Під час панелі на Mind WinTech Summit 2025 експерти з кібербезпеки обговорили найгостріші проблеми, з якими стикаються українські компанії в цифровому просторі. Розмова торкалась як глобальних трендів, так і локальних реалій, зокрема — загроз, які виникають через війну, використання штучного інтелекту та недостатню готовність підприємств до атак. Ми підготували стислий, але максимально прикладний виклад найважливішого з цієї дискусії.Протягом останнього року значно зросла активність хакерських груп, зокрема типу Ransomware. Вони орієнтовано атакують критичні сектори — виробництво, логістику, державні установи. Уже понад 840 компаній повідомили про компрометації своїх систем. Хакери використовують витончені підходи: наприклад, надсилають листи з підроблених корпоративних адрес, змушуючи отримувача відкрити заражене вкладення чи перейти за фішинговим посиланням.Особливу небезпеку становлять атаки на ланцюги постачання: зламуються не обов’язково великі підприємства, а маленькі підрядники, через яких і проникають до основних цілей. Підміна легітимної комунікації створює ілюзію безпеки,
яка лише підсилює ефект атаки.Особливої уваги заслуговують APT-групи (Advanced Persistent Threat) — зокрема, пов’язані з російською агресією. Вони атакують інфраструктурні об’єкти, не залишаючи слідів, але завдаючи суттєвих збоїв. Яскравий приклад — атаки на "Укрзалізницю". Їхня стратегія — невидимість, точність і руйнівна сила. Вони діють не для зиску, а для стратегічної дестабілізації, що перетворює їх на інструмент гібридної війни.Штучний інтелект (AI) став ще одним потужним знаряддям у руках кіберзлочинців. Сьогодні AI дозволяє створювати персоналізовані фішингові атаки, де система імітує голос директора компанії або знайомої особи. Це так званий "войшинг" (voice phishing), що перетворює класичну схему "лист-обман" у глибоку соціальну інженерію.Завдяки відкритим даним із соцмереж зловмисники створюють надзвичайно переконливі сценарії атак. Тепер головною мішенню є не система, а конкретна людина, і саме тому питання кібергігієни та освіченості персоналу стає пріоритетом №1.Zero-day атаки — це використання невідомих раніше вразливостей, на які ще не створено патчів.
Жодна компанія не може гарантувати захист від таких загроз. Тому, якщо хтось обіцяє вам "100% безпеку", — це привід замислитись і занести їх до чорного списку.Замість надії на абсолютний захист компанії мають інвестувати в побудову безперервної системи мінімізації ризиків: моніторинг, оновлення, навчання та план реагування на інциденти.Одна з найбільших помилок малого й середнього бізнесу — вважати, що кіберзагрози стосуються тільки великих корпорацій. Але саме МСП (малий і середній бізнес) найчастіше стає ціллю через обмежені ресурси, відсутність професійних команд з безпеки та недооцінку загроз.Сучасні інструменти дозволяють захищати компанію навіть з мінімальним бюджетом. Ось практичні рішення, які вже сьогодні можна впровадити без повноцінного IT-відділу:Замість найму повноцінного керівника інформаційної безпеки компанія може співпрацювати з зовнішнім спеціалістом на аутсорсі. Це дає змогу:розробити базову політику безпеки; провести аудит ризиків; сформувати стратегію кіберзахисту; отримувати супровід без потреби в постійній зайнятості спеціаліста.Центри моніторингу подій безпеки доступні як послуга,
адаптована під масштаб бізнесу. SOC:здійснює постійний моніторинг (24/7); фіксує аномальні дії та інциденти; може автоматично реагувати на підозрілі дії; дозволяє отримати аналітику про вразливі точки систем.Людина — найслабша ланка. Кібергігієна має бути обов’язковою частиною onboarding-процесу. Мінцифра, Google, Microsoft та інші платформи пропонують:безкоштовні онлайн-курси; шаблони політик безпеки; інтерактивні симуляції фішингу; перевірку обізнаності працівників.Впровадження двофакторної автентифікації (2FA) — безкоштовно через Google Authenticator, Microsoft Authenticator, Duo тощо. Оновлення програмного забезпечення — системне застосування патчів значно зменшує площину атаки. Бекапи — автоматизоване резервне копіювання критичних даних на зовнішні або хмарні носії. Встановлення Web Application Firewall (WAF) — для захисту сайтів від SQL-ін’єкцій, XSS та інших поширених атак. Використання антивірусів з EDR-функціоналом — базовий рівень захисту від шкідливого ПЗ з можливістю виявлення підозрілої поведінки.Кібербезпека не має фінішу. Рекомендовано:створити roadmap розвитку інформаційної безпеки;
