Росстат потратил на кибербезопасность как минимум 231 млн рублей за три года

1 ноября хакерские группировки Silent Crow и «Киберпартизаны» заявили, что взломали Росстат и похитили десятки терабайт данных, в том числе статистику по причинам смерти и данные об оккупированных территориях, которые российские власти не публикуют. «Важные истории» изучили госзакупки Росстата и планы по его цифровизации и выяснили, сколько он тратил на информационную безопасность перед атакой. Рассказываем, как устроена защита главного статистического ведомства.

Сколько стоит защита Росстата

Расходы Росстата на информационную безопасность можно оценить лишь приблизительно. В бюджете ведомства они отдельно не указаны, а данные госзакупок расходятся с отчетностью самого Росстата. 

По подсчетам «Важных историй», с 2024 года Росстат заплатил подрядчикам по госконтрактам, связанным с информационной безопасностью, 231 млн рублей. Это минимальная оценка без учета расходов территориальных органов и подведомственных учреждений Росстата, а также закрытых закупок. 

В программе цифровой трансформации Росстата, где ведомство планирует IT-расходы и отчитывается о них, суммы меньше. По этой программе Росстат потратил на информационную безопасность 47,2 млн рублей в 2024 году и 24,6 млн в 2025-м, хотя на 2025 год было заложено 101,5 млн рублей. В 2026 году Росстат заложил на это 238,5 млн рублей. 

Для сравнения: компания на 500–600 сотрудников тратит на информационную безопасность в среднем 600–700 тыс. долларов в год (около 48–56 млн рублей), говорит Максим Мошаров, основатель компании Whitespots, которая разрабатывает решения в сфере кибербезопасности на зарубежном рынке. Росстат намного больше: по данным самого ведомства на 2020 год, там работает около 17 тыс. сотрудников (вместе с региональными отделениями). По словам эксперта, с ростом числа сотрудников растут расходы на мониторинг атак и защиту рабочих компьютеров: «Чем их больше, тем дороже».

При этом в России защита обходится дороже, чем на Западе, а качество у нее ниже, говорит Мошаров. Например, стоимость системы, которая следит за безопасностью приложений, в странах СНГ обычно доходит до 200 тыс. долларов (около 16 млн рублей), а европейские и американские аналоги стоят 60–100 тыс. долларов (5–8 млн рублей). Западные системы, которые отслеживают утечки данных, по его словам, «на голову выше»: они учитывают опыт атак по всему миру и «более зрелые», потому что производителям приходится конкурировать друг с другом. «И от этого клиент очень сильно выигрывает. В России и в СНГ этого, мне кажется, еще долго не будет», — говорит он. 

Расходы Росстата на информационную безопасность почти в 20 раз меньше, чем у «Аэрофлота», который те же хакерские группировки взломали летом 2025 года. В 2024 году авиакомпания потратила на информационную безопасность 858,8 млн рублей. Но и это не спасло ее от атаки: хакеры заявили, что уничтожили больше 7 тысяч серверов «Аэрофлота», и авиакомпании пришлось отменить десятки рейсов.

Тратить деньги, заложенные в программе цифровизации, ведомство не спешило. В июле 2026 года вице-премьер Дмитрий Григоренко выдал замечания 20 федеральным ведомствам за отставание в цифровой трансформации. Росстат получил замечание о «низком уровне принятия бюджетных обязательств» — такие обязательства ведомство принимает, когда заключает контракты в пределах выделенных ему денег. 

100% отечественной защиты

Росстат утверждает, что полностью перешел на российские средства защиты информации. В программе цифровой трансформации ведомство указало, что доля отечественных средств защиты составляет 100%. При этом сами системы, которые она защищает, по данным на 2024 год, на две трети состояли из иностранных компонентов: доля российских составляла в тот год всего 32,4%. К 2026 году ведомство планировало довести эту долю до 59,7%.  

Высокая доля отечественных средств защиты еще не значит, что ведомство хорошо защищено, говорит Алексей Фокин, технический эксперт RKS Global. «Если какая-то организация показывает, что у нее на балансе некий процент отечественных средств защиты информации, — это значит, что она выполняет требования по происхождению продуктов, но ничего не говорит об обеспечении их устойчивости к атакам. Само наличие ПО не главное. Важно, как инфраструктура настроена, своевременно ли обновляется и находится ли под постоянным контролем специалистов», — объясняет он.

