Утечки данных бьют по российской экономике и угрожают национальной безопасности

Россия в 2024 г. заняла второе после США место в глобальном рейтинге по количеству утечек данных, говорится в исследовании Infowatch. В первой пятерке также Индия и Великобритания, и Канада.

Роскомнадзор в прошлом году зафиксировал 135 случаев утечек в сеть баз данных, в которых совокупно содержалось более 710 млн записей о россиянах. Количество инцидентов по сравнению с 2023 г. – тогда их было 168 – хоть и уменьшилось, но записей утекло больше (более 410 млн). В статистику Роскомнадзор включает только подтвержденные случаи.

Во всем мире для защиты конфиденциальной информации: персональных данных, номеров телефонов, банковских карт и проч. – используют маскирование данных, говорит Андрей Буланов, генеральный директор IQMen, которая входит в группу «Ростелекома». Так называют метод, при котором реальные данные пользователей заменяют фиктивными. В результате информация, даже если попадет в руки злоумышленников, не будет представлять для них никакой ценности.

Риск на миллионы
В России этот рынок только зарождается. Исследование центра компетенций защиты данных «Гарда» показало, что каждая пятая отечественная компания не маскирует данные, а в каждой четвертой нет ответственного за этот процесс лица.

Между тем любая утечка, о которой стало известно регуляторам, может дорого обойтись бизнесу. В 2025 г. штрафы за утечку персональных данных значительно выросли. До 30 мая для операторов персональных данных, то есть тех, кто их собирает и обрабатывает, размер штрафа не превышал 700 000 руб. После ответственность для индивидуальных предпринимателей и юрлиц может достигать от трех до 15 млн руб. в зависимости от размера базы данных.

Расходы компаний могут включать также выплаты компенсаций истцам, затраты на расследование инцидента и на усиление мер безопасности, рассказывает ведущий юрист Enforce Law Company Юлия Барышева.

Экспертно-аналитический центр Infowatch в другом исследовании выяснил: суммарный ущерб от одного инцидента, по собственным оценкам пострадавших компаний, составил более 41 млн руб. Самыми «дорогостоящими» последствиями стали убытки от сорванных сделок и затраты на аудит информационной безопасности – в среднем до пяти млн руб. за один инцидент.

IBM and Ponemon Institute опубликовали общемировые цифры: согласно им, средняя стоимость утечки данных в 2025 г. составила $4,4 млн. Только в Европе из-за утечек на компании в 2024 г. наложены штрафы на 1,2 млрд евро, подсчитала юридическая компания DLA Piper.

Кроме того, бизнесу может потребоваться время на восстановление ИТ-инфраструктуры, из-за чего его деятельность может простаивать, добавляет партнер адвокатского бюро «ЭЛКО профи» Анатолий Беседин.

Так, кибератака, которой 14 июля подверглась принадлежащая Novabev Group сеть алкомаркетов «Винлаб», вывела из строя ее IT-инфраструктуру и привела к закрытию магазинов. Они возобновили работу лишь с третьей декады июля, а полностью восстановить работу сайта и приложения удалось только 15 августа. Директор департамента расследований T.Hunter Игорь Бедеров в разговоре с «Ведомостями» оценивал возможные убытки за одну–две недели простоя в 1,5 млрд руб.

В июне 2024 г. в результате другой атаки в сеть утекли 8,2 млн уникальных телефонных номеров и 1,6 млн адресов электронной почты клиентов «Винлаб». Среди других инцидентов 2024–2025 гг., затронувших миллионы пользователей, – это взлом базы Росреестра, в результате которой в открытом доступе оказалось два млрд строк, атака на маркетинговую платформу, из-за чего в Сеть попала база клиентов «Бургер Кинг» с 5,5 млн строками информации. Также в открытом доступе оказалось более 4,5 млн уникальных номеров телефонов клиентов интернет-аптеки «АптекиПлюс».

Среди зарубежных примеров – утечка в 2023 г. данных о 2,9 млрд клиентов брокерской компании National Public Data. За этим последовали десятки коллективных исков, а сама компания в 2024 г. вынуждена была подать заявление о банкротстве.