призначити відповідального за безпеку на рівні менеджменту; щоквартально проводити аудит стану захищеності; заздалегідь мати план дій у разі інциденту (Incident Response Plan).Почніть з малого: створіть Google Sheet з ключовими IT-ресурсами, відповідальними особами, політиками доступу, контактами підтримки. Проведіть внутрішній аудит: використайте чеклисти з ресурсів Мінцифри або CIS Controls. Створіть Incident Response Plan: навіть найпростіший — з розподілом ролей, відповідальностей, етапами дій. Не ігноруйте фізичну безпеку: захист Wi-Fi, офісної мережі, доступу до серверів. Постійно комунікуйте: щомісяця надсилайте працівникам просту пораду з безпеки — це підвищує обізнаність.Кібербезпека не повинна бути одноразовим проєктом чи окремим відділом. Вона має бути інтегрована в культуру компанії. Це означає, що кожен працівник розуміє свою роль, піклується про захист даних і слідкує за цифровою гігієною.Цінності, пов’язані з безпекою, мають бути частиною щоденної практики: від оновлення паролів до розпізнавання фішингових листів. Тут допомагають прості інструменти:
двофакторна автентифікація; оновлення софту; бекапи (резервні копії даних); доступ до актуальних чеклистів і гайдів на офіційних порталах.Фахівці радять ставитися до кібербезпеки як до менеджменту бізнес-процесів. Це не суто технічна функція, а інвестиція у стійкість компанії.Ось базовий план дій:Побудова roadmap безпеки: визначення загроз, пріоритетів і етапів впровадження. Оцінка зрілості безпеки (Security Maturity Assessment). Регулярне навчання персоналу. Аудит і зовнішній моніторинг. Чіткий план дій у разі інциденту.Це питання лунало й на конференції. Учасники погодились, що конкретної цифри не існує, але можна орієнтуватися на такі межі:для малого бізнесу — 10–20% від IT-бюджету; для enterprise-компаній — 20–30%; у державних структурах витрати не лімітуються: це питання національної безпеки.Але найголовніше — почати діяти. Будь-які кроки в бік захисту вже знижують ризики і вартість наслідків.У 2025 році кібербезпека перестала бути технічним питанням — це бізнес-стратегія, що впливає на довіру клієнтів, сталість доходів і репутацію. Світ швидко змінюється:
алгоритми генерують голоси керівників, фішинг стає персоналізованим, а атаки не залишають жодних слідів.Водночас є й хороша новина — ефективний захист не завжди вимагає мільйонних бюджетів. Якщо компанія готова будувати процес, вчити працівників, аналізувати свої ризики й регулярно оновлювати захист, вона здатна протистояти навіть найсучаснішим атакам.Головне — відмовитися від ілюзії 100% захисту. Безпечна компанія — це не та, що ніколи не зазнає атаки, а та, що:швидко виявляє загрозу; має чіткий план реагування; мінімізує наслідки.Принцип "плануй неминуче" має стати частиною ДНК кожного бізнесу, незалежно від його масштабу.У 2025 році кібербезпека — це не про техніку. Це про управління, відповідальність і культуру.APT-група (Advanced Persistent Threat) — організована хакерська група, що здійснює тривалі цілеспрямовані атаки з політичними або військовими цілями. Zero-day атака — кібератака, яка експлуатує невідомі вразливості у програмному забезпеченні. Фішинг — шахрайська тактика, що змушує людину надати конфіденційні дані через підроблені листи чи сайти. Віртуальний CISO — зовнішній фахівець із кібербезпеки, який дистанційно координує захист компанії. Awareness training — навчання працівників правилам цифрової безпеки та захисту від фішингу.
