К утечкам данных ведет недооцененный человеческий фактор
К утечкам данных ведет недооцененный человеческий фактор
Эксперты «СёрчИнформ» проанализировали причины инцидентов в сфере корпоративной информационной безопасности
Большинство российских компаний в 2020 году фиксировало инциденты с нарушением информбезопасности, связанные с действиями сотрудников. В большинстве случаев таких увольняли, до суда дело доводили лишь 12% работодателей
Сотрудники большинства российских компаний оказались замешаны во внутренних инцидентах в сфере информационной безопасности, не фиксировали такие ситуации лишь 12% организаций. Это следует из опроса, проведенного разработчиком решений в сфере информационной безопасности «СёрчИнформ» (есть у РБК).
Речь идет об утечках данных (такие случаи за своими сотрудниками фиксировали 58% опрошенных), попытках отката или взяточничества (28%) и саботажа — порчи имущества и интеллектуальной собственности (23%), промышленном шпионаже, работе на конкурентов (16%) и др.
При этом 40% инцидентов происходило умышленно. Значительно чаще остальных их виновниками становились менеджеры по работе с клиентами (больше 40%), бухгалтеры и финансисты (22%), а также менеджеры снабжения (20%).
Половина опрошенных заявили, что в подобных случаях увольняют нарушителей, чуть менее 40% — делают выговор или налагают штраф и лишают премии. Об инициировании судебного разбирательства заявили лишь 12% респондентов. Как отмечается в исследовании, работодателю бывает трудно доказать связь между действиями работника и причиненным уроном. «Доказательством инцидента могут стать электронная переписка, свидетельские показания, данные отслеживания действий, произведенных с учетной записи конкретного работника. Даже при должном сборе доказательств работодателям пока сложно возместить ущерб через суд. Поэтому компании предпочитают увольнять нарушителей, а разбирательство инициируют самые принципиальные», — указали авторы отчета.
Преподаватель Moscow Digital School Вадим Перевалов также отметил, что до судов подобные споры доходят нечасто в том числе потому, что «расходы на юристов, скорее всего, превысят любую потенциальную выгоду».
Как считали
«СёрчИнформ» опросила представителей более 800 компаний из России (1,35 тыс. вместе с СНГ) в сентябре—ноябре 2020 года. Исследователи получили ответы руководителей и сотрудников подразделений информационной безопасности организаций из коммерческой (71,5%) и некоммерческой сфер (2%), а также госсектора (26,5%). Среди них были сотрудники нефтегазовых и ИТ-компаний, предприятий из промышленной, транспортной, кредитно-финансовой сферы, а также ретейла, здравоохранения и т.д.
Почему сотрудники становятся нарушителями
По словам представителя «СёрчИнформа», при умышленных инцидентах самый распространенный мотив — дополнительный заработок. «В коллективах, в которых больше 50 человек, появляется процент сотрудников, которые способны на нарушение, если видят для этого возможность. К сожалению, в зоне риска — сотрудники отделов, близких к материальным ценностям. Если нормального контроля нет, велик соблазн присвоить то, что плохо лежит», — указал он. Также ценна информация — как корпоративная (клиентские базы, базы поставщиков, финрез, маркетинговые планы и пр.), так и персональные данные клиентов. На сотрудников компаний, где этих данных в избытке, например банков или телеком-операторов, злоумышленники выходят сами, провоцируя на слив, пробив, отмечают эксперты. Иногда сотрудники считают корпоративную информацию личной, что также является мотивом для ее слива; например, увольняющиеся часто считают возможным забрать с собой наработки. Есть еще случаи, связанные с местью работодателю.
Данные компании «СёрчИнформ» подтверждает руководитель направления аналитики и спецпроектов ГК InfoWatch Андрей Арсентьев. По его оценке, действия персонала спровоцировали почти 80% всех утечек данных из российских компаний в прошлом году, при этом лишь четверть инцидентов произошла неумышленно. Арсентьев добавил, что лишь в 8% случаев источниками утечки были руководители разного уровня, в большинстве ситуаций инцидент организовали рядовые работники.
«Если непривилегированные сотрудники, как правило, склонны наживаться на персональных данных, то привилегированные (топ-менеджеры, линейные руководители, системные администраторы), имея расширенные права, чаще похищают конфиденциальную информацию, относящуюся к категории «коммерческая тайна», — рассказал Арсентьев.
Директор блока экспертных сервисов BI.ZONE («дочка» Сбербанка, занимающаяся информбезопасностью) Евгений Волошин отметил, что к инцидентам, происходящим по неосторожности, сильнее всего уязвимы те же категории людей, что и к фишингу. Чтобы избежать таких утечек, компаниям следует проводить регулярное обучение, устраивать учебные рассылки и повышать осведомленность сотрудников об актуальных угрозах. «Желательно с периодичностью в несколько месяцев имитировать атаки, используя реалистичные шаблоны фишинговых писем и актуальные сценарии, и оценивать поведение каждого», — указал Волошин. По оценке BI.ZONE, такое обучение снижает подверженность фишингу примерно в десять раз.
Как повлияла пандемия
По итогам 2019 года «СёрчИнформ» сообщила, что 59% российских компаний столкнулись с утечками информации. При этом 63% опрошенных компаний скрыли инцидент и не сделали никаких оповещений. Еще выше эти показатели были в российских банках — 68 и 64% соответственно. В 89% инцидентов, связанных с утечкой данных из банков, оказались виноваты рядовые сотрудники.
В первом полугодии 2020 года об утечках информации заявил уже 91% опрошенных «СёрчИнформом» российских компаний. В 60% случаев причиной стали намеренные действия, остальные 40% таких ситуаций произошли по причинам невнимательности и наивности.
В связи с пандемией многие компании по всему миру вынуждены были спешно переводить свои коллективы на удаленный формат работы. По словам представителя «СёрчИнформа», 90% опрошенных ими компаний сообщили, что инфраструктура в режиме удаленки стала уязвимее — у работодателей не хватало ИТ-ресурсов, сотрудники использовали для работы собственные гаджеты, небезопасные массовые сервисы, часто у них не было представления, какие настройки безопасности применять. Работая из дома, люди также теряют бдительность: в случае потенциального фишинга в офисе можно посоветоваться с коллегами, позвать сисадмина, а дома каждый полагается на себя. Кроме того, дома больше возможностей обойти правила, поскольку за спиной не стоит начальник, коллеги, нет камер наблюдения.
Андрей Арсентьев считает, что в ближайшее время коренного перелома в борьбе с утечками по вине внутренних нарушителей ожидать не стоит, однако можно сдержать рост их числа, «правильно настраивая системы для контроля передачи информации по различным каналам (включая мессенджеры), переходя на современные решения по управлению доступом и внедряя системы контроля действий сотрудников и предиктивную аналитику». Евгений Волошин добавил, что утечки информации, как и другие проблемы безопасности, «часто связаны с ростом компаний и с тем, что развитие безопасности в компаниях отстает от развития бизнеса и ИТ».