После ухода западных производителей российские организации, в том числе госорганы, остались без их технической поддержки и обновлений. Из-за этого, по словам Фокина, «в инфраструктуре могут сохраняться известные уязвимости, которые сложно или невозможно устранить штатным способом». «Отечественный антивирус или межсетевой экран (средство защиты, которое фильтрует сетевой трафик и блокирует подозрительные подключения — прим. ред.) не компенсирует полностью уязвимость базовой инфраструктуры», — говорит эксперт.

Но и сам переход на отечественные решения не гарантирует безопасности, говорит он. Фокин приводит в пример атаку на хостинг-провайдера FirstVDS, о которой стало известно в октябре 2026 года. Злоумышленники воспользовались уязвимостью в российской платформе для виртуальной IT-структуры VMmanager 6, получили доступ к части инфраструктуры провайдера и копировали данные прямо с дисков клиентских серверов. По словам эксперта, уязвимость могли бы найти раньше, если бы российские разработчики «не замкнулись в узком пространстве между санкциями, с одной стороны, и отсутствием конкуренции — с другой». 

Главная проблема, по словам Фокина, начинается тогда, когда выполнить план по импортозамещению становится важнее, чем обеспечить безопасность. «Ресурсы тратятся на закупку и внедрение новых продуктов, что позволяет отчитаться о наличии средств защиты, а текущий мониторинг, управление уязвимостями, резервное копирование и подготовка к инцидентам остаются работать по остаточному принципу», — говорит эксперт.

Отдел безопасности из пяти человек

Росстат, как и другие федеральные ведомства, должен защищаться от кибератак по правилам, установленным специальным указом президента. По этому указу обеспечивать информационную безопасность должен заместитель руководителя. В Росстате за это с 2026 года отвечает замглавы ведомства Леонид Новиков. 

Кроме того, ведомство должно создать отдельное подразделение по информационной безопасности, а при необходимости — привлечь подрядчика. В Росстате, как следует из его программ цифровой трансформации, такой отдел состоит из пяти человек, а обнаруживать и предупреждать атаки ведомство планировало «самостоятельно силами органа», без сторонних организаций.

Зона ответственности отдела из пяти человек обширна. Только главная система ведомства — государственная информационно-вычислительная система (ГИС ИВС) — в 2024 году состояла из пяти подсистем и работала на 419 серверах, следует из документов госзакупок. В 2026-м к ней начали подключать еще девять подсистем — до 197 серверов. Помимо нее, у ведомства есть цифровая аналитическая платформа, закрытый контур для информации ограниченного доступа и система документооборота с грифом «для служебного пользования», следует из документов госзакупок. Средства защиты Росстат закупал на 17 тысяч компьютеров. Взломавшие ведомство хакеры утверждают, что получили доступ к 25 тысячам машин.

По словам эксперта Максима Мошарова, 5–6 специалистов по безопасности было бы «более чем достаточно для организации до 500–600 сотрудников», если это профессионалы. Обычно, объясняет эксперт, один человек отвечает за безопасность инфраструктуры, другой — за соответствие требованиям и внутренние правила, третий — за защиту приложений. Еще нужен руководитель службы безопасности и один-два человека, которые реагируют на инциденты. «Если они, опять же, профессионалы своего дела, если они знают, что делают. Потому что выстрелить себе в ногу можно многими путями», — говорит эксперт. Специалист, знакомый с современными практиками, по его словам, может за неделю покрыть защитой «все эти репозитории, домены, все активы компании», а менее опытный сотрудник «будет делать это годами, и все равно не покроет».

Госконтракт на мониторинг за два месяца до атаки

Отслеживать атаки «самостоятельно силами органа» Росстат перестал только летом 2026 года, показывают госзакупки. В июне ведомство заключило контракт на 115,8 млн рублей с АО НИП «Информзащита» на «приведение в соответствие требованиям по защите информации объектов информатизации и мониторинг инцидентов информационной безопасности». Это крупнейший открытый контракт Росстата на кибербезопасность с 2024 года.

