Нарушения кибербезопасности — уже не проблема одних лишь крупных технологических компаний. Согласно исследованию об использовании информационных технологий на предприятиях, которое TÜİK (Турецкий статистический институт) опубликовал 10 сентября 2026 года, среди предприятий с числом работников не менее 10 человек 9,4% заявили, что в 2025 году пережили хотя бы одно нарушение безопасности информационно-коммуникационных технологий (ИКТ). Примерно каждая десятая компания.
В тот же период изменились и правовые рамки. Закон о кибербезопасности № 7545 (Siber Güvenlik Kanunu), вступивший в силу с момента публикации в Resmî Gazete (Официальная газета Турции) 19 марта 2025 года, содержит обязанность, связанную с уведомлением о киберинцидентах. В этой статье мы сначала рассматриваем цифры, затем — то, что об этом говорит текст закона, и, наконец, шаги, которые можно предпринять в момент инцидента, — через призму международного фреймворка.
Что говорят цифры?
По данным TÜİK, доля предприятий, принявших какие-либо меры безопасности в ИКТ-системах, выросла с 76,0% в 2024 году до 83,0% в 2026 году. С ростом масштаба эта доля увеличивается: на предприятиях с 10–49 работниками она составляет 81,2%, с 50–249 — 90,5%, с 250 и более — 97,2% (TÜİK).
Однако принятие мер не сводит число нарушений к нулю. Доля заявивших, что в 2025 году пережили хотя бы одно нарушение, составила 9,3% среди предприятий с 10–49 работниками, 10,2% — с 50–249 и 8,4% — с 250 и более. Хотя почти все крупные компании приняли меры, примерно каждая двенадцатая из них всё же сообщила о нарушении.
Если посмотреть на виды нарушений, картина становится конкретнее (TÜİK):
- 6,4% предприятий не смогли получить доступ к ИКТ-услугам из-за атак извне.
- 5,6% пережили потерю или повреждение данных из-за вредоносного ПО либо несанкционированного доступа.
- 5,3% столкнулись с нарушением конфиденциальности данных в результате несанкционированного проникновения, мошенничества, фишинга или умышленных действий сотрудников.
То, что самым распространённым видом нарушений стала невозможность получить доступ к услугам, показывает: киберинцидент — это не только вопрос ИТ, но и прямой вопрос непрерывности бизнеса.
Что говорит текст закона об уведомлении?
Этот раздел — не юридическая оценка, а краткое изложение соответствующих положений текста закона.
Сфера действия (статья 2): Согласно тексту закона, сфера его действия определена как охватывающая государственные учреждения, профессиональные организации со статусом публичных учреждений, физических и юридических лиц, а также организации без статуса юридического лица, которые присутствуют в киберпространстве, осуществляют там деятельность или оказывают услуги (Resmî Gazete). Некоторые виды разведывательной и военной деятельности исключены из сферы действия.
Уведомление (статья 7, п. 1, подп. «b»): Закон возлагает ряд обязанностей на тех, кто подпадает под его действие и при помощи информационных систем оказывает услуги, собирает или обрабатывает данные либо ведёт сходную деятельность. Одна из них, по формулировке самого закона, — «незамедлительно уведомлять Управление об уязвимостях или киберинцидентах, выявленных в области, где они оказывают услуги». Здесь «Управление» — это Siber Güvenlik Başkanlığı (Управление по кибербезопасности Турции).
Кто определяет детали (статья 6): Закон говорит, что Управление определит порядок и правила уведомлений, а также сможет классифицировать подпадающие под закон учреждения и лиц и при необходимости устанавливать положения, охватывающие лишь определённую их часть. Иными словами, то, как эта обязанность будет применяться к компании на практике, зависит не только от закона, но и от подзаконных актов Управления.
Санкции (статья 16): Закон предусматривает административный штраф для тех, кто не выполняет обязанности, закреплённые в соответствующих подпунктах статьи 7. Согласно актуальному тексту в Mevzuat Bilgi Sistemi (Информационная система законодательства Турции), это положение было изменено Законом № 7590, вступившим в силу 31 июля 2026 года (Mevzuat Bilgi Sistemi). Это, в свою очередь, показывает, почему важно отслеживать актуальную редакцию текста по официальному источнику.
