Как проверить, утекли ли данные компании
План статьи
Проверить утечку данных компании нужно в двух местах: снаружи, чтобы найти сведения, которые попали в публичный доступ, и изнутри, чтобы понять, как они ушли из сети. Каждый вид проверки дает только часть информации об инциденте: внешний сервис покажет дамп с адресами корпоративной почты, но не скажет, кто отправил файлы, а архив передач покажет маршрут, но не скажет, всплыло ли что-нибудь.
Утечка данных компании — это выход конфиденциальной информации за пределы контура безопасности без разрешения. Определение и виды утечки конфиденциальной информации разобраны в материале об утечке данных.
Две проверки вместо одной: что значит «утекли данные»
Проверка утечки состоит из двух этапов. Сначала нужно выяснить, появились ли данные компании в открытом доступе или на сторонних ресурсах, какие именно сведения были опубликованы и в каком объеме. Это внешняя проверка: она помогает подтвердить утечку и оценить ее масштаб.
Затем необходимо провести внутреннее расследование: установить, когда и каким способом данные покинули компанию, через какой канал их передали и кто мог быть причастен к инциденту.
Обе проверки дополняют друг друга. Внешняя показывает, что именно оказалось за пределами компании, а внутренняя помогает восстановить обстоятельства инцидента и определить, какие меры нужны, чтобы предотвратить повторную утечку.
Важно! Начинайте со сведений, потеря которых обходится дороже всего: персональные данные клиентов и сотрудников, учетные данные и ключи доступа, коммерческая тайна и договоры, исходный код. Проверка нужна при сигнале угрозы, по расписанию, перед аудитом и после ухода ключевого сотрудника.
Признаки утечки: что заметит компания
Утечка может обнаружиться по внешним сигналам и по действиям внутри компании. К внешним признакам относятся ситуации, когда:
- клиенты сообщают о фишинговых письмах с точными сведениями об их заказах;
- сотрудникам или клиентам все чаще приходят подозрительные сообщения, усиливается фишинг;
- происходит отток клиентов по независящим причинам;
- конкуренты знают подробности еще не завершенных сделок;
- данные компании обнаруживаются в публичных подборках;
- журналисты или регулятор интересуются возможной утечкой.
Есть и признаки, которые можно заметить внутри компании. К тревожным признакам относятся резкий рост объема исходящей почты, массовое скачивание файлов, копирование документов на съемные носители и обращения к данным, не связанным с рабочими задачами.
Чтобы выявлять такие отклонения, важно понимать, что для компании нормально: сколько файлов обычно отправляют, кто работает с конкретными документами и к каким данным у сотрудников есть доступ. Если эти ориентиры не определены, начать стоит с них. При этом ни один признак сам по себе не доказывает утечку. Он лишь подсказывает, где нужно разобраться подробнее.
| Признак | Где искать информацию | Что проверить в первую очередь |
|---|---|---|
| Клиенты получают фишинг с точными данными о заказах | Обращения клиентов, служба поддержки | Внешний мониторинг, кто имеет доступ к базе заказов |
| Объем исходящей почты и загрузок в облако резко вырос | Журналы почты и прокси, DLP-система | Кто отправлял данные, кому, когда и какие файлы передавались |
| Большие объемы данных копируют на съемный носитель | Журнал устройств, DLP-система | Кто копировал файлы, какие именно и когда |
| Сотрудник обращается к папкам и базам вне своих рабочих задач | Журналы файловых серверов и СУБД | История обращений и обоснованность прав доступа |
| Конкуренты знают условия сделок | Информация от руководства или отдела продаж | Кто имел доступ к документам и пересылались ли они за этот период |
| Учетные записи сотрудников обнаружены в публичных подборках | Сервисы мониторинга утечек по домену | Сменить пароли и включить многофакторную аутентификацию |
Как проверить внешний контур
Проверка утечки данных снаружи начинается с того, что уже лежит в открытом доступе.
- Мониторинг утечек и публикаций
Сервисы сверяют домен компании и почтовые адреса с известными утечками. ИБ-провайдеры также предлагают услуги по мониторингу утечек и поиску опубликованных данных. Предел один: видны лишь известные базы.
- Поиск упоминаний
Фрагменты баз могут всплыть в открытых источниках и на тематических площадках. Искать стоит по уникальным маркерам: названию проекта, необычным полям, служебным терминам. Подробнее о поиске в даркнете можно прочитать в обзоре специализированных поисковых систем. Проверку закрытых площадок лучше поручить профильным специалистам.
