Кібергігієна у 2027 році: які звички насправді визначають рівень захищеності компанії

Жовтень в Україні вже традиційно присвячують кібербезпеці. Хороша нагода чесно запитати себе: а наскільки захищені наші дані та гаджети просто зараз? 

Багато хто думає, що дбати про захист у компанії має лише IT-відділ. Проте це спільна справа, де просто відрізняються підходи. 

На побутовому рівні все тримається на міцних паролях, обачності щодо підозрілих листів та банальній гігієні в мережі. Для бізнесу ж це ціла система: крім навчання людей, потрібно безперервно моніторити ризики, перевіряти міцність інфраструктури та мати чіткий план дій у разі атаки. 

Нижче пропоную детальну аналітику.  

Як змінилися кіберзагрози у 2026 році?

У 2026 році зловмисникам дедалі простіше готувати атаки за допомогою ШІ, але чимало ризиків для бізнесу досі пов’язані зі звичками людей і хибними уявленнями про кібербезпеку.

Найважливіші зміни в поведінці зловмисників

На мою думку, головна зміна полягає в тому, що зловмисники стали самостійнішими. Раніше це були угруповання: хакери, які працювали в команді або об'єднувалися навколо спільної ідеї. Така модель нікуди не зникла, але тепер почати зламувати компанії може практично будь-хто.

Замість форумів і знайомств із «профі» достатньо написати в «розумний чатик», і ШІ нагенерує ефективніші методи атаки.

Хоча багато генеративних моделей і блокують прямі запити на кшталт «допоможи щось зламати», їх усе ще можна обійти завуальованим запитом: послатися на етичний хакінг і сказати, що потрібна порада для тестування власної компанії.

Водночас не варто думати, що тепер будь-хто стане крутим хакером і зламає будь-яку компанію. Але провести примітивну атаку стало значно легше.

Говорячи про «хакерів-одинаків», варто згадати тіньовий ШІ — таких прикладів стає дедалі більше. Зловмисник може створити власну ШІ-систему, розгорнути її локально й навчити. Замість пошуку спільноти хакерів йому потрібні переважно ресурси: обчислювальні потужності на домашньому комп'ютері чи сервері, захист і анонімізація цього сервера, а потім завантаження власної моделі.

Тож завдяки відкритим мовним моделям зловмисники можуть самостійно створювати інструменти для кібератак, не покладаючись на готові рішення з хакерських спільнот. І хоча для цього потрібні технічні знання та додаткові налаштування, такий підхід стає дедалі доступнішим.

Поширені уявлення про кібербезпеку, що не відповідають реальності

Коли компанії замислюються про кібербезпеку, перше, що спадає їм на думку, — це розмір бізнесу. 

Якщо компанія дуже маленька, керівництво навряд чи думає про захист. Але такий хід думок уже хибний.

Про кібербезпеку треба думати завжди, а ризики оцінювати одразу, щойно ви зробили якусь дію. Коли людина виходить в інтернет, вона має розуміти, що там є загрози.

Зі штучним інтелектом дуже просто запустити стартап, скажімо, розробляти сервіси чи випускати застосунки. Багато маленьких компаній навіть не замислюються, що тепер вони — легітимна ціль для хакерів, адже чимало інформації лежить у відкритому доступі. І якщо бізнес стає прибутковим, він неминуче приваблює охочих його зламати.

Є ще одне небезпечне уявлення: захиститися можна якимось одним інструментом.

Кібербезпека, та й інформаційна безпека загалом, — це не про те, скільки рішень ви використовуєте, щоб почуватися захищеними. Це про те, скільки існує каналів, через які можуть надходити загрози, і чи закриті ризики за кожним із них.

Наприклад, перший канал — шкідливий файл, завантажений на комп'ютер. Другий — фішинговий лист. Третій — масова DDoS-атака. Найважливіше тут — знати ці ризики й розуміти, як їх закривати, нехай навіть безкоштовними інструментами.

З досвіду, я помічав серед компаній хибне уявлення, що достатньо закрити один канал (скажімо, поставити антивірус), і далі все буде супер. Насправді потрібен баланс і різні рішення для різних завдань. Рішення — це не обов'язково продукт, який можна купити. Це насамперед те, як компанія вирішує працювати з певним ризиком і що робить, щоб його мінімізувати.

