Утечки данных в компаниях: почему страдает не IT, а руководство

Парадокс утечки: почему удар приходится по руководству, а не по IT

В практике консалтинга по информационной безопасности отчётливо прослеживается одна закономерность: когда в компании происходит утечка данных, медийный, юридический и репутационный удар приходится не на IT-подразделение и даже не на службу информационной безопасности, а на первых лиц — генерального директора, совет директоров, иногда финансового директора или CISO. Это воспринимается многими техническими специалистами как несправедливость, ведь именно они отвечают за настройку систем, мониторинг, реагирование на инциденты. Однако в современной модели управления рисками такое распределение последствий не случайно, а является прямым следствием того, как изменился сам статус киберриска в структуре корпоративного управления.

За последние годы киберриск окончательно перешёл из категории технических в категорию стратегических рисков предприятия. Это означает, что его уровень, допустимость и приоритетность определяются не на уровне серверной или SOC, а на уровне решений о бюджетах, приоритетах развития, допустимых компромиссах между защитой и скоростью бизнеса. IT-подразделение может предложить меры, выявить уязвимости, выстроить процессы, но ни одно из этих действий не будет реализовано в полной мере без одобрения и финансирования со стороны руководства. Когда же инцидент всё-таки происходит, именно эти управленческие решения — или их отсутствие — становятся предметом разбора со стороны регуляторов, инвесторов и общественности.

Дополнительным фактором стало ужесточение регуляторной среды: профильные ведомства во многих юрисдикциях прямо закрепили персональную ответственность руководителей за состояние защиты данных и за достоверность раскрытия информации об инцидентах. Это переводит разговор из плоскости «кто допустил техническую ошибку» в плоскость «кто принял решение не выделять ресурс, кто не обеспечил надлежащий контроль, кто не выполнил обязанность по раскрытию». В итоге даже при блестяще отработавшей технической команде вектор ответственности неизбежно смещается вверх по оргструктуре — туда, где находится право подписи и право принятия риска.

Типичные управленческие решения, открывающие дорогу утечкам

Управленческие просчёты, которые превращают технические уязвимости в реальные утечки, почти всегда укладываются в один и тот же набор. Первый и самый распространённый — сознательная экономия на информационной безопасности. Руководство воспринимает ИБ как статью расходов, а не как инвестицию в устойчивость бизнеса: минимизирует бюджеты, откладывает закупку средств защиты, ограничивается минимумом лицензий. В такой ситуации даже выявленная уязвимость остаётся незакрытой просто потому, что на её устранение не выделено ни людей, ни денег.

Вторая группа решений связана с формальным отношением к аудитам и результатам пентестов. Отчёты внешних и внутренних проверок нередко ложатся в папку, а выводы остаются без последствий: руководство не инициирует управленческие изменения, не пересматривает архитектуру доступа, не требует от ИТ-службы дорожной карты устранения. Игнорирование пентеста — это, по сути, управленческое решение принять риск, причём принятое без последующей ответственности.

Третья системная ошибка — кадровая. Компании экономят не только на технологиях, но и на специалистах: нанимают одного администратора вместо полноценной команды, не выстраивают процессы управления доступом, не проводят обучение сотрудников, не вводят позицию CISO или наделяют этими функциями человека без реальных полномочий. Формальное отношение к политикам обработки данных — отсутствие регламентов реагирования на инциденты, классификации информации, процедур работы с подрядчиками — завершает картину. В итоге техническая уязвимость перестаёт быть абстрактной проблемой и превращается в утечку, потому что управленческий контур либо не сработал вовсе, либо сработал слишком поздно.

Разбор реальных кейсов последних лет

Утечка данных компании Equifax в 2017 году, затронувшая персональные данные около 147 миллионов человек, долгое время подавалась как классический пример атаки на веб-приложение через уязвимость в Apache Struts. Однако отчёт Конгресса США и независимые расследования показали, что эта уязвимость была публично раскрыта и закрыта патчем ещё за несколько месяцев до инцидента. Внутри Equifax процесс управления патчами оказался разрозненным: система сканирования не обнаружила уязвимый компонент из-за просроченного сертификата, а приоритизация исправлений допускала откладывание критических обновлений на месяцы. По существу, компанию взломали не через уязвимость, а через управленческое решение не выделять достаточных ресурсов и ответственности на поддержание актуальности систем. Последствия оказались рекордными: компания заключила одно из крупнейших в истории урегулирований на сотни миллионов долларов, директор по информационной безопасности и ряд топ-менеджеров покинули свои посты, а бывший CIO был привлечён к уголовной ответственности за инсайдерскую торговлю накануне публичного раскрытия инцидента.