- Корпоративные учетные данные
Сравните адреса сотрудников с известными компрометациями учетных данных, смените пароли при совпадении и включите многофакторную аутентификацию. Отдельно смотрят на кражу сессий и токенов: вредоносное ПО на станции дает доступ к сервисам без пароля. Одной смены пароля в таком случае недостаточно: необходимо также отозвать активные сессии и скомпрометированные токены.
- Частые ошибки
Проверяют только личные адреса сотрудников; принимают «не нашли» за отсутствие утечки; меняют пароли, не выяснив маршрут; правят журналы или удаляют сведения до фиксации доказательств. Нашли данные компании — утечка была, но сначала сверьте образец со своими сведениями: это может быть старая или чужая база. Не нашли — это почти ничего не значит: база могла не всплыть или продается закрыто.
Как проверить внутренний контур
Внешняя проверка выявляет опубликованные данные и помогает оценить масштаб их распространения. Внутренняя ищет, как, кто и когда допустил утечку данных.
Начните с имеющегося: журналов почтового сервера, прокси, межсетевого экрана, доступа к хранилищам и базам, облачных журналов, журнала событий съемных носителей. Они закрывают каналы утечки данных: почту, веб, облако, носители. Журналы фиксируют факт, время и объем передачи, но не содержимое. SIEM собирает журналы вместе, но не хранит копии передаваемых файлов.
Этот пробел закрывает DLP-система с архивом передаваемых данных. На примере Falcongaze SecureTower: она перехватывает основные каналы (почту, мессенджеры, соцсети, веб, облачные хранилища, USB-устройства, печать, буфер обмена) и хранит копии переданных материалов, в том числе после удаления файла с рабочей станции.
Поиск по словарям помогает выявлять заданные слова и выражения, а цифровые отпечатки — сопоставлять передаваемые данные с известными документами, в том числе искать совпадения по фрагментам. Сравнение хэш-сумм позволяет установить совпадение с конкретным известным файлом, что может применяться для документов редких форматов, где контентный анализ неактуален.
Расследование инцидентов ведется в «Личном деле» и завершается отчетом для руководителя, подробнее — расследование инцидентов утечки.
Типовой сценарий: приходит сигнал, что клиентскую базу видели в сети. По архиву проверяют, кто, когда и по каким каналам передавал выгрузку клиентской базы. Результаты проверки помогают восстановить зафиксированный маршрут передачи данных, установить использованные каналы и определить круг пользователей, чьи действия необходимо изучить. Окончательные выводы делают с учетом технических данных и обстоятельств инцидента. DLP-архив позволяет анализировать движение данных за период, в течение которого система перехватывала и сохраняла информацию. При расследовании более ранних инцидентов можно использовать другие источники: почтовые и сетевые журналы, резервные копии, историю доступа к хранилищам.
При этом в Falcongaze SecureTower поиск по всем проиндексированным данным позволяет анализировать информацию, перехваченную и сохраненную в архиве до создания или активации конкретной политики. Для этого необходимо активировать предустановленную политику либо создать новую. Такой поиск помогает выявить ранее зафиксированные события, которые не попадали под действовавшие правила контроля.
| Параметр | Внешняя проверка | Внутренняя проверка |
|---|---|---|
| Отвечает на вопрос | Данные компании где-то опубликованы? | Как, кем и когда данные вышли из контура? |
| Инструменты | Сервисы мониторинга утечек, поиск упоминаний, услуги разведки у провайдеров | Журналы почты, прокси, файловых хранилищ; DLP-система с архивом |
| Что видно | Факт публикации и состав данных в сети | Канал, время, отправитель, содержимое копии в архиве |
| Ограничение | Не покажет того, что не всплыло | Не видит того, что ушло до установки системы, и не ищет чужие базы снаружи |
Границы внутренней проверки
Запись в архиве подтверждает зафиксированное событие, но не доказывает автоматически нарушение или умысел сотрудника. Нужно установить контекст: имел ли человек право работать с документом, кому он его передал, было ли это необходимо для выполнения задачи и нарушало ли действующие правила. Выводы следует делать по совокупности технических данных и материалов расследования.
Поэтому внутреннюю и внешнюю проверку не стоит противопоставлять и взаимозаменять. Первая помогает восстановить события внутри корпоративного контура, вторая — обнаружить опубликованные данные и оценить масштаб их распространения. Вместе они позволяют восстановить обстоятельства инцидента, оценить масштаб утечки и исследовать инцидент предметно.
Нашли утечку: что делать в первые 72 часа
Порядок уведомления регулятора зависит от страны, если утечка затронула персональные данные.
