Цена утечки данных

Существуют различные риски безопасности информации предприятия: вредоносное программное обеспечение, фишинг, технические сбои и природные катаклизмы, атаки программ-шифровальщиков, атаки инсайдеров и халатность сотрудников. Целью этих воздействий является получение ценной, конфиденциальной информации, которая хранится у компании. Цена утечки данных в данном случае может стать неподъемной для предприятия. Исследуем в статье, как оценить ущерб от утечки данных.

План статьи:

1. Определение: что такое утечка данных

2. Какие данные утекают?

3. Статистика по утечкам данных

4. Юридические и регуляторные последствия утечки информации

5. Обязанности компаний по защите данных

6. Из чего состоит цена утечки данных

7. Вывод

 Определение: что такое утечка данных

Утечка данных — это любое несанкционированное распространение конфиденциальной информации или персональных данных за пределы охраняемого периметра предприятия. Существуют различные причины утечек данных. В общем их можно разделить на 2 группы: внутренние и внешние.

Внутренние причины утечек данных

Внутренние причины утечек данных — это утечки, происходящие внутри периметра организации по вине сотрудников или из-за нарушения бизнес-процессов. К внутренним причинам утечек данных можно отнести следующие факторы.

Человеческий фактор

К этой группе причин относятся все вероятные пути распространения данных из-за недобросовестности или невнимательности сотрудников:

• В коммуникациях: при ошибочной отправке документов не тем адресатам, замене  обычных документов конфиденциальными, вложении конфиденциальных данных в переписку с внешними лицами за пределами предприятия.
• Использование слабых паролей: неоригинальные, простые пароли в корпоративной сети, повтор паролей в нескольких аккаунтах.
• Пробелы в знаниях правил информационной безопасности: недостаточно развита корпоративная культура в области ИБ, недостаточное количество обучающих мероприятий, нет работы с новыми сотрудниками.
• Вход в корпоративную сеть с незащищенных персональных устройств,  в том числе зараженных устройств без антивирусной защиты.

Пример утечки информации: сотрудник случайно во внутрикорпоративной рассылке добавил почту партнера и отправил всем адресатам полную клиентскую базу, допустив утечку данных.

Инсайдерская угроза

Это сотрудники, которые имеют доступ к корпоративным данным и намеренно используют собственные привилегии для получения выгоды: материального вознаграждения, карьерных преференций, мести. Инсайдеры стремятся использовать полученную информацию через:

• намеренное копирование конфиденциальных данных с целью продаж или передачи третьим лицам;
• копирование и печать физических документов с целью дальнейшего распространения;
• передачу цифровых конфиденциальных данных через мессенджеры, социальные сети, email;
• скриншоты с экранов персональных компьютеров, смартфонов во время работы с чувствительной информацией и т.д.

Пример утечки информации: сотрудник перед увольнением из мести решил скачать рецептуру нескольких топ-продуктов компании и продать полученные данные конкурентам. 

Проблемы с настройками доступа

Это ошибки в распределении ролей сотрудников внутри предприятия и раздача излишних прав на использование корпоративных программных ресурсов и доступ к конфиденциальной информации. Чаще всего на предприятиях встречаются подобные сценарии.

• Слишком широкий доступ к конфиденциальной информации для всех сотрудников, отказ от реализации концепции Zero Trust.
• Недостаточный контроль доступа к информации для новых работников и стажеров.
• Отсутствие или несистематизированный подход к системе отслеживания учетных записей уволенных, переведенных в другие отделы, пониженных в должности сотрудников.

Пример утечки информации: стажер в IT-предприятии имеет доступ к финансовым отчетам и случайно их копирует в облако.

Использование незащищенных носителей и каналов связи

Это все инциденты, вызванные использованием в рамках корпоративной сети незащищенных носителей информации (подключения частных смартфонов, USB-карт, жестких дисков,  CD/DVD без шифрования и др.). А также использование незащищенных каналов связи, включая электронную почту без шифрования, общедоступные Wi-Fi-сети без VPN, передачу конфиденциальной информации через мессенджеры или социальные сети, а также применение незащищенных веб-протоколов для обмена данными.

