начиналась с эксплуатации уязвимостей — дыр в программном обеспечении, через которые злоумышленники получают доступ к корпоративным системам. В первом полугодии количество обнаруженных уязвимостей выросло еще на четверть по сравнению с аналогичным периодом 2025‑го, а статистика международного справочника CVE (Common Vulnerabilities and Exposures — каталог зарегистрированных уязвимостей с уникальными идентификаторами) показывает: в прошлом году было зафиксировано почти 50 тыс. новых записей.
«Сейчас от нахождения уязвимости до начала ее эксплуатации проходят часы. А среднее время устранения критических уязвимостей по‑прежнему составляет порядка двух месяцев, около 55 дней. Это крайне много, и ситуация действительно тревожная», — говорит технический директор «Лаборатории Касперского» Антон Иванов.
Уязвимости в публично доступных приложениях остаются главным вектором атак: по данным компании, в 2025 году 44% инцидентов начинались именно с них, а на втором месте — эксплуатация уязвимостей через цепочки поставок и подрядчиков.
Уязвимости — понятие круглосуточное
Ситуацию усугубляет появление у злоумышленников «помощников» в виде больших языковых моделей (LLM — те же типы нейросетей, что лежат в основе модных чат‑ботов, только направленные на поиск дыр). Если раньше поиск сложной уязвимости мог занимать у эксперта недели, можно было успеть и отдохнуть в процессе, теперь модели позволяют автоматизировать значительную часть работы, анализируют исходный код, бинарные файлы, конфигурации, что в разы ускоряет процесс.
«Мы сами видим, как меняется процесс, — признается Иванов. — Раньше наши исследователи могли искать одну сложную уязвимость месяцами. Сейчас, комбинируя несколько моделей, они получают кандидатов на уязвимости за часы. Злоумышленники ровно так же используют ИИ, и это один из факторов взрывного роста числа атак через уязвимости. Вопрос уже не в том, найдут ли они брешь, а в том, успеет ли бизнес ее закрыть».
При этом далеко не все компании готовы к системной работе с уязвимостями. По данным внутренних исследований «Касперского», лишь около пятой части организаций, переживших инцидент, переходят к регулярному сканированию инфраструктуры.
ИБ в малом бизнесе не про окупаемость, а про выживаемость
Наибольшие риски приходятся не только на крупные корпорации, но и на тех, кто традиционно не ассоциирует себя с высокотехнологичными целями — сеть магазинов, небольшая логистическая компания, подрядчик по обслуживанию офисов. Именно здесь уязвимости становятся тем самым слабым звеном, через которое злоумышленники заходят в крупные инфраструктуры по цепочке поставок.
Анна Кулашова, вице‑президент «Лаборатории Касперского» по развитию бизнеса в России и СНГ, объясняет:
«Антивирус у вас блокирует те зловреды, которые приходят к вам. Встроенный патч‑менеджмент может поставить обновления. Но вы должны понимать, что именно вы должны пропатчить и в какой приоритетной последовательности».
По ее словам, управлять уязвимостями (то есть регулярно сканировать инфраструктуру, выявлять слабые места и приоритизировать их устранение) могут и обычные ИТ‑специалисты.
«Не у всех есть отдельная команда информационной безопасности, и это нормально. Но при этом крупные заказчики начинают включать в договоры вполне конкретные требования к уровню защищенности подрядчиков. Для малого бизнеса это часто не про окупаемость, это про выживаемость: выполните вы эти требования — останетесь в цепочке, нет — контракт уйдет к более защищенному конкуренту», — говорит Кулашова.
От «антивируса плюс патчи» к управлению уязвимостями как процессу
«Лаборатория» представила Kaspersky Vulnerability Management — систему, которая должна встроиться в уже существующую инфраструктуру клиентов и помочь сделать управление уязвимостями регулярной практикой, а не разовым проектом «для галочки». По сути, это надстройка над привычной связкой «антивирус + обновления», которая отвечает на вопрос «что именно и в какой последовательности надо закрывать, чтобы снизить риск атаки».
Важный элемент, по словам разработчиков — приоритизация, когда система не только фиксирует, что «где‑то есть дырка», но и учитывает тренды угроз, статистику эксплуатации похожих уязвимостей и контекст конкретной инфраструктуры, чтобы подсказать, за что стоит браться в первую очередь.
При этом Kaspersky VM опирается на уже существующие агенты защиты конечных устройств. Для бизнеса это означает, что внедрение не превращается в отдельный инфраструктурный проект с новым парком серверов и администрированием. Кроме того, система опирается на профили ФСТЭК, Банк данных уязвимостей (БДУ) и набор из более чем 600 правил для оценки соответствия стандартам и регуляторике. Это поможет не только искать технические дыры, но и готовиться к проверкам
Пилоты, импортозамещение и планы
Коммерческому запуску продукта предшествовали пилоты в собственной инфраструктуре компании и у партнеров‑интеграторов.
«Мы решили, что сначала должны честно обкатать продукт на себе: у нас более 100 тыс. единиц оборудования, тысячи разработчиков, несколько дата‑центров и облаков. Это отличный полигон для того, чтобы понять, как приоритизировать патчи и не положить половину инфраструктуры в попытке дотянуться до идеала», — рассказывает Антон Иванов.
Мария Погребняк, старший менеджер по развитию бизнеса «Лаборатории Касперского», рассказала «Инку», что бета-версию Kaspersky VM, вышедшую еще в декабре 2025 года, протестировали более десятка ИБ-интеграторов. Одни из первых были «Инфосистемы Джет», которые проверили функционал в своей лаборатории сравнения решений и публично поделились результатами. Также поделилась, что в числе первых планируемых проектов есть заказчик с очень большой инфраструктурой.
«Особенно порадовало по итогу пилотов, что партнеры смогли самостоятельно установить и настроить решение, не привлекая наших инженеров. Это еще раз подтверждает, что простота внедрения — наше большое преимущество. Конечно, нам еще не хватает публичных кейсов с заказчиками, где можно показать, как решение повлияло на время устранения уязвимостей и в целом, упростило процесс, но это вопрос ближайшего будущего», — добавила она.
Отдельной темой остается импортозамещение и «зоопарк» отечественных операционных систем и приложений. Отвечая на вопрос о готовности поддерживать множество российских дистрибутивов Linux и прикладных систем, Анна Кулашова отметила, что у компании уже десятки сертификатов совместимости с отечественными ОС, и для российского рынка это критически важно, поскольку «все идут в импортозамещение» и без поддержки этого стека говорить о полном покрытии инфраструктуры бессмысленно.
Что это значит для бизнеса
Предпринимателям необходимо для себя решить, готовы ли они хотя бы честно видеть, где ИБ дыры и какие из них могут остановить бизнес, прежде чем об этом узнают злоумышленники, подрядчики или проверяющие.
Управление уязвимостями в этом смысле становится рутиной того же порядка, что бухгалтерская отчетность или налоговая декларация. Можно ее игнорировать, как можно не сдавать отчеты и не платить налоги, — какое‑то время повезет. Но здесь возникает еще один уровень проблем: либо вы знаете, в каком состоянии ваша инфраструктура и где она тонка, либо за вас это выяснят другие, и обязательно в самый неудобный момент.
Подпишитесь на «Инк» в Telegram. Там мы пишем нескучным языком о самом важном для предпринимателей. Подписаться.
