Загрози та проблеми інформаційної безпеки для бізнесу у 2026: як оцінити й закрити ризики

Проблеми інформаційної безпеки давно перестали бути темою для ІТ-відділу десь на технічному поверсі. Сьогодні від них залежить, чи працюватиме ваш бізнес наступного тижня. Фішинговий лист, який відкрив менеджер із продажів. Шифрувальник, що поклав бухгалтерію напередодні здачі звітності. Зупинений сайт інтернет-магазину в чорну п'ятницю. Кожен із цих сценаріїв — не гіпотеза зі слайда, а буденність, з якою українські компанії стикаються щотижня.

За 2024 рік урядова команда CERT-UA опрацювала 4315 кіберінцидентів — на 69,8% більше, ніж роком раніше, коли їх було 2541 (дані зі звіту CERT-UA за 2024 рік). І це лише випадки, що дійшли до державної команди реагування; більшість атак на приватний бізнес не потрапляє в жодну статистику взагалі. Річ навіть не в тому, що загроз побільшало — їх справді більше, але головне інше. Головне, що більшість компаній досі захищається так, ніби надворі 2015 рік: антивірус, пароль на Wi-Fi і надія, що пронесе.

Далі — про те, які загрози інформаційної безпеки реальні для українського бізнесу просто зараз, чому оборона з окремих інструментів системно програє, і як оцінка ризиків усередині ISO/IEC 27001 перетворює хаотичний захист на керовану систему. Якщо хочете спершу побачити ширшу картину стандарту, почніть із повного посібника з ISO/IEC 27001, а тоді повертайтеся сюди за деталями про загрози.

Почнемо з грошей, бо саме вони переконують найкраще. За звітом IBM Cost of a Data Breach 2025 середня вартість одного витоку даних у світі становить 4,44 млн доларів. Цього року цифра вперше за п'ять років трохи знизилася завдяки швидшому виявленню атак, але навіть знижена вона більша за річний оборот багатьох компаній. У США середній витік коштує вже 10,22 млн доларів.

Українському бізнесу до цих сум зазвичай далеко, проте логіка та сама: інцидент б'є ширше, ніж по самих даних. Це ще й простій, репутація, штрафи, аврал команди і клієнти, які пішли до конкурента, поки ваш сервіс лежав. А ще час: відновлення після серйозної атаки вимірюється не годинами, а днями й тижнями, протягом яких бізнес або стоїть, або працює наполовину.

CERT-UA у звіті за 2024 рік прямо називає, кого атакують найчастіше: місцеві органи влади, урядові організації, сектор безпеки й оборони, енергетику, комерційні компанії і телеком. Якщо вам здається, що ваш бізнес «занадто малий, щоб когось цікавити», згадайте: більшість масових атак не обирають жертву поіменно. Вони б'ють по всіх, у кого відчинені двері.

Щоб захищатися предметно, треба знати від чого. Ось основні види загроз інформаційної безпеки, з якими стикається український бізнес — від наймасовіших до найдорожчих. Це не перелік із підручника, а те, що реально зустрічається в роботі.

Окремий клас загроз стосується персональних даних, і там до ISO/IEC 27001 додається український закон і GDPR. Це розібрано в матеріалі про захист персональних даних та ISO/IEC 27701.

Фішинг залишається загрозою номер один, і це не перебільшення. За даними ENISA Threat Landscape 2025, він домінує серед векторів проникнення — близько 60% усіх зафіксованих вторгнень. Причина проста: зламати людину дешевше, ніж зламати систему. Лист від «директора» з проханням терміново оплатити рахунок, підроблена сторінка входу в корпоративну пошту, дзвінок від «служби безпеки банку» — усе це працює, бо тисне на емоції та поспіх.

Гірше те, що фішинг подорожчав у якості. Той самий звіт IBM фіксує: у 16% витоків зловмисники вже застосовували штучний інтелект, переважно щоб генерувати переконливіші листи й діпфейки. Часи кривих повідомлень із помилками, які видно за версту, минають.

Шифрувальник заходить у мережу, тихо розповзається по серверах, а тоді одномоментно шифрує все, до чого дотягнувся, і показує вимогу викупу. Для бізнесу це найгірший сценарій: дані заблоковані, робота стоїть, а платити викуп — і не гарантія повернення, і фінансування наступної атаки. За Verizon DBIR 2025, ransomware присутній уже в 44% усіх витоків даних і непропорційно б'є саме по малому та середньому бізнесу, у якого рідко є окрема команда безпеки. Одна добра новина: медіанний розмір сплаченого викупу торік знизився до 115 тисяч доларів, а 64% компаній відмовилися платити взагалі.

