Киберриски: как обеспечить безопасность данных в компании

Российские компании все чаще сталкиваются с кибератаками. Злоумышленники маскируют вредоносные файлы под счета и договоры, взламывают корпоративные учетные записи, похищают данные и блокируют работу систем. За первые пять месяцев года компании столкнулись с 13 000 атак через деловую переписку и электронный документооборот, что больше, чем за весь предыдущий год. За украденные данные преступники нередко требуют выкуп. С июня 2025 года по середину мая 2026-го его медианная сумма составила 50 млн руб.

Ущерб от одной успешной атаки может превышать 50 млн руб. Помимо потери данных, бизнес рискует столкнуться с простоем систем, оттоком клиентов, сорванными сделками и расходами на восстановление инфраструктуры. По словам юристов, на восстановление IT-систем уходит от 3 до 14 дней, а возвращение компании к обычному режиму работы может занять до двух месяцев.

Дополнительные расходы связаны со штрафами за утечку персональных данных. С 30 мая 2025 года ФЗ № 420 существенно ужесточил ответственность за такие нарушения. В зависимости от количества затронутых субъектов и идентификаторов штраф может составить от 3 до 15 млн руб., а за утечку специальных категорий и биометрических данных он достигает 18 и 20 млн руб. соответственно. При повторном нарушении компании грозит оборотный штраф в размере 1–3% годовой выручки, но не менее 20 млн и не более 500 млн руб. За неуведомление Роскомнадзора об утечке предусмотрен отдельный штраф от 1 до 3 млн руб.

Защита данных начинается с определения того, какую информацию обрабатывает компания, где она хранится и кто имеет к ней доступ. Дарья Заграничнова, старший юрист Denuo, рекомендует провести инвентаризацию данных и систем. Это поможет определить, какие сведения компания собирает, для каких целей использует, кому передает и как долго хранит.

Елена Квартникова, юрист практики защиты персональных данных ЕПАМ, советует проверить бизнес-процессы и правовые основания обработки данных. Документы должны соответствовать тому, как компания в действительности работает с персональными данными. Роскомнадзор проверяет, есть ли локальные акты и соотносятся ли они с реальным процессом. Автоматизированный мониторинг позволяет регулятору выявлять расхождения между данными в документах компании и сведениями, которые она направляет в ведомство, подчеркивает юрист.

Помимо политики обработки персональных данных и согласий, компании нужны правила передачи информации третьим лицам и использования сторонних сервисов, включая облачные платформы и ИИ. Также следует определить, кто отвечает на запросы субъектов персональных данных и Роскомнадзора и как сотрудники должны действовать при выявлении инцидента, перечисляет Квартникова.

Полина Бардина, партнер Firm.One, рекомендует регулярно проверять меры защиты и проводить совместные аудиты юристов и технических специалистов. По их результатам нужно обновлять документы с учетом реальных бизнес-процессов, устройства IT-инфраструктуры и изменений законодательства. Важно также своевременно удалять сведения, которые больше не нужны для обработки и не подлежат дальнейшему хранению по закону.

Значение правильно оформленных документов показывает дело РЖД (№ А40-263206/2025). После публикации в интернете базы, содержащей более 17 млн строк с предположительно персональными данными работников, Роскомнадзор добивался привлечения компании к ответственности. В суде РЖД представили документы, подтверждающие, что действовал порядок предоставления доступа к информационным системам, срок действия паролей был ограничен 90 днями, а учетные записи регулярно проверяли. Первая инстанция назначила штраф 150 000 руб., но апелляция отменила это решение.

На размер штрафа могут влиять и обстоятельства конкретного нарушения. Например, в деле № А40-351064/2025 Роскомнадзор добивался привлечения онлайн-школы к ответственности после утечки данных более 300 000 человек. Суд учел статус микропредприятия и назначил штраф 400 000 руб. вместо многомиллионной санкции. 9-й ААС оставил решение в силе.

Ключевая ошибка бизнеса — подмена реальной информационной безопасности формальным (бумажным) комплаенсом, направленным на успешное прохождение проверок. В итоге юридические меры существуют в отрыве от инфраструктуры, оставляя ее уязвимой для атак. В компаниях возникают слепые зоны: неконтролируемые резервные копии, тестовые среды с реальными клиентскими базами или использование сотрудниками личных облачных сервисов.

После инвентаризации данных стоит проверить техническую защиту. Бесханум Мамедова, консультант практики цифрового права и интеллектуальной собственности О2-STREAM, рекомендует разграничить права доступа и использовать многофакторную аутентификацию. Сотрудники должны получать только те права, которые необходимы им для работы. Неиспользуемые учетные записи следует отключать, а доступ к критически важным системам — защищать дополнительно. Заграничнова советует контролировать хранение паролей и ключей доступа, своевременно обновлять программное обеспечение и устранять уязвимости. Резервные копии необходимо защищать от изменения и удаления злоумышленниками и регулярно тестировать возможность восстановления систем.

Отдельное внимание стоит уделить сотрудникам: обучать их безопасной работе с данными, объяснять, как обращаться с подозрительными письмами, и запрещать передачу конфиденциальной информации в несогласованные внешние сервисы. Для облачных платформ и ИИ-сервисов стоит отдельно определить, какую информацию сотрудники могут передавать, а какая должна оставаться внутри компании, советуют эксперты. Бардина рекомендует бизнесу заранее разработать и регулярно проверять алгоритм реагирования на утечки. Сотрудники должны знать, кому сообщать о подозрительной активности, техническая команда — как остановить утечку, а юристы — какие уведомления и в какие сроки направлять регулятору.