Совершенно иной, но не менее показательный сценарий воплотила утечка в сети магазинов Target в конце 2013 года, точкой входа в которую стал не основной периметр, а подрядчик по обслуживанию систем отопления, вентиляции и кондиционирования — компания Fazio Mechanical Services. Подрядчик был подключён к сети для рутинных задач — выставления счетов, согласования проектов и обмена технической документацией — и получил при этом избыточные права доступа без адекватной сегментации и мониторинга. Получив учётные данные подрядчика через фишинг, атакующие беспрепятственно перемещались по сети вплоть до кассовых терминалов, на которых было установлено вредоносное ПО. Прямой ущерб компании превысил двести миллионов долларов, генеральный директор покинул свой пост, а сам инцидент стал хрестоматийным примером того, как решение о предоставлении доступа третьим лицам без надлежащего контроля превращает любую техническую атаку в корпоративную катастрофу.

Третий кейс — Marriott International, которая в конце 2018 года обнаружила, что системы приобретённой двумя годами ранее сети отелей Starwood были скомпрометированы ещё с 2014 года. При проведении due diligence в рамках сделки поглощения кибер-риски приобретаемого актива не были оценены должным образом, существующее заражение осталось незамеченным, а после объединения инфраструктур атакующие продолжили доступ к данным бронирований сотен миллионов гостей. Решение о приобретении и последующей интеграции систем без полноценной оценки рисков принималось на уровне совета директоров и топ-менеджмента; британский регулятор ICO в своём решении прямо указал, что Marriott не выполнила базовые обязанности по защите данных при интеграции. Компания была оштрафована на 18,4 миллиона фунтов стерлингов, и этот случай наглядно показал, что миграция и слияние систем без оценки кибер-рисков — управленческая ошибка, последствия которой могут проявляться спустя годы после самого решения.

Юридическая ответственность: когда отвечает не компания, а лично руководитель

Современная правовая логика вышла далеко за пределы классической формулы «утечку допустил системный администратор, с него и спрос». Регуляторы и суды всё чаще привязывают ответственность не к факту технического инцидента, а к управленческим решениям, которые этот инцидент сделали возможным. В центре расследования оказываются не строки логов и настройки межсетевого экрана, а протоколы заседаний, бюджеты на защиту информации и распределение полномочий внутри компании. Именно этот сдвиг принципиально меняет юридическую картину: виноват оказывается тот, кто определял политику и выделял ресурсы, а не тот, кто исполнял решения на техническом уровне.

Институт персональной ответственности директоров и должностных лиц закреплён в правовых системах по-разному, но вектор одинаков. В европейском правовом поле после вступления в силу Общего регламента по защите данных принцип подотчётности возлагает обязанность доказать принятие достаточных мер именно на руководящее звено, а не на оператора-юридическое лицо. В российском законодательстве Кодекс об административных правонарушениях предусматривает персональные штрафы именно для должностных лиц за нарушения порядка обработки персональных данных, и на практике регулятор нередко выбирает эту категорию субъектов ответственности. Отдельный пласт — уголовное преследование: когда масштаб утечки приводит к тяжким последствиям, речь может идти не только о специальных составах за нарушение правил работы с персональными данными, но и о статьях, связанных с халатностью и злоупотреблением полномочиями. Само существование рынка страхования ответственности директоров (D&O) — косвенное, но показательное подтверждение того, что личные риски топ-менеджмента в этой сфере давно перестали быть теоретическими.

Спектр персональных санкций широк — от административных штрафов и временного запрета занимать руководящие должности до уголовного преследования и гражданских исков со стороны пострадавших. Принципиально изменилась и причинно-следственная логика: если раньше от регулятора или истца требовалось доказать, что руководитель «лично нажал не ту кнопку», то сегодня достаточно обосновать, что он знал или должен был знать о системных рисках и сознательно не принял мер — не выделил бюджет, не назначил ответственного, не инициировал аудит, проигнорировал отчёт внешнего консультанта или проверку регулятора. Поэтому формула «виноват системный администратор» в современной правовой логике уже не работает: спрос обращён к тому, кто определял политику безопасности, утверждал архитектуру и контролировал её исполнение, а не к исполнителю на техническом уровне.