Пример утечки информации: один из сотрудников отдела бухгалтерского учета использовал для копирования отчетности собственную USB-карту, которая была заражена вредоносной программой-шифровальщиком. Этот инцидент привел к шифрованию всей информации на персональном компьютере, где хранится полная бухгалтерская информации компании.

Внешние причины утечек данных

Внешние причины утечек данных — это все инциденты с информационной безопасностью предприятия, которые связаны с атаками извне. Рассмотрим подробнее типы атак.

Хакерские атаки

Могут быть реализованы через различные сценарии: взломы серверов компании и баз данных, использование эксплойтов и уязвимостей нулевого дня для внедрения, применение вредоносного программного обеспечения (троянов, перехвата управления, кейлоггеров и др.). Основная цель хакерского внедрения — вход в охраняемый цифровой периметр предприятия и реализация негативного сценария в нем. 

Пример утечки информации: хакеры атаковали веб-сервер предприятия и скачали базу клиентов.

Фишинг-рассылка

Это специализированная мошенническая email-рассылка для получения логинов, паролей, кодов доступа в цифровой периметр предприятия. Фишинг может быть массовым, когда используется утекшая в публичный доступ база контактов и письма рассылаются без таргетирования. Либо фишинг создается на основе данных социальной инженерии, когда атака более целенаправленная и подобранная под каждую жертву индивидуально. 

Пример утечки информации: сотрудник предприятия получил фишинговое письмо, которое полностью копировало корпоративный стиль переписки. Это было письмо «от службы IT», которое требовало ввода логина и пароля на поддельном сайте.

Шпионские программы

Это программы, устанавливаемые без ведома пользователя. После запуска они начинают незаметную деятельность: фиксируют нажатие клавиш, копируют содержимое файлов, перехватывают пароли и другую чувствительную информацию. Далее все собранные данные отправляются на удаленные сервера злоумышленников. Позже эти данные могут быть использованы для кражи денег, взлома аккаунтов или дальнейших атак. Особенно опасны программы с функциями удаленного управления, позволяющие хакеру полностью контролировать зараженное устройство.

Пример утечки информации: вирус на персональном компьютере отправляет скриншоты экрана напрямую злоумышленнику.

Утечка через подрядчиков или внешние сервисы

Утечка данных через подрядчиков и внешние сервисы возникает если у подрядчика слабая защита или отсутствуют процедуры по предотвращению утечек. Злоумышленники часто атакуют именно таких уязвимых партнеров, зная, что через них проще получить доступ к основной системе более крупного, с защитой мощнее, предприятия.

Пример утечки информации: подрядчик по техподдержке загрузил рабочие документы с персональными данными клиентов на личный облачный диск без шифрования. Облако взломали, и данные более 10 000 пользователей утекли в сеть. 

Кража устройств

Кража устройств — один из распространенных каналов утечки данных. Ноутбуки, смартфоны или флеш-карты содержат конфиденциальную информацию. В случае, если носители не защищены паролем или шифрованием, злоумышленник может легко получить доступ к данным. Особенно высок риск информационной безопасности, если устройства используются для работы и содержат корпоративные данные повышенной секретности: клиентские базы, корпоративные документы, пароли или доступ к почте. Потеря такого устройства может привести к серьезным последствиям — от компрометации личных данных до убытков и репутационного ущерба. 

Пример утечки информации: у сотрудника украли рабочий ноутбук в поезде, логин и пароль для входа в корпоративный аккаунт были написаны на рабочей панели, что помогло злоумышленникам внедриться в защищенный корпоративный периметр.

 Какие данные утекают?

На каждом предприятии хранится большое количество данных: с рецептами и технологиями, персональными данными, бухгалтерской и экономической отчетностью, цифровые продукты и исходные коды программного обеспечения, логины, пароли и др. Все эти данные напрямую или косвенно влияют на его работу, безопасность, качество услуг или продукции.

Рассмотрим, какие данные утекают чаще всего.

