В 2026 году ФСТЭК выявила 593 нарушения требований кибербезопасности на значимых объектах — меньше, чем годом ранее. Всего с 2024 по 2026 год проверены тысячи объектов, найдено около 2141 нарушения. Уровень защищённости растёт, но недостаточно, признали во ФСТЭК и НКЦКИ.
Нарушения типовые и повторяются из года в год: не проводится анализ защищённости, применяются несертифицированные средства, нет контроля действий администраторов, не проводятся внешние и внутренние аудиты. Для существенного вреда организации достаточно примитивных атак, отметили во ФСТЭК.
Оценку защищённости организаций ФСТЭК начала проводить после серии атак 2024 года, которые нанесли существенный ущерб ряду органов и организаций. Сейчас эффективность мер оценивают по двум показателям — базовому уровню защищённости от 16 типовых актуальных угроз и уровню зрелости. Методику оценки зрелости утвердили в этом году.
Строгих требований пока не вводят — идёт пилот. Обязательную оценку установили для привлекаемых подрядных организаций и части субъектов критической информационной инфраструктуры, эти изменения будут действовать с 1 марта.
Бизнес нередко осознаёт риски только после компьютерного инцидента, когда видит негативные последствия у похожей организации. Устранение последствий всегда обходится дороже, чем их предвидеть, подчеркнули во ФСТЭК. Звучат предложения ужесточать штрафы, в том числе оборотные по персональным данным.
С этого года в требования ФСТЭК включён раздел мероприятий по ограничению больших языковых моделей и фильтрации наборов данных, пока на уровне органов госвласти и муниципальных предприятий. ИИ уже помогает верифицировать анализ кода, защищать периметр и выявлять уязвимости, но появляется возможность атаки на ИИ-агентов с доступом к системам.
Принципиально новых угроз ИИ не создал, но ускорилось время подготовки к масштабированию атак. Последнее слово должно оставаться за человеком: ответственность несут люди, а ИИ её нести не может, считают в НКЦКИ.