Доколе? Средний ущерб от утечки информации российские компании оценивают в 11,5 млн рублей

Убытки от сорванных сделок и затраты на аудит инфобезопасности стали самыми дорогостоящими последствиями утечек данных в российских компаниях. По каждому из указанных направлений, расходы составляют в среднем до 5 млн рублей за один инцидент.

Суммарный ущерб от одного инцидента пострадавшие компании оценили в сумму более 41 млн рублей. Такие данные приводит экспертно-аналитический центр (ЭАЦ) ГК InfoWatch в своем исследовании «Оценка ущерба от утечек информации и затрат на ликвидацию последствий».

Исследование базируется на опросе представителей российских компаний, который проводила группа ЦИРКОН по заказу ГК InfoWatch. Большинство представителей бизнеса, принявших участие в опросе, сообщили, что ущерб вследствие утечек данных стал существенным и ощутимым для их компаний. Среди самых дорогостоящих респонденты назвали утечки персональных данных (их отметили 45% опрошенных), платежной информации (41%) и данных, составляющих коммерческую тайну (41%). Вопрос позволял выбрать несколько вариантов ответа.

При оценке материальных последствий утечек данных представителям компаний было предложено оценить затраты по каждому виду убытков: расходы на обнаружение и расследование инцидента, ущерб непосредственно от инцидента (потери от приостановки деятельности компании, уплата выкупа злоумышленнику, кража денег, потеря клиентов, сорванные сделки и другие), а также затраты на ликвидацию и восстановлению после инцидента и ответственность за утечку (штрафы и другие выплаты). По полученным количественным оценкам от организаций, столкнувшихся с утечками данных, самыми дорогими категориями расходов стали:

Если суммировать полученные в результате исследования данные от пострадавших организаций, то средний ущерб от утечки информации достигает в среднем 11,5 млн рублей, а по максимальным оценкам пострадавших организаций — более 41 млн рублей, отмечают в ЭАЦ InfoWatch. «Стоит отметить, что названные суммы — это оценка представителей среднего и крупного бизнеса, и она не включает в себя оценку крупнейших компаний, — подчеркивает главный аналитик-эксперт ЭАЦ InfoWatch Дарья Пырина. — По данным предыдущих исследований, в первом полугодии 2024 года в утекло почти 1 млрд записей (986 млн.) персональных данных, и больше половины этого объема пришлись на один инцидент, зарегистрированный Роскомнадзором. Очевидно, что материальные потери от утечек подобного масштаба существенно выше озвученных в ходе опроса сумм. Однако представители крупнейших компаний не готовы их комментировать».

Аналитики ЭАЦ InfoWatch обращают внимание на важный факт — несмотря на то, что компании считают утечки данных серьезной угрозой, большинство организаций по-прежнему детально не оценивают реальный ущерб от инцидентов. Согласно данным опроса, каждая пятая компания из тех, которые сталкивались с утечками данных, не подсчитывала убытки (22%), еще 39% пострадавших организаций провели только общую оценку ущерба и не вели раздельный учет затрат. 37% компаний подошли к вопросу более системно, оценив ущерб и затраты на ликвидацию последствий по конкретным статьям. «Практика оценки ущерба от утечек информации в российских организациях остается на начальном уровне развития. Организации признают необходимость такой оценки, но использование системных подходов пока является исключением, что говорит о низком уровне осведомленности о реальных последствиях утечек и, соответственно, приводит к недостаточной готовности к будущим инцидентам.

При этом большинство респондентов оценивают ущерб от утечек как существенный и ощутимый, независимо от типов украденных данных, в некоторых случаях — даже как угрозу существования организации», — говорит Дарья Пырина.

При этом по данным исследования об оценке ущерба от утечек, проведенного компанией InfoWatch и Ассоциацией по защите деловой информации (BISA) в 2023 г., ущерб в случае утечки информации оценивали более половины (51%) пострадавших организаций. В актуальном исследовании этот показатель выше, что может свидетельствовать о том, что практика оценки ущерба от утечки информации, даже в общем виде, постепенно распространяется в российских организациях, отмечают авторы исследования.

Источник: InfoWatch