Подпадает ли ваша компания под эту обязанность и в каком объёме, может зависеть от вашей отрасли и вида деятельности. Чтобы получить ответ на этот вопрос, рекомендуем обратиться к тексту закона, к актам, публикуемым Управлением, и к вашему юридическому консультанту. Эта статья не заменяет юридическую консультацию.
Что делать в момент инцидента? Актуальный фреймворк NIST
Одним из широко используемых источников по реагированию на инциденты является руководство SP 800-61 Rev. 3, опубликованное в апреле 2025 года Национальным институтом стандартов и технологий США (NIST). Оно заменило предыдущую редакцию 2012 года и связало реагирование на инциденты с шестью функциями Фреймворка кибербезопасности NIST (CSF) 2.0 (NIST).
Ключевой вывод руководства таков: раньше инциденты были редкими, ограниченными по масштабу и могли быть закрыты за день-два; сегодня они случаются часто, наносят больше ущерба, а восстановление зачастую занимает недели или месяцы. Поэтому реагирование на инциденты рассматривается не как работа, которую время от времени выполняет отдельная команда, а как процесс, пронизывающий всю систему управления рисками.
Модель NIST делится на два уровня:
1. Подготовка (Управлять, Идентифицировать, Защищать): Это не само реагирование на инциденты, а широкая работа по управлению рисками, которая делает такое реагирование возможным. Здесь критически важно заранее определить роли. Среди возможных ролей руководство называет высший менеджмент, команду реагирования на инциденты, технических специалистов, юридическую службу, корпоративные коммуникации, кадровую службу, физическую безопасность и владельцев активов. Оно рекомендует чётко прописывать в договоре распределение ответственности с внешними поставщиками услуг.
2. Реагирование (Обнаруживать, Реагировать, Восстанавливать): Это шаги в момент инцидента. Наиболее заметные рекомендации руководства:
- Проверить и расставить приоритеты: Провести предварительную проверку поступившего сигнала и убедиться, действительно ли это инцидент, затем оценить уровень серьёзности и срочности. Рассмотреть назначение ответственного за каждый инцидент.
- Оценить масштаб: Согласно руководству, определение масштаба инцидента — один из самых сложных аспектов реагирования; если сделать это поверхностно, инцидент может продолжаться в других системах незамеченным.
- Вести записи: Фиксировать выполненные действия и собранные данные так, чтобы сохранялась их целостность. Даже если не каждый инцидент доходит до суда, собранные данные могут иметь доказательственное значение.
- Локализовать и очистить: Сначала остановить распространение (изоляция, карантин), затем устранить механизмы закрепления в системах и точки входа.
- Уведомить и наладить коммуникацию: Руководство подчёркивает, что уведомления должны соответствовать законодательству, применимому с учётом отрасли организации и территории, где находятся она сама и её клиенты, и что эта область постоянно меняется. Оно рекомендует заранее закрепить в процедуре, кого, о чём и когда уведомлять.
- Восстановить и извлечь уроки: Вернуть системы в нормальный режим работы, убедиться, что они функционируют, и делиться извлечёнными уроками сразу, как только они выявлены, не дожидаясь окончания инцидента.
Этот последний пункт отражает важное изменение: если в прежней модели уроки обобщались после инцидента, то в новой модели непрерывное совершенствование распространяется на все функции.
Контрольный список для руководителей
Чтобы вынести на повестку руководства картину, складывающуюся из источников, можно начать со следующих вопросов:
- Есть ли у нас письменный план реагирования на инциденты и когда мы в последний раз проводили учения?
- У кого в момент инцидента полномочия принимать решения; кто принимает решения с серьёзными последствиями, например об отключении систем?
- Прописано ли в договорах с нашими внешними поставщиками услуг (облако, сеть, безопасность) распределение ответственности в момент инцидента?
- Выяснили ли мы вместе с юридическим подразделением, кого и когда нужно уведомлять в рамках Закона № 7545 и другого законодательства?
- Актуален ли наш план обеспечения непрерывности бизнеса для сценария перебоя в предоставлении услуг?
Взгляд Orient Global
Качество реагирования на инциденты в основном определяется ещё до того, как инцидент начался: организации, у которых роли, полномочия и порядок уведомления прописаны заранее, могут действовать быстрее и последовательнее. Поэтому практичным началом — в качестве первого шага — может стать сопоставление действующего плана с таким фреймворком, как NIST, уточнение обязанностей по уведомлению вместе с юридическим подразделением и проверка плана настольным учением не реже одного раза в год.
#interimmanagement #forwarddeployedengineering