Частые нарушения ИБ сотрудниками: причины и способы профилактики

Что, если я скажу, что главный враг информационной безопасности — не хакеры, а ваши собственные сотрудники? Звучит неожиданно, но цифры говорят сами за себя: 74% утечек данных происходят из-за человеческого фактора, а 26% инцидентов — результат умышленных действий. В эпоху, когда личные смартфоны и мессенджеры стали частью рабочего процесса, риски только растут. Давайте разберёмся, почему сотрудники допускают ошибки, к чему это приводит и как компании могут защитить свои данные, особенно в условиях российских реалий и новых киберугроз после 2022 года.

Представьте себе крепость. Не просто крепость, а настоящую цитадель, где стены из брандмауэров толще, чем у Кремля, шифрование — как ребус для гениального математика, а системы слежения заставили бы Шерлока Холмса нервно курить в сторонке. И вдруг — бац! — брешь. Не от хакеров с тёмной стороны интернета, не от вируса, который умнее Эйнштейна. Нет, это Ваня из бухгалтерии, который решил, что пароль «123456» — это верх гениальности, потому что «его легко запомнить».

Да, друзья мои, в этом театре кибербезопасности главную роль играет не суперкомпьютер, а человек. Наши коллеги, которые с улыбкой и добрыми намерениями (или без оных) превращают наши цифровые бастионы в решето одним кликом, одной фоткой в соцсетях или одним «ну, я же быстро» в кафе на открытом Wi-Fi.

Возьмём, к примеру, историю товарища Петрова. Петров — душа компании, мастер по отчётам, но с компьютером у него отношения, как у кота с водой. Однажды, сидя дома в тапочках, он решил отправить важный контракт начальнику. Компания, конечно, снабдила его защищённым каналом, но Петров подумал: «Зачем эти сложности? Отправлю-ка я через свой Gmail, там всё просто». А пароль у его Gmail, между прочим, был «petrov123» — шедевр, достойный музея кибернаивности. И вот, пока Петров пил чай, его письмо уже гуляло по рукам хакера где-то в далёкой стране, который с радостью продал контракт конкурентам. Вот так, друзья, одна невинная ошибка — и компания в минусе на миллионы.

Но не будем отчаиваться! Есть способы превратить наших Петровых из слабого звена в крепкий щит. Давайте разберёмся, почему сотрудники ошибаются, к чему это приводит и как нам, в лучших традициях русских сказок, победить этого цифрового дракона.

Почему сотрудники ошибаются: комедия ошибок

Так почему же наши умные, талантливые коллеги становятся ахиллесовой пятой кибербезопасности? Ну, начнём с простого — с незнания. Возьмём Наташу из отдела кадров. Наташа — звезда: организует корпоративы, помнит дни рождения всех сотрудников, но про киберугрозы знает примерно столько же, сколько я про квантовую физику. Она думает, что если не кликать на письма с заголовком «Ваш счёт заблокирован», то всё в порядке. А потом она, сидя в кафе, подключается к Wi-Fi с названием «Free_Coffee_WiFi» и отправляет табель через Telegram. И вот данные уже не у неё, а у какого-то предприимчивого парня, который знает, как монетизировать чужую беспечность.

Или вот ещё — страсть к удобству. Кто из нас не любит, когда всё просто? Зачем придумывать сложный пароль, если можно использовать «qwerty»? Зачем включать двухфакторную аутентификацию, если это лишние 30 секунд? Это как вместо замка на дверь повесить верёвочку — удобно, но любой может войти. По данным SearchInform, 66% инцидентов — это не злой умысел, а банальная неосторожность.

А соцсети? О, это отдельная песня. Представьте: сотрудник выкладывает фотку с рабочего места, где на заднем плане красуется монитор с паролем на стикере. Или, ещё лучше, делает сториз с QR-кодом для входа в корпоративную систему. Это как повесить объявление: «Друзья, вот ключи от сейфа, берите, кто хочет!»

Или вот случай с Леной из маркетинга. Лена — человек занятой, ей некогда разбираться с корпоративными облаками. Поэтому она загружает презентацию для клиента на свой Google Drive, потому что «там удобнее». А потом удивляется, когда данные утекают, как вода из прохудившегося ведра. Человеческая природа, друзья, — мы любим простоту, но за неё приходится платить.