1. Персональные данные 

Персональные данные (ПД) — это наиболее уязвимый и часто утекающий тип информации, относится к уникальным характеристикам сотрудников, партнеров, клиентов как физических лиц. Хранится в виде баз данных, учетных записей, биографий и т.д. К персональным данным относятся: ФИО, дата рождения, адрес, телефоны, e-mail, паспортные данные, ИНН, СНИЛС, медицинские сведения, а также фотографии и биометрические данные (отпечатки пальцев, сканирование лица, радужки глаз и т.п.). Такая информация высоко ценится на черном рынке, поскольку позволяет злоумышленникам проводить более таргетированные атаки: фишинг, создание поддельных личностей, получение доступа к онлайн-сервисам от имени жертвы. Особенно опасны утечки, содержащие полные наборы данных — они открывают путь к масштабному мошенничеству и использованию финансовой информации.

2. Аутентификационные данные

Это ключи доступа к корпоративным аккаунтам и системам предприятия, и их утечка представляет серьезную угрозу информационной безопасности компании. К аутентификационным данным относятся логины и пароли, PIN-коды, токены сессий, ответы на секретные вопросы и одноразовые коды двухфакторной аутентификации. Злоумышленники могут использовать эти данные для несанкционированного входа в корпоративную почту, банковские сервисы, социальные сети и т.д. для нанесения вреда компании.

3. Финансовая информация

Финансовая информация включает данные, связанные с банковскими и бухгалтерскими операциями: номера банковских карт, сроки действия и CVV-коды, реквизиты и номера счетов, договоры, история транзакций, кредитные рейтинги и отчеты. Эта информация особенно ценна для мошенников, так как позволяет совершать несанкционированные платежи, оформлять кредиты, выводить деньги через подставные счета и участвовать в схемах обналичивания. Утечка таких данных может привести к прямым финансовым потерям как для частных лиц, так и для организаций. 

4. Коммерческая тайна и корпоративные данные

Коммерческая тайна и корпоративные данные — это информация, критически важная для функционирования и конкурентоспособности бизнеса. К ней относятся маркетинговые стратегии, бизнес-планы, контракты, коммерческие предложения, внутренние отчеты, сведения о клиентах и партнерах, исходные коды программ и проектная документация. Утечка такой информации может нанести серьезный ущерб: от потери рыночных преимуществ и клиентов до прямых финансовых потерь и юридических санкций за разглашение конфиденциальных данных. Злоумышленники могут использовать ее для промышленного шпионажа, вымогательства или создания конкурентных продуктов. 

5. Конфиденциальные документы

Конфиденциальные документы содержат информацию, защищенную законом или внутренними регламентами компании. Это могут быть юридические бумаги, служебная переписка, протоколы совещаний, бухгалтерские ведомости, платежные документы и другие внутренние материалы. Утечка таких данных способна нанести серьезный вред: раскрыть методику принятия стратегических решений, подорвать доверие партнеров, вызвать утрату деловой репутации. Кроме того, разглашение отдельных документов может нарушать законы о персональных данных и коммерческой тайне. 

6. Информационные данные об устройствах и системах

Информационные данные об устройствах и системах представляют интерес для хакеров, так как позволяют лучше понять инфраструктуру компании и подготовить целенаправленную атаку. К таким данным относятся IP- и MAC-адреса, конфигурации оборудования, сетевые схемы, лог-файлы, версии программного обеспечения, а также информация о внутренних серверах и сервисах. Обнаружив такие сведения, злоумышленники могут выявить уязвимости, подобрать эксплойты, провести сканирование сети или начать фишинговые и DDoS-атаки. Часто эти данные попадают в открытый доступ из-за неправильной настройки оборудования или публикации технической документации.

7. Геолокационные данные

Геолокационные данные фиксируют текущее местоположение пользователя или историю его передвижений. Они включают GPS-координаты, данные сотовых сетей и Wi-Fi-точек, а также маршруты, сохраненные в приложениях. Такая информация может использоваться злоумышленниками для скрытого наблюдения, краж (например, когда известно, что человек не дома) или проведения атак социальной инженерии.

8. Данные социальных сетей и цифрового поведения

Данные социальных сетей и цифрового поведения включают информацию о друзьях, подписках, истории переписки, лайках, репостах, а также поисковые запросы, историю браузера и цифровые предпочтения. Эти сведения формируют детальный психологический и поведенческий портрет пользователя. Злоумышленники могут использовать такие данные для манипуляций, персонализированных фишинговых атак, шантажа или дискредитации. Кроме того, рекламодатели и аналитические платформы применяют их для гипертаргетированной рекламы и влияния на поведение. 