Вас можуть зламати не напряму, а через підрядника, якому ви довіряєте доступ. Той самий Verizon DBIR 2025 зафіксував, що участь третіх сторін у витоках за рік подвоїлася — з 15% до 30%. Для ІТ-компаній це особливо болісно: один скомпрометований постачальник бібліотеки чи сервісу тягне за собою всіх його клієнтів. Саме тому замовники з ЄС і США все частіше вимагають сертифікат ISO/IEC 27001 ще до підписання контракту — їм треба знати, що ви не станете дірою в їхньому власному захисті.

Три різні за природою, але однаково поширені загрози. DDoS-атака завалює ваш сайт чи сервіс потоком запитів, поки він не ляже — за ENISA це найчастіший тип інциденту в Європі. Експлуатація вразливостей — коли зловмисник заходить крізь незакриту діру в програмному забезпеченні; за Verizon цей вектор за рік зріс на 34%. А викрадені або підібрані облікові дані досі лишаються найпоширенішим способом просто зайти під чужим логіном, без жодного «злому» в кіношному сенсі.

Не кожна втрата даних — результат зовнішньої атаки. Звільнений з образою адміністратор, працівник, що злив базу клієнтів конкуренту, або просто хтось, хто загубив ноутбук без шифрування. Людський фактор проходить наскрізь через усі попередні пункти: технології стримують загрозу лише доти, доки люди навколо них поводяться передбачувано. Тому навчання персоналу — не формальність, а частина захисту нарівні з фаєрволом.

Український бізнес живе в умовах, яких немає в жодному західному підручнику з безпеки. Кібератака тут часто стає інструментом війни, а не просто способом заробити. І цілі не завжди військові: б'ють саме по цивільній інфраструктурі, щоб зробити боляче всім одразу. Три приклади, які варто тримати в голові кожному керівникові.

Kyivstar, грудень 2023. Атака вивела з ладу мережу найбільшого мобільного оператора країни. Материнська компанія VEON оцінила вплив інциденту на виручку 2024 року приблизно в 3,6 млрд грн — близько 95 млн доларів. Один інцидент, і десятки мільйонів абонентів без зв'язку, а компанія рахує збитки кварталами.

FrostyGoop, Львів, січень 2024. Шкідливе програмне забезпечення, яке через промисловий протокол Modbus дісталося обладнання теплопостачання, залишило близько 600 будинків без опалення майже на дві доби — посеред зими. Це рідкісний приклад, коли кібератака має прямий фізичний наслідок для звичайних людей, а не лише для балансу компанії.

Державні реєстри, грудень 2024. Масштабна атака зупинила роботу державних реєстрів Мін'юсту, зокрема Єдиного державного реєстру юридичних осіб та ФОП. Бізнес тижнями не міг нормально реєструвати компанії, проводити нотаріальні дії й частину операцій; повне відновлення розтягнулося майже на місяць. Українська влада публічно пов'язала атаку з Росією.

Спільне в усіх трьох — навіть не техніка, а урок: стійкість бізнесу тепер залежить від того, чи готова компанія працювати, коли щось велике ламається. А воно ламається.

Тут переходимо до головного. Біда більшості компаній — не відсутність захисту, а його клаптиковість. Купили антивірус. Поставили фаєрвол. Змусили міняти паролі раз на квартал. Кожна річ окремо ніби корисна, але разом вони не складаються в систему — і саме в зазорах між ними живуть інциденти.

Ось як точковий захист програє на практиці:

• Немає власника. За антивірус відповідає умовний сисадмін, за паролі — HR, за доступи — керівники відділів. Коли стається інцидент, з'ясовується, що за загальну картину не відповідає ніхто.
• Реагують на модне, а не на реальне. Компанія купує дорогий інструмент проти загрози з новин, тоді як базовий бекап досі жодного разу не перевіряли на відновлення.
• Захист не зважений на ризик. Однакову увагу приділяють і критичній базі клієнтів, і застарілому принтеру, хоча їхня цінність для бізнесу непорівнянна.
• Ніхто не переглядає. Налаштували колись і забули. А загрози за цей час змінилися вже кілька разів.

Різниця між набором інструментів і системою — в одному слові: пріоритети. Система починається не з питання «що б нам купити», а з питання «що ми найбільше боїмося втратити і що з цим найімовірніше станеться». Це і є оцінка ризиків, і саме її вимагає ISO/IEC 27001.

