Вы уверены, что знаете, что у вас воруют? Скорее всего, вы даже не все корпоративные данные считаете ценными. Никита Леокумович, руководитель управления цифровой криминалистики и киберразведки Angara MTDR, рассказывает о кибербезопасности и методах поиска внутренних нарушителей.

Есть известная теория разбитых окон: если в здании появилось разбитое окно и его никто не меняет, очень скоро рядом появятся новые. Не потому, что одно разбитое стекло физически приводит к появлению другого. Оно показывает окружающим: здесь можно. За этим не следят. Последствий не будет.

В информационной безопасности работает примерно тот же принцип. Сотрудник отправил рабочий документ себе на личную почту — никто не отреагировал. Другой вынес данные на флешке — ничего не произошло. Кто-то передал пароль коллеге. Кто-то использовал рабочую систему в личных целях. Кто-то дал подрядчику больше прав, чем требовалось.

Каждый отдельный эпизод может показаться мелочью. Но постепенно внутри организации формируется куда более опасное убеждение: правила существуют на бумаге, контроль формален, а нарушение ничего не стоит. И именно с этого часто начинается настоящая проблема внутренних угроз.

Воруют не только базы клиентов

Когда руководителю говорят об инсайдерах, он обычно представляет сотрудника, который перед увольнением скачал клиентскую базу и продал её конкуренту. Так действительно бывает. Но это лишь один и далеко не самый интересный сценарий.

На практике ценность может иметь практически любая информация, к которой компания предоставляет сотрудникам доступ:

• обращения клиентов и граждан;

• внутренняя переписка;

• сведения о закупках и поставщиках;

• коммерческие предложения;

• данные CRM;

• техническая документация;

• доступ к информационным системам;

• информация о клиентах;

• планы развития;

• сведения о сотрудниках;

• результаты исследований;

• внутренние документы и даже само право пользоваться корпоративным ресурсом.

Причём руководство компании может вообще не считать эти сведения ценными. Нарушитель — считает. Если у бизнеса есть что-то, что можно превратить в деньги, конкурентное преимущество, доступ, влияние или иной личный интерес, рано или поздно может появиться тот, кто попробует это сделать, иногда совершенно неочевидным способом.

Например, сотрудник может передавать обращения граждан юридической компании своего родственника. Вроде бы не клиентская база, не исходный код и не коммерческая тайна в привычном понимании. Но доступ к этим обращениям превращается в поток потенциальных клиентов — а значит, в деньги.

В другом случае предметом торговли становится уже не информация, а сам доступ: сотрудник за плату предоставляет посторонним возможность пользоваться внутренней информационной системой работодателя. А иногда человек просто размещает на специализированной площадке предложение о продаже закрытых сведений компании. То, что для организации является рутинным рабочим процессом, для внутреннего нарушителя может оказаться готовой бизнес-моделью.

Скрытая угроза: как расследовать внутренние инциденты

Главная проблема — компания зачастую не знает, что у неё уже что-то происходит. Внешняя атака всегда заметнее – сработала защита, появился вредоносный файл, произошёл подбор пароля, пришёл сигнал SOC, недоступен сервис.

С внутренним нарушителем значительно сложнее. У него уже есть учётная запись. Есть компьютер. Есть доступ в помещения. Есть права в информационных системах. Он знает процессы компании, понимает, где лежит нужная информация, кто за что отвечает и где контроль слабее. А главное — значительная часть его действий по отдельности может выглядеть абсолютно легитимно. Сотрудник открыл файл — он имеет на это право. Скопировал таблицу — возможно, это часть его работы. Зашёл в CRM — он делает это ежедневно. Получил несколько тысяч записей — может быть, готовит отчёт. Именно поэтому внутренний инцидент практически никогда нельзя расследовать по принципу: "DLP сработала — значит, мы нашли виновного".

Срабатывание системы — это повод начать разбираться, а не готовый приговор. Необходимо установить, что произошло, кто фактически выполнял действия, с какого устройства, какие данные были затронуты, куда они могли попасть, был ли у человека рабочий повод совершать эти операции и подтверждается ли версия другими независимыми источниками.

Иногда утечка начинается задолго до самой утечки. Внутренние инциденты редко существуют в вакууме, им часто предшествует целая цепочка обстоятельств:

• у сотрудника сохранились избыточные права;

• никто годами не пересматривал доступ;

• подрядчика допустили во внутреннюю систему;

• критичная информация никак не классифицирована;

• журналы событий либо не собираются, либо хранятся несколько дней;

• порядок обращения с конфиденциальной информацией существует только формально;

• нарушения внутренних правил остаются без последствий.

И здесь мы снова возвращаемся к разбитым окнам. Защита от внутренних угроз — это не установка очередной DLP, SIEM или другой системы. Это способность организации показать, что она понимает ценность своих данных, контролирует правила обращения с ними и умеет реагировать на нарушения. Технологии лишь помогают это делать.

А когда что-то произошло, начинается гонка со временем. Одна из наиболее распространённых ошибок — сначала эмоционально отреагировать на сотрудника, а потом пытаться разобраться, что же произошло. Заблокировать компьютер. Вызвать человека на разговор. Что-нибудь удалить. Забрать устройство. Попросить администратора посмотреть, что там было.