Тому, коли вибудовуємо захист, ми все це аналізуємо. Компанії відрізняються за зрілістю та інформаційними процесами. Спілкуючись із замовниками, ми намагаємося зрозуміти їхній рівень зрілості та фінансові ресурси й допомогти зруйнувати ці хибні уявлення про безпеку. І тільки після цього пропонуємо стратегію, розроблену саме під них.

Як одна помилка співробітників може мати великі наслідки для компанії

В організаціях завжди прагнуть усе автоматизувати, щоб прибрати людський чинник, який часто стає причиною масових проблем.

За поширеною думкою, машини не помиляються. Ми вже на етапі, коли можемо налагодити контроль і позбутися рутинної роботи, але…

Поки в системі є людина, фактори ризику з'являтимуться завжди.

Ризиком вважається й несерйозне ставлення до роботи. Тут ми не говоримо про зловмисну активність: інсайдер усередині компанії діє за розрахунком. Йдеться про співробітника, який щось «не догледів».

Наведу приклад. У компанії є рольова модель: різні люди відповідають за різні частини інфраструктури, але хтось стоїть вище в ієрархії. Такі спеціалісти мають більше прав і відповідальності, іноді їхня робота пов'язана з життєзабезпеченням елементів компанії. Тому помилка такої людини може мати катастрофічні наслідки.

При цьому помилитися може навіть адміністратор із великим стажем, який будував усі сервіси компанії. Тому якраз сама по собі кібербезпека створена для того, щоб мінімізувати ймовірність подібних інцидентів.

Для рольової моделі існує багато рішень. Наприклад, людина не може виконати дію без підтвердження своїх прав. Подібні системи розраховані на мінімальну довіру: ти не довіряєш нікому «за замовчуванням», а коли співробітник намагається щось зробити, система перевіряє дію ще раз і спрямовує його в правильне місце.

Одна з таких систем — DLP (Data Loss Prevention). Вона потрібна на випадок, коли людина може ненавмисно спричинити витік даних (скажімо, працівник скинув у ChatGPT інформацію, яка виявилася конфіденційною). 

Є окремі продукти, які самостійно реагують на проблеми. Так, встановлений на комп'ютері співробітника софт підказує, з якими даними треба бути обережнішим: ставить мітки на документи або аналізує їхній вміст і на цій основі вирішує, як із ними поводитися. І коли людина випадково провокує витік, бо не знала про заборону (давайте чесно, хто з нас читає всі інструкції повністю?), система виводить на весь екран попередження, чому, скажімо, не можна пересилати файл. Після цього дія блокується.

ШІ та соціальна інженерія

ШІ робить фішингові атаки переконливішими. Тому важливо не лише знати про нові загрози, а й розуміти, як діяти, якщо щось пішло не так. 

Сценарії соціальної інженерії, які співробітникам найскладніше розпізнати

Підписуйтеся на наші соцмережі

Нові елементи на основі ШІ, як-от імітація голосу чи генерування відео, допомагають зловмисникам зробити атаку настільки реалістичною, що їхній жертві легко повірити в повідомлення. 

Тому треба подбати, щоб працівник на базовому рівні розумів, що таке фішинг і соціальна інженерія. Навіть якщо він просто чув історії про те, як когось зламали через підозріле повідомлення, це вже формує певне уявлення про загрозу. 

Трішки статистики. 

Серед методів ШІ-хакінгу найпомітніші — ШІ-підсилений фішинг і атаки на самі мовні моделі та ШІ-агентів. В експерименті групи дослідників, здебільшого з Гарварду, повністю автоматизовані ШІ-листи отримали 54% кліків, як і листи, створені експертами-людьми, тоді як у традиційних кампаніях цей показник становив 12%. 

Щодо атак на LLM: у дослідженні Cisco (травень 2026) багатоходові атаки на 15 закритих флагманських моделей мали успіх від 7,9% до 88,3%, а одноходові — від 2,2% до 64,9%. Одноходові атаки — це дії, які досягають проміжної або кінцевої мети за один крок, тоді як багатоходові атаки (комбінації) — це послідовність взаємопов'язаних дій, де перші кроки готують ґрунт для вирішального удару.

