#security
Protect your financial data with security best practices and tools
8 июня 2026 года Expensify запустила MCP-сервер, позволяющий Claude, ChatGPT и Cursor запрашивать данные о расходах в реальном времени через OAuth 2.1. Вот что означает протокол контекста модели для бухгалтерии малого бизнеса, какие вопросы о доступе стоит проверить перед подключением — только чтение или запись, возможность отзыва, хранение данных — и почему чистые записи важнее в эпоху ИИ.
Компрометация деловой электронной почты обошлась американским компаниям более чем в 3 миллиарда долларов в 2025 году, в среднем 137 000 долларов за инцидент — и 45% малого бизнеса, пострадавшего от BEC, закрываются в течение шести месяцев. Непрерывный аудит на основе ИИ теперь доступен по цене от 20 до 70 долларов в месяц; вот как обнаружение аномалий, проверка учетных записей поставщиков и бесплатные меры контроля, такие как обратные звонки при изменении реквизитов платежа, снижают риски без корпоративного набора инструментов для борьбы с мошенничеством.
Лишь 38% малых предприятий имеют киберстраховку, 44% застрахованных недостаточно застрахованы, и почти половина страховых требований отклоняется или закрывается без выплаты. Руководство по сублимитам выкупа при атаке, лимитам социальной инженерии и требованиям к мерам безопасности, определяющим, выплатит ли полис вообще.
Киберстрахование для малого бизнеса стоит примерно 400–1 600 долларов в год при лимите в 1 миллион долларов, в то время как средняя стоимость восстановления после утечки составляет 120 000 долларов, а каждый час простоя обходится в 53 000 долларов. Руководство по покрытию для первой и третьей сторон, факторам, влияющим на премии в 2026 году, а также сублимитам по социальной инженерии и требованиям MFA, которые чаще всего приводят к отказам в выплатах.
Генеративный ИИ сделал имитацию поставщиков дешёвой: 76% организаций столкнулись с платёжным мошенничеством в 2025 году, а поддельные материалы, созданные ИИ, теперь стоят за 70.8% мошенничества с авансовыми отчётами. Вот меры контроля, которые всё ещё работают — проверка по независимому каналу, двойное утверждение, порядок в файле поставщиков и проверяемый учёт.
Список IRS «Dirty Dozen 2026» отмечает волну фишинга, нацеленного именно на расчёт зарплаты: поддельные письма от HR-портала и запросы на смену реквизитов прямого депозита, перенаправляющие зарплату мошенникам. Центр приёма жалоб на киберпреступления ФБР (IC3) зафиксировал 24,768 жалоб на компрометацию деловой почты на общую сумму около $3.05 billion в 2025 году, при этом 86% потерь прошло через банковский перевод или ACH — те же каналы, через которые идёт расчёт зарплаты. В статье — три тревожных признака (срочность, необычные запросы, изменения процессов), пять процессных мер контроля, закрывающих лазейку «только по почте», и порядок действий в первые 72 часа, если зарплата уже была перенаправлена.
Закон HB 974 штата Миссури, подписанный 2 июля 2025 года и вступающий в силу 1 января 2026 года, распространяет типовой закон NAIC о безопасности данных страховых компаний почти на всех лицензиатов страховой деятельности в штате — требуя письменную программу безопасности, ежегодную оценку рисков, план реагирования на инциденты, контроль поставщиков и уведомление регуляторов о нарушениях в течение четырёх рабочих дней.
Черновик NIST CSWP 50, опубликованный в апреле 2026 года, — первое федеральное руководство по кибербезопасности, написанное специально для компаний без наёмных сотрудников — 28+ миллионов бизнесов в США с нулевым числом работников. Рассказываем, что изменилось по сравнению с руководством 2009 года, как шесть функций CSF 2.0 применяются к соло-бизнесу, и даём 30-минутный чек-лист для действий уже сегодня.
Аудит TIGTA 2026 года выявил 1375 несанкционированных входов в закрытые зоны с документами налогоплательщиков и критические уязвимости, которые не устранялись в среднем 223 дня у подрядчиков по сканированию IRS. Вот что обнаружил контрольный орган, как отреагировала IRS и какие конкретные шаги — регистрация IP PIN, ранняя подача декларации, электронная подача — снижают ваши риски.
73% бухгалтерских фирм уже используют инструменты ИИ, но лишь 37% провели хоть какое-то формальное обучение по ИИ, а сотрудники, вставляющие данные клиентов в потребительские чат-боты, могут спровоцировать обязанность уведомлять об утечке данных согласно Правилу AICPA о конфиденциальной информации клиентов — вот что на самом деле должно входить в рабочую двухстраничную политику ИИ для небольшой бухгалтерской фирмы.
Фирма по аудиту кода, продающая статические аудиты с фиксированным объемом, почасовое исправление ошибок и перепродаваемые подписки SAST, применяет три правила признания выручки по ASC 606 в рамках одного бизнеса: единовременно, по мере выполнения и равномерно. Это руководство охватывает план счетов для их разделения, тест «принципал против агента» для маржи реселлера и практический пример проводок по одному клиентскому проекту с использованием доходов будущих периодов, невыставленных счетов и маржи подписки.
В начале 2026 года Chase внедрил вход через passkey и функцию «Доверенный контакт» для борьбы с мошенничеством на основе клонирования голоса с помощью ИИ, которое обходится малому бизнесу в среднем в $30,000–$400,000 за один инцидент.