По техзаданию «Информзащита» должна следить за системами Росстата круглосуточно и без выходных, удаленно из своего офиса через защищенный канал. В рамках того же контракта «Информзащита» поставила Росстату систему сбора и анализа событий безопасности Kaspersky KUMA: через нее подрядчик и следит за атаками. Критичный инцидент подрядчик должен зарегистрировать за 20 минут, проанализировать за 30 минут и за полтора часа выдать рекомендации, как на него реагировать. По условиям контракта, мониторинг должен быть начаться 1 сентября 2026 года — за два месяца до хакерской атаки. Другие работы по этому контракту к моменту атаки не были закончены.

Одновременно на момент атаки в Росстате перестраивали защиту главной системы ведомства — информационно-вычислительной системы (ГИС ИВС), следует из данных госзакупок. Через нее Росстат собирает, обрабатывает и хранит статистические данные. В конце июля 2026 года Росстат заключил с той же «Информзащитой» контракт на 72,8 млн рублей на подготовку системы защиты ГИС ИВС к аттестации: к системе подключают девять новых подсистем. По графику из техзадания в конце октября средства защиты еще должны были устанавливать и настраивать.

Кто защищает Росстат

АО НИП «Информзащита» — основной подрядчик Росстата по информационной безопасности. С 2024 года компания получила от ведомства 183 млн рублей — это почти 80% всех денег, которые ведомство заплатило по контрактам на защиту информации за это время. Пять из шести контрактов «Информзащита» получила без конкуренции: кроме нее, в аукционах никто не участвовал.

«Информзащита» называет себя ведущим российским системным интегратором в сфере информационной безопасности. Компания работает в основном на государство: в 2016 году Forbes писал, что от госзаказчиков она получала почти 90% выручки, а среди ее клиентов были ЦИК, Центробанк, ФСБ и Казначейство. 

Компанию основали Владимир Гайкович, Петр Ефимов, Дмитрий Ершов и Юрий Соколов. До этого, по данным Forbes, они работали в Генштабе, военном НИИ и НТЦ «Атлас», связанном со спецслужбами. Сейчас это структура оборонного концерна «Ростех», которая делает криптографические средства, защищенные сотовые телефоны и программно-аппаратные комплексы для обнаружения кибератак по лицензиям ФСБ и Службы внешней разведки.

В 2016 году Forbes писал, что у «Информзащиты» есть непубличный «стратегический инвестор», который консолидировал не меньше 75% акций. Четыре источника издания называли этим инвестором представителя Георгия Генса, основателя группы «Ланит». Сам Генс это отрицал. 

В 2020 году 88,4% акций «Информзащиты» купил его сын Филипп Генс, владелец «Ланита». Осенью 2023 года из числа акционеров вышел последний из основателей, Петр Ефимов, а в декабре 2023 года владельцем 100% компании стала новосибирская управляющая компания «Гамма Групп». С декабря 2025 года «Информзащита» принадлежит закрытому паевому фонду «Ясон» под управлением той же УК. Пайщики фонда не раскрываются, поэтому кто сейчас стоит за «Информзащитой», неизвестно.

«Информзащита» не раз нарушала сроки по контрактам с Росстатом. Например, в ноябре 2024 года ведомство заказало ей аттестацию своей главной системы (ГИС ИВС). По условиям контракта основной этап работ нужно было сдать в январе 2025 года, но компания опоздала почти на два месяца. За просрочку Росстат удержал с компании неустойку 1,7 млн рублей. 

Несмотря на это, Росстат продолжил работать с «Информзащитой». В декабре 2025 года ведомство заключило с ней новый контракт на 40,1 млн рублей: на аттестацию цифровой аналитической платформы, закрытого контура и системы документооборота с грифом «для служебного пользования». Часть работ компания снова сдала с опозданием, некоторые она задержала почти на два месяца. По этому контракту Росстат дважды потребовал от «Информзащиты» заплатить неустойку за просрочку. Второе требование пришлось на те же дни, когда ведомство подписывало с «Информзащитой» еще два контракта, связанных с информационной безопасностью, в том числе на мониторинг атак.

«Важные истории» направили запросы ответственному за информационную безопасность в Росстате заместителю руководителя ведомства Леониду Новикову и главному подрядчику ведомства по информационной безопасности «Информзащите».