Кибербезопасность для малого бизнеса: минимум, который нужно сделать уже сегодня

Почему малый бизнес в Узбекистане под прицелом

По данным Лаборатории Касперского, Узбекистан вошёл в число наиболее атакуемых стран с начала 2023 года. Причина простая: рынок растёт быстро, цифровизация идёт активно, а культура защиты данных пока отстаёт.

Важный контекст: в марте 2026 года Президент Узбекистана подписал Стратегию кибербезопасности на 2026–2030 годы. С 1 апреля 2026 года госорганы обязаны создать отделы по кибербезопасности. Бизнес пока не обязан — но именно бизнес несёт большую часть ущерба.

Три причины, по которым малый бизнес игнорирует защиту

«Мы слишком маленькие, чтобы нас атаковали»

Неверно. Хакеры атакуют не по размеру, а по уязвимости. Автоматизированные скрипты одновременно проверяют тысячи сайтов на стандартные уязвимости — и находят их у небольших компаний именно потому, что те не обновляются и не меняют пароли.

«У нас нечего красть»

У любого бизнеса есть данные клиентов, доступ к банковским счетам, переписка с партнёрами и финансовые документы. Это стоит денег на теневом рынке. Кроме того, через заражённый компьютер небольшой компании хакеры могут атаковать её крупных партнёров.

«Это дорого и сложно»

Базовая защита — нет. Большинство действий из этой статьи либо бесплатны, либо стоят до $10 в месяц. Сложная и дорогая история начинается только тогда, когда строится корпоративная инфраструктура.

Чеклист: 9 шагов, которые закрывают 80% рисков

Это приоритетный минимум — действия с максимальным соотношением «защита / затраченное время». Начните с первых пяти, если у вас нет времени на всё сразу.

Что изменилось в законодательстве: апрель 2026

С 1 апреля 2026 года государственные органы Узбекистана обязаны иметь отделы кибербезопасности. Частный бизнес пока не обязан — но:

• Если ваш бизнес работает с персональными данными клиентов — вы несёте ответственность за их сохранность
• Если вы работаете с госорганами как подрядчик — требования к вашей ИБ будут ужесточаться
• Стратегия кибербезопасности 2026–2030 предусматривает распространение требований на субъекты критической информационной инфраструктуры — в том числе финтех, телеком, медицину и ретейл

Если один раз всё равно взломали: алгоритм действий

Даже с базовой защитой инциденты случаются. Важно знать, что делать в первые часы — от этого зависит масштаб ущерба.

1. Изолировать заражённое устройство — отключить от сети, не выключать (данные могут понадобиться для расследования)
2. Сменить пароли — со здорового устройства, начиная с email и банковских аккаунтов
3. Уведомить банк — если были финансовые данные на скомпрометированном устройстве
4. Восстановить из резервной копии — именно поэтому бекап — пункт №4 в чеклисте
5. Обратиться в Центр кибербезопасности РУз — UZCERT принимает обращения по инцидентам
6. Разобрать причину — слабый пароль? Нажали на ссылку? Устаревший плагин? Устранить точку входа

Когда базового минимума недостаточно

Чеклист выше закрывает типичные риски для компании до 20 человек без сложной IT-инфраструктуры. Вам нужен профессиональный аудит безопасности, если:

• Вы храните персональные данные клиентов — паспортные данные, медицинские карты, финансовую информацию
• У вас есть корпоративный сервер или собственная база данных
• Ваш продукт — это IT-система: приложение, веб-сервис, SaaS
• Вы интегрируетесь с банками или платёжными системами (Click, Payme, Humo)
• Вы работаете с госорганами как подрядчик или поставщик данных

В этих случаях нужен не чеклист, а полноценный penetration test и аудит архитектуры.

Итог

В Узбекистане в 2025 году кибератаки нанесли бизнесу ущерб на 2 трлн сумов. Раскрываемость — 8%. Большинство этих потерь можно было предотвратить базовыми мерами.

Не нужен IT-отдел. Не нужен большой бюджет. Нужно три вещи: включить двухфакторку, перестать использовать один пароль на всё и настроить автоматические бекапы. Это можно сделать сегодня — буквально за час.

Остальное — по чеклисту выше. Шаг за шагом.