Але, на мій погляд, штучний інтелект поки що не навчився на 100% обманювати будь-яку людину, і до цього йому ще далеко.

Так, імітація голосу чи відео вже досить якісна, однак якщо ти часто дивишся такий контент в інтернеті, то вже вмієш його розпізнавати.

Інша річ, коли раптово отримуєш голосове повідомлення нібито від дружини чи когось із родини з проханням терміново переказати гроші. Голос звучить знайомо, бо зловмисник знайшов його зразок у відкритому доступі. У такій ситуації людина може розгубитися й не одразу помітити підміну.

Тож як реагувати на зміни, повʼязані з ШІ?

Треба постійно вчитися. 

Ким би ти не був і яку б професію не мав, потрібно розбиратися, що таке соціальна інженерія, фішинг, смішинг, діпфейки тощо. Дедалі більше людей користуються розумними чат-ботами, тож логічно дізнаватися й про ризики, пов'язані з цими технологіями. Якщо такі інструменти полегшують тобі завдання, то й іншій людині стає простіше тебе обманути. 

Людина може сама шукати інформацію в інтернеті, але є й готові рішення, у яких усе структуровано: симуляції атак від сервісів з кібербезпеки, тренінги, вебінари, освітні матеріали, а також ризики, пов’язані зі штучним інтелектом і LLM-системами. 

Навчання має бути простим. Не регламенти на тисячу сторінок, а короткі відеоуроки, зокрема 3D-ігри. Можна навіть провести конкурс із призами. Ще один дієвий варіант — симуляції кібератак на співробітників. Людей варто заохочувати проходити навчання й мотивувати бути обережнішими, адже маленька помилка одного може стати великою проблемою для всієї компанії.  

Результат, якого ми прагнемо, — співробітник має розуміти, які повідомлення можуть надходити, які існують ризики й техніки атак і як виглядає ланцюжок атаки (наприклад, після переходу за підозрілим посиланням), щоб не лякатися й не панікувати, якщо щось пішло не так. 

Для кожного працівника має бути чіткий покроковий план дій у разі кіберінциденту, так само як під час ракетної загрози чи пожежі в офісі. Якщо комп'ютери заражені або є підозра на атаку, адміністратори мають надати конкретні інструкції. 

Те саме стосується соціальної інженерії: співробітник повинен знати, що робити, якщо він отримав підозріле повідомлення, помітив спробу маніпуляції або вже натиснув на посилання чи перейшов на підозрілий сайт. 

Тому й існують спеціалізовані системи, що поєднують навчальні курси та симуляції фішингових атак. Це якраз те, що ми пропонуємо: готові продукти, які можна придбати й налаштувати під потреби компанії. 

Корисні звички з кібергігієни, які справді мають значення

Надійний захист починається з простих звичок: як ми користуємося ШІ, створюємо й зберігаємо паролі та працюємо з особистих пристроїв.

Тут аналізую з двох ракурсів: корисні звички для бізнесу та окремого співробітника. 

З боку бізнесу:

Насамперед має з'явитися розуміння, які ШІ-інструменти використовуються в компанії, бо зазвичай про це не всі знають. Компанії часто впроваджують ШІ й заохочують співробітників ним користуватися, але не мають інструментів, щоб відстежувати, хто, де і як його застосовує. 

ШІ-інструменти відрізняються залежно від версії та можуть мати різні вразливості й обмеження. Особливо це стосується розробки програмного забезпечення, де ШІ вже відіграє значну роль у повсякденній роботі розробників. Тут важливі не лише можливості інструмента та його сумісність з мовою програмування, а й те, чи може згенерований ним код містити вразливості. 

Бізнес також має чітко розуміти, які дані співробітники можуть передавати ШІ, а які ні. 

Тому корисна звичка — контролювати використання ШІ-інструментів, знати, які версії застосовуються, і розуміти пов'язані з ними ризики.

З боку співробітника:

Для людини це передусім означає розуміти, з яким інструментом вона працює. Не варто перекладати на ШІ всі завдання. Моя думка така: якщо ти можеш сам розібратися з питанням, спробуй спочатку зробити це власноруч. 

