Угрозы безопасности персональных данных и их защита

Топ-5 угроз для персональных данных компании

1. Инсайдеры и халатность сотрудников

Каждый 5-й инцидент — действия своих же работников, 98% таких случаев носят умышленный характер.

2. Хакерские атаки и взломы

Основная причина крупных публичных утечек. Лидеры по числу инцидентов — торговля и госорганы.

3. Фишинг и социальная инжененрия 

Сотрудник переходит по ссылке — злоумышленник получает доступ ко всей базе данных компании.

4. Уязвимости в программном обеспечении 

SQL-инъекции, устаревшие CMS, незакрытые патчи — открытые ворота для автоматизированных атак.

5. Потеря и кража носителей 

Ноутбук без шифрования, флешка с базой клиентов, бумажные документы в мусорной корзине офиса.

6. Атака на цепочку поставок

Компания обрабатывает ПДн по поручению.
 

Внешние угрозы

Внешние атаки — это основная причина крупных утечек: именно они дают злоумышленникам доступ сразу к миллионам записей за один инцидент. Самые распространённые векторы атак на персональные данные компаний:

Фишинг

Сотрудник получает письмо «от службы безопасности банка» или «от директора» с просьбой срочно ввести данные или перейти по ссылке. После клика — кража учётных данных и полный доступ к корпоративным системам. Для бизнеса это означает: злоумышленник получает доступ к CRM, базе клиентов, 1С — всему, к чему был доступ у скомпрометированного сотрудника.

SQL-инъекции

Атака на сайт или веб-приложение через уязвимость в форме ввода. Классический сценарий: интернет-магазин без должной защиты базы данных теряет за один инцидент все данные покупателей — имена, адреса, номера телефонов, историю заказов.

Вредоносное ПО и шифровальщики (ransomware)

Вирус попадает в сеть через заражённое письмо или флешку, шифрует базы данных и требует выкуп. Даже если компания платит — данные уже скопированы и могут быть проданы на даркнет-маркетплейсах.

Социальная инженерия 

Злоумышленник представляется техподдержкой, контрагентом или новым сотрудником и убеждает живого человека передать доступ или данные. Технически безупречная система защиты не спасает, если атакуют человеческий фактор
 

Внутренние угрозы

Статистика разрушает популярный миф о том, что главная опасность — это внешние хакеры. По данным InfoWatch, в 2024 году почти каждый пятый инцидент (18,5%) с компрометацией ПДн произошёл по вине внутреннего нарушителя, причём в 98% случаев действия были умышленными. Число инсайдерских инцидентов в России выросло на 89% в 2025 году — во многом из-за экономической нестабильности и роста текучести кадров.

При этом только 23% организаций способны своевременно обнаружить внутренний инцидент. В среднем компании обнаруживали инсайдерские инциденты через 40–60 дней после их совершения — когда данные уже давно проданы или опубликованы.

Типичные сценарии внутренних угроз:

1. Менеджер по продажам перед увольнением скачивает базу клиентов и уносит к конкуренту.
2. Сотрудник пересылает таблицу с ПДн клиентов на личный Gmail «чтобы поработать дома».
3. Потеря рабочего ноутбука без шифрования диска в такси или кафе.
4. Распечатанные договоры с персональными данными выброшены в обычный мусор без уничтожения.
5. Системный администратор копирует базу данных «на всякий случай» на личный носитель.

Кейс: как одна ошибка сотрудника обошлась компании в миллионы

Обобщённый пример из практики, 2024 год.

Менеджер среднего интернет-магазина выгрузил базу из CRM в Excel перед уходом в отпуск — «чтобы проверить заказы с телефона». Файл содержал 85 000 строк: ФИО, телефоны, адреса доставки, историю покупок. Сотрудник отправил файл на личную почту. Через две недели его аккаунт взломали через другой сервис с тем же паролем.

Итог: база утекла на форум в даркнете. Роскомнадзор получил сигнал от одного из пострадавших клиентов. Компания получила предписание, штраф по ст. 13.11 КоАП, и три гражданских иска от субъектов ПДн. Репутационный ущерб — отток 15% постоянных покупателей в течение квартала.

Что могло предотвратить инцидент: запрет на выгрузку полных баз рядовым менеджерам, DLP-система контроля исходящих данных, политика паролей и двухфакторная аутентификация.

Главный вывод: внутренние угрозы сложнее детектировать и сложнее доказать в суде, чем внешние атаки. Именно поэтому выстраивание системы защиты должно начинаться изнутри — с проверки благонадёжности сотрудников при найме, разграничения прав доступа и непрерывного мониторинга действий с персональными данными.
 

Защита персональных данных: технические и организационные меры

Закон не оставляет выбора: статья 19 ФЗ-152 обязывает оператора применять оба типа мер защиты одновременно — и организационные, и технические. Компания, которая разработала идеальные документы, но не внедрила технических средств защиты, нарушает закон. И наоборот: лучший антивирус не заменяет политику доступа и инструктаж сотрудников.

