Экспертно-аналитический центр ГК InfoWatch (ЭАЦ) представил второй отчет по результатам исследования на тему оценки ущерба от утечек информации в российских компаниях. Отчет подготовлен на базе исследования группы ЦИРКОН, проведенного по заказу ГК InfoWatch, а также собственных исследований ЭАЦ и опросов Ассоциации по вопросам защиты информации (BISA). Главная цель проекта – определить, насколько объективно бизнес воспринимает проблему с утечками данных и как оценивает ущерб от них. Первый отчет был посвящен осознанию проблемы утечек информации и осведомленности сотрудников о них. Второй отчет «Причины утечек информации, представления о рисках и направлениях угроз» прежде всего посвящен исследованию оценок источников компрометации данных.
«Крот» внутри
В ходе исследования особое внимание было уделено вопросу о причинах утечек информации в российских организациях, где респонденты могли отметить несколько вариантов ответа. Почти половина опрошенных (44%) заявили, что основной причиной сегодня являются неумышленные действия сотрудников. 37% опрошенных указали на умышленные действия персонала, 42% выделили в качестве источника угрозы компьютерные атаки. Ошибки в настройках систем защиты указали 35% ответивших.
При этом подавляющее большинство респондентов (58%), уверенных в том, что к утечкам приводят неумышленные действия, полагают, что инциденты связаны с ошибками сотрудников – наиболее часто к утечкам такого рода приводят невнимательность персонала и ошибочные действия технических специалистов. При этом респонденты, склонные считать основной причиной утечек умышленные действия персонала, чаще всего полагают, что к утечкам приводят совместные действия внутренних и внешних нарушителей — 32% ответов.
«Сегодня одной из главных угроз безопасности данных часто называют хакерские атаки, что также подтверждается статистикой, и такого рода угрозы, безусловно, всегда актуальны в цифровом мире – мы регулярно слышим о компьютерных атаках, в результате которых остановлена деятельность предприятия, украдены или зашифрованы данные. Однако результаты исследования показали, что бизнес, который непосредственно сталкивается с утечками и их последствиями, по-прежнему видит основную угрозу информационным активам в действиях персонала – как умышленных, так и случайных. При этом опрошенные представители компаний и организаций отдельно отмечают, что каждый третий случай – это гибридная атака, то есть утечка, к которой приводят совместные действия внутренних и внешних нарушителей. В результате мы приходим к выводу, что внутренняя угроза вызывает наибольшую тревогу у респондентов, даже в условиях нарастающей опасности со стороны киберпреступности. Можно сказать, что в их представлении внутренний «крот» опаснее толпы «хулиганов», штурмующих бетонный забор», – отмечает руководитель направления аналитики и спецпроектов экспертно-аналитического центра ГК InfoWatch Андрей Арсентьев.
В ЭАЦ InfoWatch указывают, что аналогичную тенденцию эксперты отмечали и ранее – согласно исследованию ЭАЦ, в 2023 году респонденты сообщали, что более 75% утечек в их компаниях произошли по вине действующих и бывших сотрудников.
Угроза деятельности и репутации
Отвечая на вопрос о последствиях утечек данных и ущербе от них, больше 50% опрошенных представителей бизнеса отметили, что подобные инциденты угрожают деятельности компании и ее репутации. При этом 48% респондентов считают, что утечки информации в компании несут угрозу ее клиентам. Среди прочих последствий участники исследования выделяют юридические. Компрометация данных угрожает законным правам и интересам граждан (34%), отрасли в целом (26%), а также компаниям-контрагентам – 22% ответов (допускалось несколько вариантов ответа).
Интересно, что даже с учетом таких оценок большинство представителей бизнеса довольно оптимистично оценивают вероятность наступления в их компаниях инцидентов, связанных с кражами или потерями конфиденциальных данных. Около 54% опрошенных считают риски таких инцидентов умеренными, а 23% — незначительными. Только примерно каждый пятый участник исследования оценивает риски компрометации данных своей компании как значительные.
Также исследование показало, что за сохранность данных больше всего опасаются представители крупных организаций (штатная численность от 1000 сотрудников). Из этой категории опрошенных 40% считают риск утечки информации из своих организаций значительным. В небольших компаниях, напротив, чаще оценивают риск утечки данных как незначительный. В то же время исследования ЭАЦ показывают, что фокус утечек данных сместился в сторону малых и средних компаний. На долю организаций с количеством сотрудников до 500 пришлось 68% утечек информации, случившихся в I полугодии 2024 года.
«Недооценка рисков утечек данных характерна для небольших организаций, которые зачастую не могут обеспечить надежную защиту информации и не сталкивались с утечками прежде, что выражается в отсутствии у таких компаний методики оценки ущерба и, как правило, в более беспечном отношении к проблеме, чем у крупных компаний. Вероятно, отчасти из-за этого в последнее время доля утечек, приходящихся на малые организации, существенно выросла» – заключает Андрей Арсентьев.