9. Данные об образованию и трудовой деятельности

Образовательные и трудовые данные включают информацию о дипломах, сертификатах, месте работы, должностях, резюме, рекомендательных письмах и служебных идентификаторах (ID-карты, пропуска). Эти сведения используются злоумышленниками для создания фальшивых профилей, подделки личности или внедрения в компанию под видом сотрудника. Также они могут применяться в фишинговых атаках — например, при отправке писем якобы от коллег или руководства. Утечка таких данных упрощает социальную инженерию, позволяя точно подобрать сценарий обмана. Защита включает ограничение доступа к кадровым документам, проверку подлинности обращений и обучение сотрудников выявлению подозрительной активности.

Как видно, утечке может подвергнуться практически любая информация, связанная с деятельностью компании.

 Статистика по утечкам данных

Рассмотрим подробнее статистику по утечкам данных. 

В 2024 году средняя стоимость одного инцидента утечки данных, согласно общемировой статистики, достигла 4,88 млн долларов, что стало значительным ростом по сравнению с предыдущими годами. Самый большой ущерб от утечек в здравоохранении, здесь фиксируется самая высокая стоимость среди отраслей более 10 лет подряд. 

При этом необходимо понимать, что обнаружение утечки информации часто происходит не сразу. В среднем на обнаружение и устранение причин утечки тратится от 200 до 300 дней. 

Фиксируется рост финансовых последствий от утечек информации. Согласно статистике, возросли общие затраты на обнаружение инцидента и его эскалацию. Компании вынуждены инвестировать больше в систему обеспечения информационной безопасности, чтобы своевременно выявить и пресечь угрозы.

Увеличивается объем расходов на постинцидентную поддержку пострадавшим сторонам: сотрудникам, клиентам, информация о которых утекла в сеть. К данному типу расходов относятся оплата штрафов, судебных издержек, компенсационные выплаты, юридические услуги и др.

Так, в России за прошлый год было зафиксировано более 570 инцидентов утечек данных. Это на 80% инцидентов больше, чем за 2024 год. В результате в сеть попали свыше 800 миллионов строк данных. Фиксируется рост числа инцидентов и высокая доля утечек в таких секторах, как розничная торговля и государственные услуги. На Россию в 2024 году пришлось 17% всех скомпрометированных аккаунтов в мире.

Инциденты с самыми громкими утечками данных за прошлый год мы исследовали в статье. Подробнее с популярными схемами киберпреступлений можно познакомиться здесь.

 Юридические и регуляторные последствия утечки информации

Цена утечки данных — это не только технологическая или репутационная проблема, но и серьезные юридические последствия. Современное законодательство во многих странах возлагает на компании прямую ответственность за защиту персональных и конфиденциальных данных. Несоблюдение этих требований может обернуться для бизнеса многомиллионными штрафами, запретом на деятельность и судебными исками. Особенно актуально для персональных данных, поскольку основные юридические и регуляторные последствия установлены за распространение этого типа информации.

 Обязанности компаний по защите данных

Организации обязаны соблюдать целый ряд требований в сфере обработки и защиты персональных данных.

• Получать информированное согласие от субъектов данных на сбор, хранение и использование их информации.
• Обеспечивать сохранность персональных данных клиентов, сотрудников и партнеров, исключая их несанкционированное распространение.
• Назначать ответственных лиц, курирующих вопросы защиты и обработки информации.
• Внедрять технические, программные и организационные меры безопасности (например, DLP-системы, шифрование, разграничение прав доступа). Подробные требования закреплены в Постановлении Правительства РФ №1119 от 01.11.2012 года, а также в регламентах ФСТЭК и ФСБ.
• Соблюдать нормы локализации хранения данных — размещать персональную информацию на серверах, находящихся на территории Российской Федерации.
• Уведомлять надзорные органы и пострадавших лиц о фактах утечки в установленные сроки.
• Вести учет инцидентов, проводить внутренние расследования и устранять выявленные нарушения.