Результат роботи ШІ теж варто перевіряти в кілька етапів і не задовольнятися першою відповіддю. Треба критично оцінювати результат, перевіряти його достовірність і вдосконалювати формулювання запитів, тобто підхід до промпт-інжинірингу.

Найкраще комбінувати кілька ШІ-інструментів, порівнювати їхні результати й аналізувати самостійно.

Водночас ніхто не скасовував звичайного пошуку в інтернеті, звернення до інших джерел і читання книжок. Усе це допомагає перевіряти результати та формувати власне розуміння теми. 

Ну і зрозуміло, що не варто користуватися невідомими, безкоштовними чи китайськими ШІ-сервісами. Не треба завантажувати туди особисті фото, паспортні дані, інформацію про банківські картки або паролі. 

Окремих особливих звичок щодо паролів зараз немає, окрім однієї: пароль має бути дуже довгим і складним.

З боку бізнесу:

Незалежно від того, купує компанія готовий продукт чи розробляє власний, питання автентифікації потрібно враховувати заздалегідь. 

Зараз існує багато рішень, які дають змогу централізувати автентифікацію в компанії. Якими б ресурсами працівник не користувався, працює єдина точка входу: він реєструється в одному сервісі, має один пароль, який регулярно змінюється, і за його допомогою заходить на всі потрібні сервіси. Це дуже зручно, і в продуктах, якими ми займаємося, такі інструменти теж є.

Тому хороша звичка для компанії — використовувати систему, у якій передбачені ротація паролів, вимоги до їхньої складності та двофакторна автентифікація.

Здавалося б, про двофакторну автентифікацію вже знають майже всі, але на практиці про неї не завжди замислюються. А кращого способу захистити пароль, ніж перевірити особу користувача через інший канал, поки що не придумали.

З боку співробітника:

Раніше вистачало коротших паролів (умовно до 20 символів), але тепер варто надавати перевагу довшим: від 15 до 20 символів, а в ідеалі й понад 30. Важливо поєднувати верхній і нижній регістри, цифри та спеціальні символи. 

Найважливіша звичка щодо паролів — вчасно їх змінювати.

Ротацію треба проводити регулярно й не чекати, доки сервіс сам про це нагадає. Раджу зробити нотатку або нагадування в календарі. Водночас варто перевіряти, чи підтримує сервіс необхідні механізми керування паролями.

З боку бізнесу: 

У нинішніх нестабільних умовах працівникам дозволяють працювати з ноутбуків і телефонів, зокрема й особистих. Це створює додаткові ризики. 

В офісі все більш контрольовано: є камери та інші засоби безпеки, тож, наприклад, складно непомітно винести монітор. Але людина може працювати з дому або поїхати кудись зі своїм пристроєм, і тоді компанія вже не розуміє, що з ним відбувається і куди він може зникнути. Одразу постає багато питань: як захищати всі ці пристрої та які звички в цьому допоможуть. 

Корисна звичка для компанії — мати софт, який перевіряє рівень захищеності пристроїв.

Це завдання виконують рішення класу Mobile Device Management (MDM). Наприклад, якщо пристрій тривалий час не виходить в інтернет, MDM може заблокувати його або видалити з нього корпоративні дані. 

Варто також завжди мати можливість віддалено підключитися до пристрою, виданого компанією, навіть якщо співробітник користується ним як персональним (наприклад, бере із собою в подорожі). Це дає змогу перевіряти стан пристрою, допомагати співробітнику, віддалено блокувати робочі дані паролем або видаляти їх, а також забезпечувати їхнє шифрування. 

Можна також контролювати геолокацію: якщо пристрій опинився там, де його не мало бути, але має доступ до інтернету, його місцезнаходження можна визначити віддалено. 

Окремо про особисті мобільні пристрої, які належать співробітнику. На них теж можна встановити робочі застосунки та створити робочі області, які контролює компанія. Але геолокація тут окреме питання, адже надавати доступ до свого місцезнаходження чи ні — це право самого співробітника. Зате на таких пристроях можна налаштувати політики безпеки, які перевіряють, чи є пароль, чи ввімкнено шифрування та чи відповідає пристрій вимогам безпеки. 