ISO/IEC 27001 — це не список технічних вимог на кшталт «поставте такий-то антивірус». Стандарт свідомо не диктує інструменти. Замість цього він вимагає одного: побудувати процес, у якому ви систематично визначаєте свої ризики інформаційної безпеки й свідомо вирішуєте, що з кожним робити. Серце цього процесу — оцінка ризиків, описана в розділі 6.1.2 стандарту.

На практиці вона проходить кілька кроків:

1. Визначте, що захищаєте. Складіть перелік активів: бази клієнтів, вихідний код, фінансові дані, доступи. Не можна захистити те, про існування чого ви забули.
2. Знайдіть загрози й вразливості. Для кожного активу — що йому загрожує і крізь яку діру. Тут і згодяться всі види загроз із попередніх розділів.
3. Оцініть ризик. Наскільки ймовірно, що загроза спрацює, і наскільки боляче це вдарить. Так з'являється пріоритет: що гасити першим.
4. Оберіть, що робити. Ризик можна зменшити, впровадивши контроль; прийняти, свідомо змирившись; передати, застрахувавши; або уникнути, припинивши ризиковану діяльність.
5. Зафіксуйте й перегляньте. Рішення документуються, а сама оцінка повторюється регулярно, бо загрози не стоять на місці.

Головна цінність тут не в папері, а в тому, що захист стає зваженим. Ви більше не витрачаєте однакові зусилля на критичне й другорядне. Ресурси йдуть туди, де ризик найбільший, і це видно вже керівнику, а не лише технічним фахівцям. Як цей процес вбудовується в загальну систему сертифікації, ми докладно розписали в посібнику з ISO/IEC 27001.

Оцінка ризиків показує, що болить. Далі стандарт пропонує інструмент, щоб це лікувати, — набір контролів з Annex A (у редакції 2022 року їх 93, згруповані у чотири теми: організаційні, людські, фізичні й технологічні). Впроваджувати всі не обов'язково — лише ті, що відповідають вашим ризикам. Ось як типові загрози лягають на контролі стандарту:

Бачите логіку? Ви не бігаєте за кожною новою загрозою окремо. Ви один раз будуєте систему, яка сама підказує, де слабко, і дає готовий каркас рішень. Це і є різниця між «латати діри» та «керувати безпекою».

Повноцінна сертифікація — це проєкт на кілька місяців. Але наводити лад можна почати вже зараз, ще до будь-якого аудиту. Ось звідки варто стартувати:

• Складіть простий перелік того, що захищаєте. Півгодини й таблиця: які дані та системи критичні для бізнесу. Це вже половина оцінки ризиків.
• Перевірте бекапи на відновлення. Не «чи вони є», а «чи справді з них можна підняти систему». Різниця величезна.
• Увімкніть багатофакторну автентифікацію скрізь, де можна. Це найдешевший спосіб знецінити вкрадений пароль.
• Призначте відповідального за інформаційну безпеку — одну людину, яка бачить картину цілком, а не шматками по відділах.
• Пропишіть, що робити при інциденті. Хоча б на одну сторінку: хто кому дзвонить, що відключають, кого повідомляють.

Якщо на більшість пунктів у вас поки немає впевненого «так» — це не привід соромитися, а список завдань. І майже кожен із них — уже елемент системи управління інформаційною безпекою за ISO/IEC 27001, а не окрема бюрократія заради паперу.

Ekontrol супроводжує підготовку до ISO/IEC 27001 як частину напряму інформаційної безпеки. Ми починаємо не з паперів, а з розмови про ваші реальні загрози: що за дані у вас є, хто ваші клієнти, чого вимагають контракти і де насправді тонко. Далі — оцінка ризиків, вибір контролів під ваші пріоритети, впровадження й підготовка до сертифікаційного аудиту.

Для ІТ- та SaaS-компаній, що працюють із замовниками з ЄС і США, сертифікат ISO/IEC 27001 — це ще й тендерна перевага: готова відповідь на security-опитувальники, які клієнти надсилають ще до контракту. Ми знаємо, які питання там ставлять, і будуємо систему так, щоб на них було що відповісти.

Якщо проблеми інформаційної безпеки у вашій компанії поки що вирішуються за принципом «полагодимо, коли зламається», саме час перейти до системи. Почати можна з повного посібника з ISO/IEC 27001 або одразу написати нашій команді й обговорити, з чого стартувати саме вам. Ekontrol працює як партнер Bureau Veritas в Україні з 2014 року.