В России ключевые принципы работы с персональными данными изложены в Федеральном законе ФЗ №152 «О персональных данных» от 27.07.2006 г., а также в нормативных актах ФСТЭК и ФСБ. Нарушения этих правил могут повлечь административную или уголовную ответственность. 

В последние годы наблюдается ужесточение надзора как в РФ, так и на международном уровне. Так, в ЕС, согласно Общему регламенту по защите данных (GDPR), штрафы за несоблюдение требований могут достигать 20 миллионов евро или 4% от годового оборота компании — в зависимости от того, какая сумма выше.

В России с 30 мая 2025 года вступили в силу изменения в статью 13.11 Кодекса Российской Федерации об административных правонарушениях. Теперь за обработку персональных данных без согласия субъекта организация может быть оштрафована на сумму до 700 тыс. рублей. За несвоевременное уведомление Роскомнадзора об инциденте — до 300 тыс. рублей. При повторных нарушениях санкции могут достигать 1 миллиона рублей с возможной блокировкой веб-ресурсов нарушителя.

Для юридических лиц, допустивших утечки биометрических данных, вменяются штрафы от 15 до 20 миллионов рублей, а при повторных нарушениях — от 25 до 500 миллионов рублей или до 3% от годовой выручки, в зависимости от того, что больше по сумме.

 Из чего состоит цена утечки данных

Цена утечки данных не является постоянной величиной, а изменяется под влиянием множества факторов:

• количества сотрудников, партнеров, клиентской базы и информации, хранимой о них;
• специфики работы предприятия, в том числе объема цифровых данных, используемых в работе;
• продуктивности системы безопасности предприятия и эффективности применяемых мер ИБ;
• размера регуляторных и юридических издержек в конкретной стране-резиденте компании;
• размера предприятия и выручки;
• уникальности производимой продукции или предоставляемой услуги и доли конкурентного рынка, занимаемой предприятием;
• количества партнеров и использования услуг третьих лиц для хранения, трансформации или передачи информации.

В зависимости от влияния этих факторов на конкретное предприятие и совокупности прямых и косвенных издержек формируется конечная цена утечки данных.

Рассмотрим подробнее типы издержек от утечки информации.

Прямые издержки — это подтверждаемые финансовые потери, понесенные организацией в результате инцидента информационной безопасности, приведшего к утечке данных. Эти издержки можно количественно оценить сразу после локализации инцидента, напрямую отражаются в финансовых отчетах и их проще всего оценить. К прямым издержкам относятся следующие затраты.

• Реагирование на инцидент. Это все затраты на оплату труда сотрудникам, в том числе переработку, вызванную внештатной ситуацией. Также сюда входит оплата услуг привлеченных внешних экспертов для проведения цифровой экспертизы, которые помогают провести расследование и понять, как произошел взлом, как минимизировать ущерб и как на него реагировать.
• Закупка дополнительного программного обеспечения. Часто для реализации постинцидентных сценариев предприятию требуется покупка специализированного программного обеспечения или платных онлайн-сервисов для расследования инцидентов информационной безопасности.
• Уведомление пострадавших от инцидента. Сюда относится использование услуг колл-центра, массовой почтовый рассылки и отправления СМС-уведомлений пострадавшим, число которых может превысить несколько десятков тысяч человек.
• Штрафы от регуляторов и судебные издержки. Это все выплаты, оговоренные в российском и международном законодательстве (GDPR, HIPAA, ФЗ №152). Плюс к этому пункту затрат отнесем оплату судебных и издержек и компенсаций по решению суда пострадавшим, в случае, если против компании подается исковое заявление и проводится разбирательство.
• Выплаты мошенникам. Нередко предприятие, ставшее жертвой вируса-шифровальщика, принимает решение выкупить информацию у хакеров, не прибегая к расследованию или оценив возможные издержки в случае распространения данных. В этом случае выплаты мошенникам могут составить от нескольких тысяч до миллионов долларов.
• Восстановление инфраструктуры после инцидента. К этому типу затрат относят  закупку нового оборудования, развертывание систем предприятия заново, восстановление информации из систем резервного копирования и другие действия.
• Инвестиции в усиление безопасности. Это все затраты, которые несет предприятие для улучшения работы системы безопасности, в том числе закупка программных и технических инструментов обеспечения информационной безопасности, замена устаревшего оборудования и его компонентов, оплата лицензий уже используемого программного обеспечения и другие траты. Выбор покупки дополнительных инструментов обеспечения ИБ должен проводиться после полного расследования инцидента и его причин, а также после аудита информационной безопасности компании.
• Найм новых специалистов и переподготовка кадров. Инцидент в информационной безопасности предприятия может подсветить пробелы в управлении кадрам, в том числе недостаток специалистов, задействованных в ИБ, либо отсутствие должной квалификации у существующих сотрудников. В этом случае будут расходы на найм новых сотрудников и оплату курсов для переподготовки. 