Наприклад, пристрій могли купити на OLX зі значною знижкою, а він зламаний: має root-права або, якщо це iPhone, jailbreak. Це значний ризик, зокрема під час надання доступу до корпоративної пошти, адже її може читати не лише співробітник, а й хтось інший, хто має доступ до пристрою. Тому корисна звичка навіть для особистих пристроїв — користуватися MDM-системою. 

З боку співробітника:

Правила, по суті, ті самі. Якщо ти користуєшся різними сервісами на особистих пристроях, важливо мати окремий пароль для кожного з них, користуватися застосунком для двофакторної автентифікації та вмикати її скрізь, де це можливо. Для зручності можна використовувати один такий застосунок. 

Потрібно мати пароль на пристрої й регулярно його змінювати, а також оновлювати свій пристрій і не ходити з одним і тим самим по 10 років. 

У старих версіях операційної системи є вразливості, які усуваються оновленнями, тому ОС важливо оновлювати регулярно. 

Ще одна корисна порада — не користуватися піратським програмним забезпеченням. Для особистих пристроїв це стандартна гігієна роботи з інформацією: потрібно стежити за тим, які ресурси ти відвідуєш і чим користуєшся. 

Які організаційні зміни варто провести, якщо хочете зміцнити захист у 2027 році

Ух, організаційні зміни… 

Перша зміна, яку я б порадив провести, звучить так: 

Якщо в компанії немає керівника з інформаційної безпеки, потрібно призначити людину, яка відповідатиме за цей напрям.

Ця людина шукатиме способи розв’язання питань, підбиратиме рішення, безкоштовні й платні, та оцінюватиме ризики для компанії. 

Керівник з інформаційної безпеки повинен мати відповідну кваліфікацію або профільну освіту. Бажано також мати сертифікацію: для цієї ролі вона важлива. 

Це варіант для малого бізнесу. 

У середньому й великому бізнесі відповідні відділи та департаменти зазвичай вже є. З того, що я бачу, компанії створюють окремі центри Security Operations Center (SOC), які цілодобово стежать за тим, що відбувається в організації. Люди постійно аналізують ситуацію, відстежують сигнали й алерти, контролюють безпеку компанії і вдень, і вночі. 

Друга зміна:

Організувати внутрішній тест на проникнення на постійній основі, щоб першим знайти проблему та відреагувати на неї. 

Якщо компанія сама не спробує зламати власні системи, це може зробити хтось ззовні: окрема людина, хакерське угруповання або країна, з якою ми межуємо і звідки постійно летять кібератаки. І є ймовірність, що в цього «когось ззовні» усе вийде.

Зазвичай компанії знають про пентест як послугу й замовляють її. Якщо це разова послуга, вона коштує досить дорого, і проводять її один-два рази на рік. Це ефективний спосіб отримати незалежний аудит, але сенс у тому, щоб мати таку практику всередині компанії. Хай це буде навіть одна людина: якщо в компанії немає відділу інформаційної безпеки, цю роль може взяти на себе IT-фахівець, helpdesk-спеціаліст або системний адміністратор. 

Варто згадати й про програми bug bounty. Велика компанія може встановити винагороду за виявлення вразливостей, щоб фахівці могли легально тестувати її системи. Тоді вона не намагається судитися з людьми чи ігнорувати їхні звернення, а навпаки, платить за знайдені вразливості. Наприклад, якийсь IT-фахівець в Україні, не пов'язаний із компанією, хоче заробити й перевірити свої знання. Він протестує її системи та, можливо, знайде вразливість, за яку компанія буде готова заплатити. 

Проводити пентест треба регулярно й автоматизувати процес, адже в компанії щодня з’являються нові активи: бізнес зростає, відкриває нові офіси чи магазини в інших містах, розширює інфраструктуру, запускає нові сервери, продукти та інтеграції з партнерами. 

І я хотів би, щоб усі наші компанії повірили в цю ідею та використовували один із двох підходів: або самостійно тестували власні системи зсередини, або дозволяли іншим фахівцям легально їх перевіряти.