Ключевые изменения 2025-2026 гг․: почему тема стала «горячей»
22 апреля 2026 г․ — дата, к которой органы контроля уже выписали 1,7 млрд руб․ штрафов за утечки и нарушения защиты ПДн․ В основе роста санкций, обновлённые требования Постановления № 1119 (ред․ от 01 марта 2026 г․) и вступившие в силу поправки к ст․ 19 ФЗ-152․ В 2025 г․ к ним добавились:
- Обязательное резервное копирование ПДн на российские серверы с шифрованием ГОСТ 34․13-2023․
- Информирование Роскомнадзора о любой инцидентной утечке в течение 24 ч․
- Ежеквартальные внешние аудиты безопасности для компаний с базой > 100 тыс․ субъектов ПДн․
Где чаще всего вмешиваются: 5 типов атак 2026 г․
- API-сканирование онлайн-магазинов․ Злоумышленники подбирают уязвимые эндпоинты, собирая номера карт и почты клиентов․
- Deepfake-HR․ Использование нейросетей для подмены голоса/видео руководителя и мошеннического запроса базы сотрудников․
- «Тёплый» spear-phishing через мессенджеры․ Сообщения якобы от службы безопасности вуза/банка с вредоносными QR-кодами․
- Атаки на подрядчиков (supply chain)․ Внедрение бэкдора в ПО для учёта посетителей фитнес-клубов․
- Криптоджекинг в облачных LMS-системах․ Скрытый майнинг на серверах, где хранятся персональные задания студентов НИУ ВШЭ и РАНХиГС․
Как построить онлайн-защиту: пошаговая модель
Шаг 1․ Инвентаризация потоков ПДн
Составьте Data Flow Map: где, в каком формате, через какие границы (API, e-mail, флешки) движутся персональные данные․ Используйте Grounded Theory-подход: опрашивайте сотрудников, наблюдайте за рабочими процессами, а не просто «заполняйте шаблон»․
Шаг 2․ «Контракты» с подрядчиками
Включите в договор:
- обязательство по сертификации ФСТЭК (уровень не ниже 3-й категории защищенности);
- страхование риска утечки на сумму ≥ 10 млн руб․;
- ежеквартальный pen-тест с предоставлением отчёта в течение 3 раб․ дней․
Шаг 3․ Технические меры
| Мера | Инструмент 2026 | Регламент ФЗ-152 |
|---|---|---|
| Шифрование на хранение | GOST 34․12-2025 (Кузнечик) | п․ 3 ст․ 19 |
| Маскировка тестовых данных | Tokenизация + синтетические датасеты | п․ 5 ст․ 19 |
| Контроль доступа | Zero-Trust + доверенные устройства | п․ 8 ст․ 19 |
Шаг 4․ Мониторинг и реагирование
Разверните SOC-as-a-Service от российского оператора с лицензией ФСТЭК:
- Круглосуточный сбор логов из всех точек (VPN, почта, 1С, CRM)․
- Автоматизированные правила корреляции (MITRE ATT&CK Rus)․
- SLA на инцидент: 15 мин — идентификация, 60 мин — изоляция, 4 ч — отчёт в Роскомнадзор․
Чек-лист для онлайн-магазина: 10 пунктов к 1 июля 2026 г․
- ✅ Установлена DLP-система с поддержкой русского NLP․
- ✅ Проведён pen-тест после последнего обновления корзины․
- ✅ Внедрена двухфакторная аутентификация для админ-панели․
- ✅ Подписан договор с CERT-GOV на обмен IoC-фидами․
- ✅ Создан инцидентный план с ролевыми инструкциями․
- ✅ Обучены все сотрудники курсу «Основы ИБ для e-commerce»․
- ✅ Размещён баннер Cookie/Политика ПДн в соответствии с 152-ФЗ․
- ✅ Проведена ред-чет-игра (Red Team vs Blue Team) на модели атаки․
- ✅ Ежемесячно обновляется реестр ИС в ФГИС «Ашан-Инфо»․
- ✅ Зарезервированы средства на штраф (до 6 млн руб․) в случае утечки․
Роскомнадзор уже анонсировал новый автоматический сканер сайтов, который за 3 минуты проверит TLS-конфигурацию, наличие российского SSL и открытые API с ПДн․ Компании, не успевшие довести защиту до требований, получат «письма счастья» сроком на 30 дней до штрафа․ Поэтому главное правило 2026 г․: не экономить на кибербезопасности, ведь экономия 1 млн руб․ может обернуться штрафом в 6 млн руб․ и репутационными потерями․
Дата актуализации: 11:08