Косвенные издержки — это все затраты, которые нельзя зафиксировать в моменте, но которые вызваны последствиями от инцидента. 

• Переход клиентов компании к конкурентам. Это одно из самых болезненных последствий инцидентов информационной безопасности. Потеря доверия клиентов приводит к расторжению контрактов, отказу от повторных покупок или продления договоренностей. Цена такого перехода — это не только прямые убытки компании, выраженные потерей дохода, но и косвенные затраты на восстановление имиджа и расходы на PR-кампании, которые сложно зафиксировать в моменте. Более того, уход клиентов часто сопровождается также утечкой данных, которые могут быть использованы конкурентами для усиления своих позиций.
• Инцидент с утечкой данных подрывает доверие к компании не только со стороны клиентов, но и со стороны бизнес-партнеров. Партнеры начинают опасаться, что их собственная информация также может оказаться под угрозой. Кроме того, они не хотят, чтобы их бренд ассоциировался с инцидентом, даже если утечка произошла не по их вине. В результате компания рискует потерять важные деловые связи, будет вынуждена искать новые пути сотрудничества, которые могут быть не так выгодны, чем имеющиеся.
• Стоимость компании и отказ от слияния, поглощения из-за утечки данных. Утечка данных напрямую влияет на рыночную стоимость компании и ведет к падению капитализации. Потенциальные партнеры по слиянию или поглощению могут отказаться от сделки, опасаясь рисков, связанных с уязвимостью информационных систем и возможными последствиями. Даже предварительно согласованные условия сделки могут быть пересмотрены или полностью аннулированы, если инцидент произошел в период оценки.
• Утрата интеллектуальной собственности в случае утечки данных может стоить компании ее конкурентного преимущества на рынке, подорвать долгосрочные стратегии развития и инновационный потенциал. Издержки в этом случае могут расти годами, постоянно умножая негативное воздействие инцидента.
• Потеря продуктивности и текучка кадров. В условиях стресса моральный климат в коллективе ухудшается, что снижает мотивацию и эффективность команды. Кроме того, часть ключевых специалистов может уволиться после инцидента, особенно если компания публично признает причиной инцидента ИБ внутреннюю халатность и ошибки персонала. При этом поиск и адаптация новых сотрудников требует времени и затрат, что негативно влияет на восстановление после инцидента. Это особенно критично для ИТ- и безопасности, где знания об инфраструктуре не так легко заменить. В результате бизнес теряет не только людей, но и устойчивость к будущим угрозам.
• Повышенное внимание регуляторов. После инцидента ИБ часто регуляторы предвзято или с повышенным вниманием относятся к компании-виновнику утечки данных. Это и частые аудиты, внеплановые проверки и длительная коммуникация с контролирующими органами.

Второстепенными факторами, влияющими на конечную цену утечки данных, могут выступать: степень вовлеченности средств массовой информации и общественного внимания к инциденту, скорость реагирования предприятия, наличие страховки от киберинцидентов, политическая и экономическая ситуация в стране-резиденте и другие факторы.

Совокупность всех этих факторов и составляет цену утечки данных.

 Вывод

Утечка данных — это не только прямые финансовые потери, но и долгосрочные репутационные, операционные и стратегические последствия, значительно увеличивающие общий ущерб. Конечная цена от инцидента может самым негативным способом повлиять на предприятие, привести к финансовому спаду и даже закрытию, поэтому сегодня каждое предприятие, нацеленное на долгую и плодотворную деятельность, должно заниматься информационной безопасностью.