Кибербезопасность для бизнеса в Узбекистане: базовый чек-лист

Цифровизация бизнеса в Узбекистане идёт быстро: оплата картами Uzcard и Humo, интеграции с порталами вроде my.gov.uz и soliq.uz, CRM, Telegram-боты, мобильные приложения. Чем больше точек контакта с цифрой, тем шире поверхность атаки. При этом большинство компаний малого и среднего бизнеса до сих пор воспринимают кибербезопасность как «дорогую историю для банков». Это опасное заблуждение: атакуют не самых крупных, а самых незащищённых.

Ниже — практический чек-лист без воды. Не теория, а то, что реально стоит сделать в ближайшие недели, если вы отвечаете за бизнес, ИТ или данные клиентов.

Какие угрозы актуальны прямо сейчас

Большинство инцидентов в нашем регионе — не результат гениального хакера, а следствие базовой небрежности. Типичные сценарии выглядят так:

• Фишинг и социальная инженерия. Поддельные письма «от банка», фейковые сообщения в Telegram от имени руководителя с просьбой срочно оплатить счёт, поддельные страницы входа в корпоративную почту.
• Программы-вымогатели (ransomware). Шифруют файлы на компьютерах и серверах, после чего требуют выкуп. Для компании без бэкапов это означает полную остановку работы.
• Утечки данных. Базы клиентов, телефоны, паспортные данные утекают через незащищённые админки, открытые базы данных и уволенных сотрудников с сохранённым доступом.
• Слабые и переиспользуемые пароли. Один и тот же пароль на почте, в CRM и в личном кабинете банка — и компрометация одного сервиса открывает всё.
• Уязвимости в сайтах и приложениях. Устаревшие CMS, плагины WordPress, открытые порты, незакрытые формы загрузки файлов.

Базовая защита: фундамент, без которого остальное бессмысленно

Прежде чем покупать дорогие решения, закройте основу. Эти меры дают 80% результата при минимальных затратах:

• Двухфакторная аутентификация (2FA) на всех критичных сервисах: корпоративная почта, банк-клиент, CRM, хостинг, домен, аккаунты в соцсетях и Telegram. Это самый дешёвый и самый эффективный барьер.
• Менеджер паролей для команды вместо стикеров и таблиц Excel. Уникальный сложный пароль на каждый сервис.
• Регулярные обновления. ОС, CMS, плагины, серверное ПО. Большинство взломов используют уже известные уязвимости, для которых давно есть патч.
• Резервное копирование по правилу 3-2-1: три копии данных, на двух носителях, одна из них — вне офиса (облако или другой дата-центр). И главное — регулярно проверяйте, что бэкап реально восстанавливается.
• Сегментация доступа. Сотрудник должен иметь доступ только к тому, что нужно для работы. Бухгалтеру не нужен root на сервере, менеджеру по продажам — полная выгрузка всей базы.

Защита данных клиентов и закон

С 2021 года в Узбекистане действуют требования по локализации персональных данных граждан: данные узбекистанцев должны храниться на серверах, физически расположенных в стране, и регистрироваться в реестре Государственного центра персонализации. Это не только юридический вопрос — это репутация и доверие клиентов.

Практический минимум по работе с данными:

• Шифруйте данные при передаче (HTTPS/TLS на всех сайтах и API) и чувствительные данные при хранении.
• Минимизируйте сбор: не храните то, что вам реально не нужно. Меньше данных — меньше риск.
• Ведите учёт, где и какие персональные данные у вас лежат. Многие компании не знают даже этого.
• Настройте логирование доступа к базам, чтобы понимать, кто и когда обращался к чувствительной информации.

Сотрудники — самое слабое и самое управляемое звено

По статистике большинство успешных атак начинаются с человека: кто-то перешёл по ссылке, открыл вложение, продиктовал код из SMS «службе безопасности банка». Технику можно настроить один раз, а людей нужно обучать системно.

• Проводите короткие регулярные инструктажи по фишингу — лучше раз в квартал по 30 минут, чем один большой семинар раз в три года.
• Введите простое правило: любой запрос на срочный перевод денег или смену реквизитов проверяется по второму каналу связи (звонок, а не только переписка).
• Настройте процесс офбординга: при увольнении сотрудника доступы отзываются в тот же день, пароли к общим сервисам меняются.
• Запретите рабочие данные в личных мессенджерах и на личных устройствах без контроля.

Что внедрить в первую очередь

Если ресурсов мало, а сделать нужно всё — двигайтесь по приоритету. Вот порядок, который мы рекомендуем бизнесу:

• Шаг 1. Включить 2FA везде, где есть деньги и данные. Один день работы — кратное снижение риска.
• Шаг 2. Настроить автоматические бэкапы и проверить восстановление. Это ваша страховка от ransomware.
• Шаг 3. Провести инвентаризацию доступов и убрать лишние, особенно у бывших сотрудников и подрядчиков.
• Шаг 4. Обновить всё ПО и закрыть очевидные уязвимости на сайтах и серверах.
• Шаг 5. Обучить команду базовой гигиене и ввести правило проверки финансовых запросов.
• Шаг 6. Заказать аудит безопасности у специалистов — взгляд со стороны находит то, что внутри замылилось.