Что на кону: цена одного клика

Теперь вы спросите: «Ну и что? Отправил кто-то файл не туда, выбрал слабый пароль — что такого?» Ох, друзья, если бы всё было так просто! Одна ошибка — и ваши данные, как птички, улетают на тёмную сторону интернета. Клиентские базы, финансовые отчёты, коммерческие секреты — всё это может оказаться на аукционе в даркнете. Финансовые потери? Миллионы рублей. Юридические последствия? Нарушение закона №152-ФЗ «О персональных данных» — это штрафы или даже уголовка по статьям 137 и 272 УК РФ. А репутация? Потерять доверие клиентов и партнёров — это как потерять лицо на корпоративе: все будут шептаться за спиной.

Вспомним историю одной с IT-компанией, о которой говорили на SOC Forum 2023. Один подрядчик, решивший, что правила — это для слабаков, передал доступ к системе третьим лицам. Итог? Утечка, штрафы, репутационный крах. Или вот ещё случай: сотрудник отправил базу клиентов на личную почту Mail.ru, потому что «так быстрее». А потом эта база оказалась у конкурентов. Один клик — и компания на грани.

Как защититься: не всё потеряно

Но не всё так мрачно, друзья! Мы можем превратить наших сотрудников из слабого звена в крепкий щит. Как? Начнём с обучения, но не скучного, а такого, чтобы глаза горели. Представьте киберучения: вы отправляете сотрудникам фальшивое фишинговое письмо с заголовком «Ваш бонус за год!» и смотрите, кто клюнет. А потом, вместо выговора, — разбор ошибок и пара наград за бдительность. Это как игра, только вместо очков — безопасность компании.

Пароли? Забудьте про «123456». Пусть это будет что-то вроде «КофеМоре2025» — запомнить легко, взломать сложно. А ещё — менеджеры паролей и двухфакторная аутентификация. Это как второй замок на двери: пусть грабитель помучается.

Культура безопасности — вот где собака зарыта. Плакаты в офисе, рассылки, напоминания: «Не оставляй ноутбук без блокировки, он не кот, сам не спрячется». И главное — не наказывать за ошибки. Если сотрудник боится признаться, что кликнул на подозрительную ссылку, он замолчит, а хакеры будут праздновать.

Технологии тоже в деле. Системы DLP следят, чтобы данные не утекли, SIEM ловит угрозы в реальном времени, а EDR — это как цифровой телохранитель.

Роль CISO: не надзиратель, а наставник

А теперь о герое нашего времени — CISO, начальнике по информационной безопасности. Это не просто человек с кучей сертификатов, а настоящий наставник, который учит, направляет и спасает. CISO — это тот, кто проводит аудиты, следит за соблюдением закона №152-ФЗ и превращает офис в место, где каждый сотрудник — немного киберстраж. Но без поддержки сверху и сотрудничества снизу даже CISO не вытянет. Это как в оркестре: дирижёр важен, но без музыкантов — тишина.

Что изменилось после 2022 года

С 2022 года киберугрозы в России стали как в плохом боевике: всё сложнее, всё злее. В 2023 году число атак выросло в 2,5 раза — до 130 тысяч инцидентов (PT Security). В 2024 году атаки через подрядчиков подскочили на 50%, а заказные атаки — с 10% до 44%. Прогноз на 2025 год? Треть крупных утечек будет из-за IT-подрядчиков. Это как если бы в крепости половина стражников оказалась наёмниками, которые работают на врага. Выход? Учить сотрудников, контролировать подрядчиков и внедрять технологии.

В итоге

Сотрудники — это и слабое звено, и надежда кибербезопасности. Один неверный клик может обрушить компанию, но правильное обучение и технологии — это как броня для цифрового мира. Давайте учить наших Петровых и Наташ не открывать двери хакерам, а CISO — направлять их, как мудрый учитель. В эпоху, когда киберугрозы растут быстрее, чем цены на кофе, бдительность — не просто добродетель, а билет в безопасное будущее. Так что, друзья, закатываем рукава и строим крепость, где даже Ваня из бухгалтерии станет героем.

Ссылки на используемые материалы:

• Исследование: угрозы информационной безопасности. Часть 1: статистика (опубликовано 26 января 2018 года)
• Актуальные киберугрозы: итоги 2022 года (опубликовано 29 марта 2023 года)
• Число кибератак в России и в мире (последнее обновление 11 марта 2025 года)