По данным Positive Technologies, в 2026 г. количество успешных кибератак на российские компании может вырасти на 30–35%. Среди ключевых целей — кража конфиденциальной информации. Здравоохранение входит в число интересных преступникам сфер: так, в феврале 2026 г. «Известия» сообщали о волне хакерских атак на медицинские учреждения. CNews поговорил с Екатериной Аристакесян, руководителем отдела методологии кибербезопасности в «СберЗдоровье», о том, как в компании выстраивают процессы информационной безопасности и какие подходы лежат в основе эффективной работы службы ИБ.

CNews: С какими основными трудностями сталкиваются компании в вашей отрасли при организации процессов информационной безопасности?

Екатерина Аристакесян: «СберЗдоровье» — лидер рынка медицинских технологий. Мы объединяем пациентов, врачей и медицинские организации по всей стране. С точки зрения информационной безопасности основная сложность в нашей сфере в том, что мы работаем с одними из самых чувствительных данных — информацией о здоровье пациентов. Такие данные требуют повышенного уровня защиты. При этом мы стремимся сделать наш сервис максимально удобным как для партнеров, так и для пользователей. Поэтому главный вызов в сфере цифрового здравоохранения — это поиск баланса между развитием цифровых сервисов и строгими требованиями к защите данных.

CNews: Как вы видите развитие роли службы информационной безопасности в компании в течение ближайших двух-трех лет?

Екатерина Аристакесян: Уже сейчас она заметно трансформируется. Если раньше ИБ занимала отдельный сегмент и выполняла в основном контролирующую функцию, то сейчас системы информационной безопасности встроены во все бизнес-процессы компании. Этот вектор развития сохранится: операционная деятельность и информационная безопасность будут все глубже интегрироваться друг в друга. Также продолжится фокусирование на предупреждении инцидентов вместо их устранения, возрастет роль автоматизации в связи с внедрением ИИ-технологий.

CNews: Как вы оцениваете зрелость подходов к информационной безопасности в России?

Екатерина Аристакесян: Компании стали более комплексно подходить к вопросам управления безопасностью. На сегодняшний день уровень отечественных решений в сфере ИБ приближается к мировым аналогам.

CNews: Какие уроки из вашего опыта вы бы могли выделить для компаний, которые только начинают строить процессы ИБ? Будет ли отличаться подход для крупного, малого и среднего бизнеса?

Екатерина Аристакесян: Масштабы бизнеса в данном случае не играют существенной роли. В разных компаниях я встречала одну и ту же проблему: разрозненность процессов и отсутствие единого инструмента для управления информационной безопасностью. Принцип организации работы ИБ для всех компаний один и тот же — он заключается в комплексном подходе и выстраивании плотного взаимодействия между бизнес- и ИБ-процессами.

CNews: Как меняется взаимодействие ИБ-службы с другими подразделениями компании в современных условиях (удаленная работа, гибридный офис)?

Екатерина Аристакесян: Мы не отказываемся от удаленного и гибридного форматов — это удобно и сотрудникам, и компании. При этом в условиях работы с критически важными данными удаленный и гибридный форматы усиливают требования к контролю доступа и управлению инфраструктурой, что расширяет зону нашего взаимодействия с ИТ.

CNews: В чем состоит ваша работа по обеспечению информационной безопасности в Вашей компании? По каким направлениям вы работаете?

Екатерина Аристакесян: Я руковожу отделом методологии кибербезопасности, который отвечает за несколько направлений: защита данных в части соответствия деятельности компании требованиям законов и регуляторов, аудиторская деятельность, управление рисками информационной безопасности, управление доступом, обеспечение безопасности инфраструктуры.

CNews: Почему вам потребовалась система SGRC для управления ИБ, хотя она не входит в требования со стороны регуляторов?

Екатерина Аристакесян: «СберЗдоровье» — крупная компания с множеством сложных процессов и информационных активов. По мере ее развития количество этих активов и процессов постоянно растет. Нам была необходима система, которая позволила бы упорядочить управление, обеспечить прозрачность процессов и контроль над ними. Мы рассмотрели варианты, представленные на рынке, и выбрали систему SECURITM, которая и до сих пор позволяет решать поставленные задачи и соответствует нашим требованиям.

CNews: Что стало решающим фактором в выборе SECURITM среди других систем? Как проходил процесс пилота и интеграции?

Екатерина Аристакесян: Основными критериями были функциональность, гибкость настроек и возможность интегрировать систему в нашу инфраструктуру. Пилот проходил около трех месяцев. За это время мы интегрировали SECURITM во все внутренние системы. Специалисты из SECURITM всегда были на связи, что повысило эффективность внедрения.

CNews: Как вы определяли, какие направления ИБ требуют упорядочивания в первую очередь? На что вы опираетесь, чтобы определить такие приоритеты? Какие модули вы внедрили в первую очередь и почему?

Екатерина Аристакесян: Прежде всего необходимо увидеть полную картину того, что происходит в компании, поэтому мы начали с управления активами, затем перешли к управлению рисками. Особое внимание мы уделяем контролю за выполнением требований: ежегодно проходим многочисленные аудиты, касающиеся медицинских, персональных, финансовых данных, поэтому одним из первых мы внедрили модуль SECURITM «Управление требованиями». С помощью этого модуля мы не только обеспечиваем управление требованиями, системное, структурированное и централизованное управление, но и можем сравнить, например, аудиты текущего и прошлого года, вовремя выявить возможные слабые места и внести доработки. При этом модуль позволяет адаптировать работу системы под наши запросы. Если каких-то требований не хватает, их можно заложить в SECURITM.

CNews: Как изменилась работа службы информационной безопасности после внедрения SECURITM — единой системы управления всеми процессами? Какие процессы стали проще или прозрачнее?

Екатерина Аристакесян: До внедрения системы нам приходилось собирать информацию из разных источников и обрабатывать ее в несколько этапов вручную. Это была сложная и трудоемкая работа. SECURITM позволила объединить все ключевые процессы в одной системе и централизовать управление ими. Это упростило контроль, повысило качество анализа, сделало взаимодействие между ИТ-подразделениями и службой информации более эффективным и значительно снизило нагрузку на сотрудников. Если раньше для прохождения аудита было необходимо участие двух-трех человек, то теперь с этим справляется один сотрудник.

CNews: Что вы можете сказать о прозрачности условий лицензирования и стоимости? Действительно ли работает открытый калькулятор на сайте?

Екатерина Аристакесян: Работает, никаких скрытых расходов нет. Мы изначально заказывали минимальный пакет с расширенной техподдержкой, так как внедряли систему впервые и хотели получить уверенность в том, что нам в любой момент окажут помощь. Так и произошло: коллеги быстро реагировали на любые наши запросы.

CNews: Что бы вы порекомендовали компаниям, которые только начинают рассматривать возможность внедрения единой системы управления процессами информационной безопасности? На что стоит обратить особое внимание?

Екатерина Аристакесян: В первую очередь необходимо иметь в виду, что SGRC — это прежде всего инструмент управления процессами. Поэтому и начинать стоит с определения ключевых процессов и связанных с ними потребностей компании, которые система должна закрыть. Следующим шагом мы формулируем критерии и требования к системе — как именно она должна закрывать эти запросы. И уже после этого можно смотреть, что предлагает рынок, и выбирать систему, которая оптимально подойдет для управления процессами именно в каждой конкретной компании.