Надеть маски
Однако конфиденциальную информацию можно защитить, один из способов – ее маскирование. Ozon Tech рассказывал, как это работает. Например, у компании есть база с персональными данными курьеров, ей нужно протестировать новую систему мониторинга доставки. В ходе теста разработчики не будут видеть реальные сведения: система заменит настоящие имена на фейковые, номера телефонов – на набор цифр, адреса электронных почт – на случайно сгенерированные.

При маскировании структуры таблиц и все взаимосвязи остаются нетронутыми, говорит Буланов. Благодаря этому команды разработки могут работать с живыми, но безопасными данными, не дожидаясь искусственно созданных, что, в свою очередь, ведет к более быстрому внедрению обновлений, добавляет эксперт.

Это не единственная сфера применения маскированных данных. Их можно использовать при проведении исследований и сборе аналитики, делиться ими с контрагентами и поставщиками или же обучать сотрудников на том массиве, к которому у них нет доступа, отмечает платформа облачных вычислений Amazon Web Service.

В зарубежных системах управления базами данных, например Oracle или SQL Server, есть встроенные инструменты для маскирования данных. Но если раньше на иностранное программное обеспечение (ПО), например от Informatica, IBM, Delphix и Privitar, приходилось 70–80% российского рынка, то к 2024 г., согласно экспертным оценкам, его доля упала до 10–20%, считает Буланов.

Он объясняет это санкционным давлением, запретом на использование иностранного ПО в госсекторе и стратегических отраслях, а также невозможностью обеспечить техническую поддержку и регулярные обновления.

«Российский рынок маскирования данных стал почти полностью ориентированным на отечественные решения, создав уникальную возможность для профессиональных разработчиков занять нишу, на которой раньше доминировали западные игроки», – говорит Буланов.

Решения в этой области уже предлагает ряд российских компаний, среди них IQMen, «Гарда» и HFLabs. Критериями при выборе конкретного продукта может стать его простая интеграция с существующей ИТ-инфраструктурой, гибкость настроек, высокие эффективность маскирования и уровень автоматизации и поддержки, а также оптимальная стоимость внедрения и последующей эксплуатации, перечисляет Буланов.

Большой потенциал
В 2024 г. инвестиции в средства для защиты данных в России увеличились на 20%, до 23 млрд руб., писал «Коммерсант» со ссылкой на данные «Информзащиты». Самая высокая динамика у средств реагирования на утечки (на 26%) и продуктов для контроля доступа (на 40%).

В этом году рост рынка продолжится, считают опрошенные приложением «Ведомости. Инновации и технологии» эксперты. В частности, как отмечает «Ассоциация больших данных», этому будут способствовать изменения в законодательстве, которые ужесточают ответственность за утечку данных.

Увеличивается и спрос компаний на страхование киберрисков, рассказывают опрошенные журналистами участники рынка. Утечки данных – как раз среди самых популярных для страхования рисков, говорит вице-президент Всероссийского союза страховщиков Глеб Яковлев.

Буланов среди драйверов роста называет появление информационных систем на базе искусственного интеллекта и машинного обучения. Они позволяют находить персональные данные в неструктурированных источниках и применять адаптивное маскирование. При этом методе изначальная информация также меняется на фиктивную, но способ замены: подмена, шифрование и проч. – зависит от задачи, для которой она используется. Использование ИИ в сфере безопасности уже дает свои плоды. Исследование IBM и Ponemon Institute показало: организации, которые широко используют эту технологию, экономят $1,9 млн по сравнению с организациями, ее не использующими.

Кроме того, маскирование все чаще интегрируется в комплексные платформы управления данными – это тоже будет способствовать росту рынка, считает Буланов. «Увеличивается спрос и на облачные и SaaS-решения (Software as a Service – «программное обеспечение как услуга»), особенно у малого и среднего бизнеса, не располагающего ресурсами для развертывания собственной локальной инфраструктуры. Это сделает продукты по маскированию данных доступнее небольшим предприятиям», – говорит эксперт.

Дальнейшие перспективы отечественных компаний он связывает с расширением на зарубежных рынках: в страны СНГ и дружественные государства, в которых действуют похожие с российскими правила защиты личной информации.