Снизить финансовые потери от кибератак может киберстрахование. В зависимости от условий договора полис покрывает расходы на расследование инцидента, восстановление систем, привлечение специалистов, убытки из-за простоя и ответственность перед пострадавшими. При этом страхование не гарантирует возмещения всех потерь.

Сторонние подрядчики могут получать доступ к информационным системам, данным и IT-инфраструктуре компании, что создает дополнительные риски утечек. В первой половине года более половины веб-атак были направлены на получение служебной информации и учетных данных, которые позволяют злоумышленникам проникать в другие системы компании. Аналитики также называют компрометацию цепочек поставок одним из способов получения такого доступа.

Заграничнова отмечает, что за последствия инцидента могут отвечать и компания, и IT-подрядчик, но объем их ответственности необходимо разграничивать. Если оператор персональных данных поручает их обработку российскому подрядчику, то в случае инцидента, произошедшего из-за умышленных или неосторожных действий подрядчика, последний отвечает перед заказчиком услуг. К иностранному посреднику требования могут предъявить как заказчик, так и субъекты персональных данных.

Разумно в договоре предусмотреть механизм взыскания убытков, если оператора персданных оштрафуют за утечку, произошедшую по вине подрядчика. Закрепить в документе сроки уведомления о произошедшем инциденте, заверения об обстоятельствах и гарантии применяемых мер защиты данных, право на аудит подрядчика. Перед заключением договора важно оценить степень зрелости процессов защиты данных и правильно оформить поручение на обработку, определив цели, категории субъектов, перечень данных, срок обработки и удаления данных и прочее.

Передача функций по обработке персональных данных сторонним подрядчикам не снимает с оператора ответственности за принятие мер для защиты персональных данных и уведомление регулятора об инциденте. Это подтвердил Верховный суд в постановлении по делу № 5-АД25-119-К2.

Еще один пример — дело «Кредитных систем» (№ 05-0967/273/2025). В 2025 году Роскомнадзор обнаружил в интернете базу с персональными данными клиентов компании. Утечка произошла через контрагента: его сотрудник использовал учетную запись для доступа к заявкам и скопировал сведения для дальнейшего распространения. Компания настаивала, что данные утекли у партнера. Но суд указал, что передача данных третьему лицу не освобождает оператора от обязанности обеспечить их конфиденциальность. «Кредитные системы» признали виновными.

В первую очередь нужно зафиксировать инцидент и остановить утечку. Для этого следует записать дату и время обнаружения, определить затронутые системы и по возможности ограничить доступ посторонних, заблокировав скомпрометированные учетные записи, отозвав ключи доступа и изолировав зараженные устройства. При этом необходимо сохранить доказательства: журналы событий, переписку, снимки экрана и обнаруженные файлы. Не следует удалять информацию или переустанавливать системы до фиксации обстоятельств, которые могут понадобиться для расследования.

Затем необходимо сформировать рабочую группу. Для расследования стоит привлечь руководителя компании, IT- и ИБ-специалистов, юриста и ответственного за обработку персональных данных. При необходимости к работе подключают PR-менеджера и финансового специалиста. Группе предстоит установить причины инцидента, определить затронутые данные и количество пострадавших, оценить возможный вред и зафиксировать принятые меры.

В течение 24 часов после выявления утечки нужно уведомить Роскомнадзор. Эта обязанность предусмотрена ч. 3.1 ст. 21 закона «О персональных данных». Уведомление подают через портал персональных данных Роскомнадзора. В нем указывают дату и время инцидента, обстоятельства и предполагаемые причины утечки, возможный вред для субъектов персональных данных, принятые меры и контакты лица, уполномоченного взаимодействовать с регулятором. Еще нужно описать скомпрометированную базу и указать количество затронутых записей.

Обязанность уведомить Роскомнадзор сохраняется и в том случае, если утечка произошла на стороне подрядчика. Поэтому в договорах с внешними исполнителями необходимо заранее определить порядок обмена информацией об инцидентах и установить сроки передачи сведений с запасом, чтобы оператор успел выполнить требования закона.

В течение 72 часов после выявления утечки необходимо сообщить Роскомнадзору результаты внутреннего расследования. Оператор направляет дополнительное уведомление со сведениями о причинах инцидента и лицах, действия которых привели к утечке, если их удалось установить. Порядок взаимодействия с регулятором установлен приказом Роскомнадзора № 187.

Сроки в 24 и 72 часа не продлеваются из-за выходных и праздничных дней. Компании стоит заранее определить, кто отвечает за подготовку уведомлений и передачу информации юристу.

Если утечка произошла в результате компьютерной атаки, компании следует проверить, нужно ли уведомлять другие госорганы. В частности, для некоторых организаций действуют специальные правила взаимодействия с Национальным координационным центром по компьютерным инцидентам и Государственной системой обнаружения, предупреждения и ликвидации последствий компьютерных атак. Порядок уведомления зависит от статуса компании, в частности от того, относится ли она к субъектам критической информационной инфраструктуры.

После локализации инцидента нужно устранить уязвимости, пересмотреть права доступа, заменить скомпрометированные пароли и ключи, проверить резервные копии и восстановить работу систем. По итогам расследования следует зафиксировать причины утечки и меры, которые помогут предотвратить ее повторение. Юристу также стоит оценить, нужно ли информировать контрагентов и пострадавших лиц или публиковать официальное сообщение. Закон «О персональных данных» не требует выпускать пресс-релиз о каждой утечке, но дополнительные обязанности могут следовать из других норм или договоров.

Еще больше о киберугрозах и способах защиты бизнеса расскажут на Форуме «Право-300». Эксперты обсудят, как компании оценивать риски утечек, выстраивать защиту данных и готовиться к кибератакам. Отдельное внимание уделят юридическим последствиям инцидентов и мерам, которые помогут бизнесу снизить возможные потери.