В России часть 3.1 статьи 21 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» устанавливает два срока уведомления Роскомнадзора при инциденте, повлекшем нарушение прав субъектов персональных данных: в течение 24 часов необходимо сообщить об инциденте, его предполагаемых причинах, возможном вреде, принятых мерах и контактных данных ответственного лица; в течение 72 часов — представить результаты внутреннего расследования и сведения о лицах, действия которых стали причиной инцидента, если они установлены. Ответственность предусмотрена статьей 13.11 КоАП РФ.
Что сделать в первые 24 часа после обнаружения утечки:
- Зафиксировать обстоятельства: какие данные затронуты, где и когда обнаружена утечка, какие системы и каналы задействованы.
- Ограничить дальнейшую утечку: изолировать скомпрометированный канал, ограничить доступ, сменить скомпрометированные учетные данные и ключи.
- Собрать рабочую группу из специалистов по ИБ и ИТ, юриста и ответственного руководителя.
- Сохранить цифровые доказательства: журналы событий, копии файлов и сведения о передаче данных. Не изменять исходные журналы.
- Начать внутреннее расследование, оценить возможный ущерб и подготовить уведомление регулятору.
Эти действия выполняют параллельно. Не нужно ждать завершения расследования, чтобы направить первичное уведомление в установленный срок.
В Беларуси статья 16 Закона от 07.05.2021 № 99-З «О защите персональных данных» предусматривает уведомление Национального центра защиты персональных данных незамедлительно, но не позднее трех рабочих дней после того, как оператору стало известно о нарушении системы защиты, с учетом установленных исключений.
В Казахстане действуют Закон от 21.05.2013 № 94-V «О персональных данных и их защите» и правила уведомления об инцидентах. С 22 сентября 2026 года оператор должен уведомить уполномоченный орган о выявленном нарушении в течение одного рабочего дня.
От разовой проверки к постоянному контролю
Разовая проверка помогает выяснить, как произошла конкретная утечка. Для бизнеса полезнее организовать постоянный контроль, который позволяет замечать подозрительные действия с данными и вовремя реагировать на нарушения, снижая риск новых инцидентов.
Для этого компании нужны утвержденные правила работы с информацией: какие данные требуют защиты, по каким каналам их разрешено передавать, кто отвечает за контроль, как разбираются подозрительные события. Помимо внутренних правил, компании нужен технический контроль за их соблюдением. DLP-система помогает выявлять подозрительные действия с данными и разбирать возможные нарушения. При этом необычная активность сотрудника сама по себе не доказывает злой умысел: важно учитывать его рабочие задачи, права доступа и обстоятельства конкретного события. Подробнее о том, как распознать инсайдера, мы писали в предыдущей статье.
DLP-система Falcongaze SecureTower предлагает широкий набор функций для мониторинга информации и защиты от утечек данных за пределы корпоративного контура — как по ошибке, так и умышленно. Для юрлиц доступен бесплатный полнофункциональный тест на 30 дней.
Заключение
Утечку данных компании проверяют по двум направлениям: снаружи находят публикацию, изнутри восстанавливают маршрут. Проверка утечки данных без постоянного контроля остается разовой, поэтому следует подготовить инструменты, которые обеспечат постоянный мониторинг.
Часто задаваемые вопросы
- Как узнать, что база клиентов компании попала в утечку?
Следите за внешними сигналами: посторонним известны заказы клиентов, растет фишинг. Затем проведите обе проверки: утечку данных клиентов подтверждают снаружи, объясняют изнутри.
- Можно ли проверить утечку только внешними сервисами, без внутренней проверки?
Нет. Проверка утечек внешними сервисами покажет только всплывшее и только в известных базах. Маршрут и круг причастных останутся неизвестными.
- Как понять, через какой канал сотрудник вынес данные?
Журналы дают факты, архив DLP-системы показывает содержимое. Поиск по документу или фразе выявит канал, время и учетную запись, через которые данные ушли в утечку.
- Как проверить, что данные ушли именно из нашей компании, а не от подрядчика?
Сравните опубликованный образец со своими данными: по дате последней записи и уникальным полям. Проверьте, у кого был доступ и видят ли ваши журналы такую передачу; если нет, запросите расследование у подрядчика.
- В какие сроки нужно уведомить Роскомнадзор, если найдена утечка персональных данных?
По статье 21 (часть 3.1) 152-ФЗ: в течение 24 часов с обнаружения, затем в течение 72 часов с результатами расследования.
- Что делать, если утечка была раньше, чем в компании появились средства контроля?
Архив начинается с установки. Используйте то, что осталось: старые журналы, резервные копии, списки доступа.
.jpg)
 system.jpg)
