73% от организациите заявяват, че не са напълно готови за сериозна кибератака

Повечето организации разполагат с планове за реагиране при инциденти, инструменти за сигурност и технически екипи. Нови изследвания обаче показват, че на много от тях все още им липсват координация, видимост и съгласуваност на ръководно ниво, необходими за устояване на сериозна кибератака.

Според доклада „The State of Incident Response Readiness 2026“, базиран на проучване сред 600 висши служители, вземащи решения за ИТ сигурността, проведено от Vanson Bourne през януари и февруари 2026 г., 73% от организациите признават, че не биха били „напълно готови“, ако утре се случи значима кибератака.

Констатациите посочват критична пропаст между наличието на възможности за реагиране при инциденти и способността за ефективното им прилагане под натиск.

Докладът също така установява, че кибератаките вече са повтарящ се бизнес риск. Повече от три четвърти от организациите (76%) са претърпели поне една кибератака през последните 12 месеца, докато 32% са претърпели повече от една.

Реагирането при инциденти се е развило далеч отвъд техническото ограничаване. Зрялото реагиране сега изисква управление на кризи на ръководно ниво, правна и регулаторна координация, комуникация със заинтересованите страни, разследване в мащаба на цялото предприятие, отстраняване на последиците, възстановяване и мониторинг след инцидента.

Проучването показва, че много организации се затрудняват да обединят тези елементи по координиран начин. По-малко от 40% от респондентите описват ключови компоненти за реагиране при инциденти като „високо ефективни“, включително области като документирани планове, симулационни учения, търсене на заплахи, дигитална криминалистика и денонощен мониторинг.

Проблемът не е просто дали тези възможности съществуват. По-голямото безпокойство е дали те работят заедно, когато решенията трябва да се вземат бързо.

Една от най-значимите констатации е степента, в която вътрешните търкания влияят на усилията за реагиране. Докладът установява, че 90% от организациите очакват трудности при координирането на заинтересованите страни по време на сериозен инцидент.

Това предизвикателство пред координацията става особено проблематично, когато правните екипи, екипите за комуникации, сигурност, ИТ и ръководството не са съгласувани преди началото на инцидента. Изследването показва, че 75% от анкетираните са съгласни, че закъсненията или несигурността около участието на правния екип и екипа по комуникации забавят вземането на решения по време на киберинциденти.

Докладът също така установява, че 89% посочват ограничено участие на ръководството или управителния съвет в готовността за реагиране при инциденти и вземането на решения.

Това създава опасен модел по време на реален инцидент: техническите екипи разследват и ограничават атаката; ръководителите изискват актуализации, преди да одобрят важни действия; правните и комуникационните екипи се включват късно; решенията за разкриване на информация, съобщенията към клиентите и ескалацията се бавят; екипите за реагиране губят време, когато вземането на решения за ограничаване изисква бързина.

На практика неизяснената отговорност може да превърне процеса по реагиране на инциденти в реактивен цикъл. Вместо да изпълняват проигран план, екипите прекарват критично време в информиране на заинтересованите страни, изясняване на правомощията и чакане на одобрения.

Докладът подчертава и голямо техническо предизвикателство: организациите често не могат да видят напълно накъде са се придвижили атакуващите.

Според проучването 78% от респондентите са съгласни, че „слепите петна“ в тяхната среда създават постоянен достъп за атакуващия и увеличават риска от повторни инциденти. Тези слепи петна могат да обхващат локална инфраструктура, публични облачни среди, крайни устройства, SaaS платформи, системи за идентификация и среди с оперативни технологии (OT).

Тази липса на видимост може да попречи на реагиращите да отговорят с увереност на съществени въпроси като: Преместил ли се е атакуващият хоризонтално? Компрометирани ли са акаунти с привилегии? Премахнат ли е зловредният код или средствата за поддържане на присъствие? Може ли атакуващият да се завърне след възстановяването?

Без надеждна видимост организациите рискуват да ограничат само част от инцидента, оставяйки достъпа на киберпрестъпника непокътнат.

Докладът установява, че 84% от организациите са загрижени за преминаването на атакуващите от корпоративните ИТ системи към среди с оперативни технологии (OT) или индустриални системи за управление (ICS).

Това безпокойство е особено сериозно за сектори като производство, енергетика, здравеопазване, транспорт и критична инфраструктура, където киберинцидентите могат да засегнат физическите операции. Ако атакуващите се преместят от ИТ в среди с OT или ICS, въздействието може да надхвърли кражбата на данни или прекъсването на бизнеса, засягайки производството, безопасността, предоставянето на услуги и сроковете за възстановяване.

Констатациите показват, че много организации признават тази уязвимост, но все още нямат единната видимост, необходима за бързо откриване и спиране на движението между различните среди.

Докладът показва, че киберинцидентите водят до реални последици в различни сектори и региони. Сред организациите, засегнати от кибератака през последните 12 месеца, последиците включват спиране на работата, загуба на данни, увреждане на репутацията, загуба на клиенти, пропуснати приходи и промени в ръководството.