В результате потенциальный нарушитель понимает, что его обнаружили, часть цифровых следов теряется, а собранные материалы иногда становится значительно сложнее использовать в дальнейшем разбирательстве.

Правильное расследование начинается с другого. Необходимо сохранить данные и зафиксировать состояние систем, построить хронологию, сопоставить журналы различных источников, проверить альтернативные версии и только после этого переходить к выводам. Потому что одна и та же техническая картина может означать совершенно разные вещи.

Массовое копирование файлов может оказаться кражей информации. А может — согласованным переносом данных. Использование учётной записи сотрудника может означать его действия. А может — компрометацию этой учётной записи. Поэтому задача расследования — не найти удобного виноватого. Задача — установить, что произошло на самом деле, и получить доказательства, которые выдержат дальнейшую проверку.

Что может происходить внутри компании прямо сейчас

Практика внутренних расследований показывает, насколько разными бывают такие ситуации.

Сотрудники могут:

• фотографировать или копировать конфиденциальные сведения и передавать их третьим лицам;

• извлекать информацию из используемых приложений с помощью специально подготовленного ПО;

• привлекать сотрудников другой организации для получения необходимых данных;

• продавать доступ к корпоративным информационным системам;

• искать покупателей закрытой информации;

• использовать вычислительные мощности работодателя в личных целях;

• выносить внутренние документы за пределы корпоративной инфраструктуры;

• использовать служебную информацию для собственного бизнеса или бизнеса связанных лиц.

Объединяет эти сценарии одно: человек использует доверие, доступ или возможности, которые дала ему сама организация. И именно поэтому защищаться от внутренних угроз сложнее, чем просто закрыть внешний периметр.

Что делать компании

Первый вопрос: не какую DLP купить?. Первый вопрос: что в нашей компании имеет ценность и что произойдёт, если этим воспользуется человек внутри организации? Это и есть отправная точка.

Дальше необходимо определить критичные данные и процессы, опасные сценарии, существующие права доступа, технические источники событий и порядок реагирования.

Отдельно необходимо проверить, сможет ли компания вообще провести расследование, если инцидент случится завтра. Есть ли нужные журналы? Достаточно ли долго они хранятся? Можно ли связать действие с конкретным устройством и пользователем? Сохраняются ли сведения о работе с файлами? Контролируются ли привилегированные учётные записи? Есть ли понятный порядок действий ИБ, службы безопасности, HR и юристов? Сможет ли компания сохранить доказательства и одновременно продолжить работу?

Если на значительную часть этих вопросов нет ответа, проблема уже существует — даже если утечка пока не обнаружена.

Подход к расследованию инцидентов

Инициировать расследования и устранять причины их возникновения компания может как самостоятельно, так и с привлечением внешних экспертов. Как правило, внешние эксперты подключаются как к уже произошедшим инцидентам, так и к ситуациям, когда у компании существуют подозрения, но недостаточно данных для обоснованного вывода.

В зависимости от задачи необходимо:

• восстановить хронологию событий;

• проанализировать данные корпоративных систем и средств защиты;

• определить затронутые информационные активы и возможные каналы передачи;

• проверить несколько версий произошедшего;

• зафиксировать и сохранить цифровые доказательства;

• провести оценку возможного ущерба;

• подготовить материалы для внутреннего, дисциплинарного, досудебного или судебного разбирательства;

• при необходимости обеспечить взаимодействие с юридическими подразделениями и правоохранительными органами;

• проанализировать причины, позволившие инциденту произойти;

• разработать меры, снижающие вероятность повторения подобных событий.

При этом расследование может проводиться с использованием уже существующей инфраструктуры заказчика — SOC, SIEM, DLP, EDR, IAM, PAM, журналов корпоративных систем — и дополняться специализированными инструментами экспертов.

Одна из ключевых задач — получить необходимые данные без необоснованной остановки бизнес-процессов и без уничтожения потенциальных доказательств.

Не знаете, есть ли у вас проблема? Начните не с расследования

Для компаний, у которых пока нет конкретного инцидента, целесообразно провести первичную оценку готовности к внутренним угрозам.

Необходимо базово ответить себе на три вопроса:

1. Что у вас действительно могут украсть или использовать в личных интересах?

Не только очевидные клиентские базы и коммерческую тайну, но и менее заметные информационные активы, которые потенциальный нарушитель способен монетизировать.

2. Какие сценарии внутреннего нарушения наиболее реалистичны именно для вашей компании?

Сотрудники, подрядчики, привилегированные пользователи, увольнение, конфликт интересов, продажа доступа, несанкционированное копирование, злоупотребление служебной информацией.

3. Сможете ли вы понять, что произошло, если инцидент случится завтра?

Помимо этого, необходимо проверить наличие журналов, контроль доступа, организационные документы, готовность к сохранению доказательств и процедуру реагирования. В итоге оценки вы сможете получить карту основных внутренних рисков, несколько наиболее опасных для вашей компании сценариев и перечень первоочередных мер — без обязательства покупать какой-либо продукт или внедрять новую систему.

Заключение

Согласно статистике, на долю инсайдерских атак в 2026 году приходится до 30% от общего числа всех кибератак. Вопрос давно уже стоит в формате не "если", а "когда", поэтому проверьте свою компанию до того, как проверять придётся уже конкретного сотрудника.