Репутационный удар: почему уходит именно руководство

После утечки репутационный удар практически никогда не остаётся «на юридическом лице». СМИ, регуляторы, инвесторы и клиенты нуждаются в конкретном адресате ответственности — абстрактная «организация» не закрывает этот запрос. В условиях, когда топ-менеджмент давно стал публичной фигурой с именем и лицом, узнаваемым за пределами отрасли, именно CEO, CIO или члены совета директоров становятся точкой, в которую сворачивается всё медийное давление. Это объясняет устойчивый паттерн последнего десятилетия: первыми вынуждены уходить руководители, отвечавшие за информационную безопасность и ИТ, но давление быстро поднимается выше — к CIO и CEO, — потому что совет директоров должен продемонстрировать рынку и регуляторам реальные кадровые последствия. История Target, Equifax, Yahoo и Uber наглядно показывает эту «пирамиду отставок»: от главы службы безопасности до генерального директора.

Рынок реагирует на такие кадровые перестановки мгновенно и часто жёстче, чем на саму новость об утечке. Курс акций проседает в первые дни после публикации инцидента, но куда сильнее бьют по бизнесу потеря контрактов и партнёрств, особенно в B2B-сегментах, где сертификаты и история инцидентов давно стали аргументом в закупочных процедурах. У клиентов и партнёров появляется простой, но убийственный вопрос: если компания не смогла защитить собственные данные, почему мы должны верить, что она защитит наши. Этот вопрос редко задаётся вслух, но почти всегда — в кулуарах тендеров и переговоров о продлении контрактов.

Для топ-менеджеров, переживших кризис, долгосрочные последствия нередко оказываются тяжелее самого увольнения. Возвращение в советы директоров других публичных компаний становится затруднительным: номинационные комитеты всё чаще рассматривают крупные утечки как красный флаг при оценке кандидата, а прокси-консультанты и активисты-инвесторы используют историю инцидентов как основание для голосования против переизбрания. Действующие CEO, даже сохранившие пост, вынуждены жить с репутационным шрамом, который постепенно съедает их переговорную позицию и в совете, и на рынке труда. Эпоха, когда руководитель мог «пересидеть» утечку и вернуть доверие за счёт внутренних коммуникаций, по сути завершилась — медийная память об инциденте работает дольше, чем любые последующие инвестиции в безопасность.

Что должно измениться на уровне совета директоров и C-level

Включение информационной безопасности в повестку совета директоров — это не вопрос внедрения ещё одного программного продукта, а сдвиг в управленческой логике. Киберриск необходимо рассматривать наравне с финансовыми, юридическими и стратегическими рисками: с регулярным заслушиванием, понятными метриками и заранее определёнными порогами эскалации. Регуляторы уже закрепили этот подход на уровне законодательства — в частности, GDPR предусматривает штрафы до 4% годового глобального оборота или до 20 миллионов евро за наиболее серьёзные нарушения, а SEC с 2023 года обязала публичные компании раскрывать существенные киберинциденты в течение четырёх рабочих дней. Это означает, что совет директоров больше не может делегировать тему безопасности «на уровень IT» — он несёт прямую обязанность понимать, какие активы защищаются, каков уровень остаточного риска и какие решения по инвестициям в защиту принимаются или откладываются.

На практике это требует нескольких управленческих привычек. Во-первых, CISO должен иметь прямую линию коммуникации с CEO и советом директоров, а не быть «упрятан» в ИТ-вертикаль — иначе информация о реальном состоянии защиты искажается по пути наверх. Во-вторых, в совет целесообразно включать хотя бы одного директора с базовой киберграмотностью или привлекать независимого эксперта на регулярной основе, чтобы вопросы на заседаниях задавались на языке рисков, а не на языке вирусов. В-третьих, киберметрики должны быть привязаны к бизнес-процессам: не «сколько инцидентов закрыто», а «какой процент критичных систем покрыт мониторингом», «каков средний срок обнаружения аномалии», «проведена ли тренировка по реагированию на утечку с участием первых лиц в этом полугодии». Эти показатели должны попадать в управленческую отчётность так же регулярно, как финансовые результаты.

Экономическая логика здесь асимметрична: инвестиции в превентивные меры — сегментация сети, управление доступом, обучение, аудит, планирование реагирования — измеряются единицами процентов от ИТ-бюджета, тогда как последствия успешной утечки включают штрафы регуляторов, судебные иски, приостановку операций и потерю доверия клиентов и партнёров. При этом личная ответственность руководителя — вплоть до уголовной в ряде юрисдикций — становится всё более реальной составляющей этого риска. Проще и дешевле заранее выстроить управленческую дисциплину вокруг кибербезопасности, чем потом объяснять совету, акционерам и регуляторам, почему известные риски были проигнорированы. Перевод темы из технической плоскости в управленческую — единственный способ разорвать привычную цепочку «утечка произошла — отвечает руководство — но решения принимало не руководство».

Вопросы и ответы

Автор · Консультант

Виктор Браунский

Риск, который не посчитан, — это риск, который обязательно реализуется.

Профиль эксперта на ExpertRank →