Конкретный набор мер зависит от уровня защищенности информационной системы персональных данных (ИСПДн) — его определяют в зависимости от категории данных и числа субъектов. Логика проста: чем чувствительнее данные и чем больше людей затронуто, тем строже требования.

Уровни защищённости ИСПДн: от чего зависит и что требует
 

Определить уровень защищённости для своей системы оператор обязан самостоятельно — и зафиксировать это в акте классификации ИСПДн. Ошибка в классификации «в сторону занижения» — один из самых частых поводов для предписаний при проверках Роскомнадзора и ФСТЭК.

Организационные меры защиты

Организационные меры — это управленческий каркас всей системы защиты. Без них технические средства работают вхолостую: сотрудники не знают регламентов, доступы не разграничены, ответственность размыта.

Назначение ответственного лица

Приказом руководителя назначается сотрудник (или подразделение), который организует обработку ПДн, ведёт реестр систем и отвечает за взаимодействие с регуляторами. Без этого шага все остальные меры юридически «повисают в воздухе».

Разработка модели угроз

Документ, который описывает актуальные угрозы для конкретной ИСПДн: кто может атаковать, через какие каналы, с какими последствиями. Модель угроз — основание для выбора конкретных технических средств защиты.

Разграничение прав доступа

Каждый сотрудник получает доступ только к тем данным, которые нужны ему для работы — и ни байтом больше. Принцип минимальных привилегий на практике: оператор колл-центра видит телефон клиента, но не его паспортные данные.

Обучение и инструктаж персонала

Регулярные инструктажи для всех сотрудников, имеющих доступ к ПДн: как хранить, как передавать, что делать при инциденте. Журнал инструктажей — обязательный документ при проверке.

Контроль и мониторинг

Регулярные внутренние проверки соблюдения регламентов, журналы обращений к базам данных, контроль за действиями привилегированных пользователей (системных администраторов, DBA).

Регламент уничтожения данных

Чёткая процедура уничтожения ПДн по истечении срока хранения или отзыва согласия — с составлением акта. Распространённая ошибка: данные «удаляют» из интерфейса, но они остаются в резервных копиях и архивных таблицах БД.

Соглашения о неразглашении (NDA)

Все сотрудники, имеющие доступ к ПДн, подписывают обязательство о конфиденциальности. При передаче данных подрядчикам и аутсорсерам — обязательное включение условий о защите ПДн в договор.

Технические средства защиты персональных данных

Технические меры — это инструментарий, который реализует организационные решения на уровне систем и инфраструктуры. Каждый инструмент закрывает конкретный вектор угрозы.

6 технических инструментов защиты ПДн: что внедрять и от чего защищает

1. Антивирусное программное обеспечение

Базовый инструмент — обязателен для всех уровней защищённости. Защищает от вредоносного ПО, шифровальщиков и шпионских программ, которые могут перехватывать или уничтожать ПДн. Для ИСПДн рекомендуется использовать сертифицированные ФСТЭК России решения (например, Dr.Web, Kaspersky с соответствующими сертификатами).

2. Межсетевой экран (Firewall / NGFW)

Контролирует входящий и исходящий сетевой трафик, блокирует несанкционированные подключения к серверам с ПДн. Для УЗ-2 и выше — обязателен сертифицированный межсетевой экран. На практике: без МЭ сервер с базой данных клиентов потенциально доступен из интернета.

3. Шифрование данных (СКЗИ)

Защищает данные при хранении и передаче: даже если злоумышленник получит физический доступ к носителю — без ключа данные нечитаемы. Для УЗ-1 обязательно использование сертифицированных СКЗИ (ViPNet, КриптоПро). Для остальных уровней — по результатам модели угроз. Критично для ноутбуков, съёмных носителей и облачных хранилищ.

4. DLP-система (Data Loss Prevention)

Контролирует перемещение данных внутри компании и за её пределы: блокирует отправку файлов с ПДн на личную почту, в мессенджеры, на внешние носители. Это главный инструмент борьбы с инсайдерской угрозой. Фиксирует все действия с конфиденциальными файлами и создаёт доказательную базу для расследования инцидентов.

5. Резервное копирование (Backup)

Обеспечивает восстановление данных после атаки шифровальщика, технического сбоя или случайного удаления. Правило «3-2-1»: три копии данных, на двух разных типах носителей, одна — вне основного периметра (офсайт или изолированное облако). Резервные копии также должны быть зашифрованы и защищены от несанкционированного доступа.

6. СКУД и физическая защита

Системы контроля и управления доступом в серверные помещения и рабочие зоны, где обрабатываются ПДн. Физическая безопасность — часть требований ФЗ-152 и приказов ФСТЭК. Минимум: замки, журналы доступа, видеонаблюдение. Для УЗ-1 — биометрический контроль доступа в серверную.

Дополнительные технические меры для повышенных уровней защищенности