Итог: защитники догоняют, но пока отстают — и главная причина не в технологиях, а в физическом дефиците людей. Хуже всего — управление уязвимостями (0,92) и доступом (1,21): те самые «базовые» вещи, которые дешевле всего внедрить и на которых массово экономят. KPI завязан на «закрытие предписаний регулятора», а не на «снижение ущерба от инцидента». Компании вынуждены тратить ресурсы не на то, что реально защищает, а на то, что каталогизировано и сертифицировано ФСТЭК. Киберстрахование в РФ пока почти не развито: за год компании заплатили за полисы от кибератак порядка 1,5–3 млрд руб.