Российский бизнес все сильнее зависит от цифровой инфраструктуры, но привычный подход к оценке защищенности до сих пор часто строится вокруг отдельных систем и отдельных уязвимостей. Нашли проблему, присвоили ей критичность, исправили и закрыли задачу. В реальной атаке эта логика работает хуже. Злоумышленник не ограничивается одной системой и не оценивает уязвимости по отдельности. Он ищет путь от первой точки входа к данным, деньгам или процессу, который имеет ценность для бизнеса. Поэтому вопрос сегодня не только в том, насколько защищено конкретное приложение, а в том, можно ли через него добраться до критичного процесса компании.

Чем больше операций компания переводит в цифровой контур, тем больше систем участвует в одном бизнес-процессе.

Особенно хорошо это видно в финансовой отрасли. По данным совместного исследования Positive Technologies и Ассоциации ФинТех, 87% платежей в России приходится на безналичную форму.

При этом за одной платежной операцией может стоять целая цепочка: мобильное приложение, личный кабинет, API, процессинг, банковская инфраструктура, антифрод-системы, программы лояльности и внешние подрядчики.

У ритейла к этому добавляются товарный учет, логистика, возвраты, CRM и сервисы доставки. У финтех-компаний к ним прибавляются интеграции с банками, платежными системами и другими внешними платформами. Чем больше таких связей, тем больше вариантов для развития атаки.

На этом фоне растет и интенсивность самих угроз. По данным "Лаборатории Касперского", количество обнаруженных и предотвращенных ИБ-инцидентов в российских организациях в I квартале 2026 года выросло на 68% по сравнению с аналогичным периодом 2025 года. Число атак с эксплуатацией уязвимостей увеличилось на 39%.

При этом атакующие все чаще используют не основной сервис компании, а менее очевидные точки входа. Это может быть подрядчик, вспомогательное приложение, старая учетная запись, неверно настроенный доступ или один из стыков между системами.

Банк России также отмечал, что заражения программами-шифровальщиками финансовых организаций в 2025 году чаще всего происходили через подрядчиков.

То есть проблема уже давно не сводится к защите внешнего периметра. Чем сложнее цифровая инфраструктура, тем важнее понимать, как связаны между собой ее отдельные элементы и что произойдет, если один из них будет скомпрометирован.

За январь-май 2026 года специалисты по тестированию на проникновение компаний Compliance Control & Rakasta выявили при тестировании банков, компаний финансового сектора, ритейла и маркетплейсов 1 341 уязвимость. 29,3% из них относились к высокому и критическому уровню.

Среди характерных находок были ошибки авторизации и контроля доступа, некорректные настройки безопасности, использование компонентов с известными уязвимостями, стандартные учетные данные и простые словарные пароли.

Но само количество таких находок мало говорит о реальном уровне защищенности компании.

Для технической оценки часто используется CVSS. Эта система позволяет определить критичность уязвимости по набору параметров, но не учитывает контекст конкретного бизнеса. Один и тот же дефект может находиться в изолированной системе и почти не влиять на работу компании. А может стать первым шагом к клиентским данным, платежной инфраструктуре или внутреннему контуру.

На одном из наших проектов специалисты проводили внешний пентест производственного предприятия. В открытом доступе обнаружился интерфейс управления системой видеонаблюдения. В ходе проверки удалось получить доступ к камерам производственных площадок, административных и серверных помещений, складов, а также к микрофонам.

На первый взгляд речь идет об уязвимости одной системы. Но ее последствия уже затрагивали физическую безопасность, конфиденциальность переговоров и внутренние процессы предприятия. Потенциальный злоумышленник мог наблюдать за объектами, прослушивать разговоры и удалять архивные записи.

Поэтому вопрос должен звучать не только "насколько критична найденная уязвимость?", но и "куда через нее можно попасть и что получить?".

Автоматизированные сканеры необходимы для постоянного контроля инфраструктуры. Они позволяют быстро находить известные технические проблемы в большом количестве систем.

Но они не всегда способны понять бизнес-логику сервиса.

Во время тестирования заказчика из сфера ритейла специалисты Compliance Control прошли полный клиентский путь: выбор товара, оформление заказа, доставку или самовывоз, оплату и получение покупки. На одном из последних этапов покупателю предлагалось оставить отзыв.

Ссылка содержала последовательный номер. Если изменить его, можно было получить доступ к данным других покупателей.

Чтобы найти такую проблему, недостаточно было просканировать страницу или проверить отдельный URL. Нужно было пройти весь сценарий и понять, как сервис связывает пользователя с конкретным заказом.

Именно поэтому тестирование на проникновение важно не только как способ найти технические дефекты. Его задача шире: проверить, можно ли использовать найденные слабости последовательно и насколько далеко получится пройти после первого доступа.

Одна проблема может дать обычную учетную запись. Следующая позволит перейти в другой сегмент сети. Некорректно настроенные права откроют доступ к более важной системе. В результате несколько уязвимостей средней критичности могут сложиться в один критический сценарий.

Это подтверждают и данные BI.ZONE. Компания проанализировала более ста проектов по пентесту, AppSec и Red Team за период с июля 2025 года по июль 2026 года. В 93% случаев специалистам удалось проникнуть во внутренний периметр организаций, а в 85% полностью достичь поставленной цели. При этом только 26% из более чем 820 обнаруженных уязвимостей относились к высоким и критическим.

Получается, что количество уязвимостей само по себе почти ничего не говорит о реальном риске.

Отсюда меняется и логика оценки безопасности. Начинать нужно не с выбора инструмента проверки и даже не с перечня приложений. Сначала компания должна определить, какие процессы для нее действительно критичны.

Для банка это платежи, дистанционное обслуживание и клиентские данные. Для ритейлера это прием оплаты, интернет-магазин, программа лояльности, товарный учет и логистика. Для финтех-компании это API, процессинг и интеграции с банками и внешними сервисами.

После этого нужно разложить каждый процесс на цифровую цепочку. Если речь идет об интернет-магазине, недостаточно проверить только сайт. В одной покупке могут участвовать личный кабинет клиента, платежный шлюз, CRM, система управления заказами, программа лояльности, API службы доставки и инфраструктура подрядчика.

Если хотя бы одно из этих звеньев становится точкой входа, атакующий может использовать его для движения дальше.

Поэтому зрелая оценка защищенности должна отвечать сразу на несколько вопросов: какие системы участвуют в критичном процессе, как они связаны между собой, какие учетные записи используются, кто из подрядчиков имеет доступ и что произойдет после компрометации каждого из звеньев.

Только после этого становится понятно, где действительно высокий риск, а где техническая уязвимость не приводит к серьезным последствиям.

Особенно важно учитывать внешние связи. В обзоре за 2024 год Банк России отмечал, что атаки на финансовые организации становятся более многоэтапными, а злоумышленники все чаще пытаются получить доступ к инфраструктуре через поставщиков.

В 2025 году регулятор уже фиксировал, что заражения шифровальщиками чаще всего происходили через подрядчиков. Поэтому проверять только собственный внешний периметр недостаточно. Нужно видеть всю цепочку, по которой атакующий потенциально может приблизиться к критичному ресурсу.

Еще одна ошибка заключается в том, что работа с уязвимостью заканчивается после исправления. На практике важно проверить, действительно ли после изменений путь атаки закрыт.

Причем исправление не всегда означает установку патча. Иногда проблема решается настройкой прав доступа, сетевой сегментацией, изменением конфигурации или отказом от устаревшего протокола.

Показательный пример произошел в начале 2026 года, когда специалисты исследовательского центра Compliance Control обнаружили новый вектор принудительной NTLM-аутентификации EvilPrinter.

В определенных сценариях он мог привести к утечке NTLMv2-хэша машинной учетной записи на произвольный IP-адрес в интернете. Информацию передали Microsoft, однако механизм не получил отдельного статуса уязвимости. Разработчик рекомендовал снижать риск за счет корректной настройки LDAP и дополнительных средств защиты.

Этот случай хорошо показывает ограниченность подхода "нашли CVE, установили обновление, закрыли задачу". Иногда отдельного патча нет, а риск все равно остается.

Поэтому управление уязвимостями должно быть постоянным процессом. Компания должна понимать, какие активы у нее есть, регулярно проводить сканирование, проверять реальные сценарии эксплуатации, устранять найденные проблемы и делать ретест.

После этого цикл начинается снова, потому что инфраструктура постоянно меняется. Появляются новые сервисы, API, подрядчики, учетные записи и интеграции.

Есть несколько признаков, которые должны насторожить компанию:

• критичный бизнес-процесс невозможно описать от начала до конца с указанием всех систем и подрядчиков;

• приложения проверяются по отдельности, но никто не оценивает возможность перехода между ними;

• приоритет исправлений определяется только техническим баллом уязвимости;

• после устранения проблемы не проводится повторная проверка;

• пентест проходит раз в год, хотя инфраструктура и интеграции меняются значительно чаще.

Но самый показательный критерий еще проще. После проверки руководство часто спрашивает: "Сколько уязвимостей нашли?" Этот вопрос удобен, но почти ничего не говорит о реальной защищенности.

Гораздо важнее спросить: "Если злоумышленник воспользуется первой найденной слабостью, насколько далеко он сможет пройти и где мы его остановим?"