Утечки информации. Ущерб растет

Всего по данным исследования Zecurion Analytics в мире за 2011 год оценочный ущерб от публичных инцидентов информационной безопасности составил $20,586 млрд. В среднем, каждая утечка  информации обошлась в $25,13 млн. Суммарное число скомпрометированных записей персональных данных составило свыше 350 млн.

Всего, по данным исследования, в 2011 году в мире было зарегистрировано 819 инцидентов информационной безопасности. Но это количество не является точным числом, поскольку как отмечают эксперты Zecurion, необходимо учитывать, что публичными становится лишь незначительная доля инцидентов (не более 0,1%, по оценкам Zecurion Analytics). Выборка в рамках исследования при этом является достаточно репрезентативной для выявления актуальных трендов, однако не позволяет делать выводов о точном количестве инцидентов информационной безопасности в мире. Наименее активным с точки зрения инцидентов, связанных с утечками информации в 2011 году был период с июля по октябрь, в то время как пиковые показатели приходились на июнь и ноябрь прошлого года.

Говоря о географии инцидентов, в исследовании отмечено увеличение доли России и других стран за счет сокращения доли утечек из США. Так, если в 2010 году доля США составляла 88,4% от всех инцидентов, то в 2011 году доля этой страны составила 72,4%.

Эксперты Zecurion Analytics отмечают, что в безусловном лидерстве США нет ничего удивительного. Большому количеству публично раскрытых инцидентов способствуют жесткое законодательное регулирование, серьезные санкции за сокрытие утечек, а также пристальное внимание к вопросам защиты информации со стороны СМИ и серьезное отношение к своим персональным данным со стороны самих жителей США.

Относительно же увеличения доли России и доли других стран в общем количестве инцидентов с утечкой информации, которые стали публичным достоянием, в рамках исследования отмечено, что если в 2010 году доля России составляла 3,5%, то по итогам 2011 года доля нашей страны составила 5%. Страны, подпадающие под категорию «другие страны» получили долю в 22,6% по итогам 2011 года (в 2010 году доля этой категории составляла 8%). Отмечено при этом, что среди прочих стран существенный процент имеет Великобритания. В целом, увеличение доли «других стран» и России по мнению Zecurion Analytics, это положительная тенденция. Чем шире будут освещаться инциденты, тем сильнее будут мотивированы компании защищать свои конфиденциальные сведения и личные данные своих клиентов. Отмечено также, что стабильный рост доли публичных инцидентов в России связан, прежде всего, с реализацией закона «О персональных данных».

По результатам 2011 года, чаще всего информация утекает из медицинских организаций (20,4%), госучреждений (16,7%), образовательных заведений (15,2%), предприятий розничной торговли (13,8%). При этом, если доля двух первых лидирующих типов организаций («медецинские учреждения» и «госучреждения») сократилась по сравнению с прошлым годом, то в двух других категориях доли увеличились по сравнению с 2010 годом. 

Относительно других категорий компаний, в которых были зафиксированы случаи утечки данных, по итогам 2011 года отмечается снижение доли финансовых компаний (6,5% в 2011 году, в то время как по итогам 2010 года доля составляла 14,4%). Наряду с этим, вновь увеличилась доля высокотехнологичных компаний (с 1,2% в 2010году до 6,1% по итогам 2011 года). В связи с увеличением доли в отдельные категории по итогам исследования в 2011 году также были выделены транспортные и логистические компании (3,2% всех зарегистрированных инцидентов) и предприятия общественного питания (4,6%).

Говоря о том, какие данные чаще всего утекают, эксперты в рамках исследования приводят следующие цифры: доля утечек финансовых данных физических лиц значительно возросла по сравнению с прошлым годом и составила в 2011 году 18,2%. Учитывая, что в отраслевом распределении по утечкам данных доля финансовых компаний составила всего 6,5%, становится очевидным, что большое количество финансовых данных утекло из других отраслей, прежде всего предприятий розничной торговли, медицинских и образовательных учреждений.

В результате количество скомпрометированных финансовых данных практически сравнялось с количеством медицинских данных (19,1% по итогам 2011 года). Прочие персональные данные по-прежнему лидируют среди типов скомпрометированной информации, однако их доля продолжает сокращаться (56% в 2011 году против 63,6% в 2010 году). Гораздо реже утекают коммерческая и государственная тайна, интеллектуальная собственность.

Самыми распространенными каналами утечек по данным экспертов Zecurion Analytics  являются веб-сервисы (18,2%) и компьютеры (16,1%), а также неэлектронные носители (13,8%). Последние остаются популярным каналом утечки вследствие некорректной утилизации. В отношении бумажных носителей также существует проблема «деклассификации», когда ненужные в делопроизводстве документы перестают считаться конфиденциальными.

В отдельную категорию в рамках исследования выделены утечки, произошедшие вследствие неправильной утилизации носителей информации (10,4% по итогам 2011 года). При этом физически неправильно могут утилизироваться как мобильные накопители, так и оборудование. Значительные доли каналов утечки информации приходится также на ноутбуки (10,1%) и мобильные накопители (9,3%). Из других тенденций отмечено снижение доли канала «электронная почта» (7,4% в 2011 году против 17,8% в 2010 году).

Относительно наличия умысла в утечках информации, по данным исследования в 2011 году 45,2% из всех утечек подпадают под категорию «случайные» и это выше, нежели годом ранее. Высокая доля случайных утечек соответствует статистике последних лет, однако, по оценкам Zecurion Analytics будет снижаться в будущем с ростом осведомленности пользователей и широким внедрением DLP-систем. На долю преднамеренных утечек информации пришлось 31,1% и еще 23,7% подпадают под категорию «не определено». Относительно большую долю неопределенности эксперты в исследовании объясняют трудностью в определении истинных причин утечек. Не всегда можно узнать, был ли похищен компьютер или накопитель ради «железа» или записанной на нем информации, или является ли техническая ошибка специалиста действительно случайной или преднамеренной.

Что касается России, то по данным Zecurion Analytics  в 2011 году в нашей стране был зарегистрирован 41 публичный инцидент, большинство из которых получили широкую огласку в СМИ. Суммарный ущерб российских компаний от утечек данных оценивается экспертами в более чем $1 млрд.

Среди наиболее громких инцидентов прошлого года в нашей стране названы утечка SMS-сообщений оператора «МегаФон», а также появление в открытом доступе базы данных 1,6 млн абонентов МТС. Также резонансной стала публикация персональных данных на сайте Пенсионного фонда России, а также массовая компрометация данных о клиентах со стороны российских интернет-магазинов. В последнем случае Роскомнадзор выявил около 80 интернет-магазинов, которые компрометировали персональные данные своих покупателей.

Давая прогнозы, в рамках исследования эксперты Zecurion Analytics отмечают как один из трендов дальнейший рост стоимости утечек. Данный тренд связан как с ростом ценности информации, так и с ужесточением законодательства в области защиты информации, прежде всего персональных данных. Ожидается экспертами также падение доли непреднамеренных утечек, кроме того, специалисты рассчитывают на уменьшение в перспективе количества утечек из-за неправильной утилизации носителей (как электронных, так и бумажных). Что касается технических средств защиты, аналитики Zecurion Analytics ожидают рост популярности продуктов для шифрования. Данный класс решений отличают относительная простота внедрения и низкая совокупная стоимость владения. При этом решения позволяют устранить широкий пласт утечек, связанных с воровством или утерей мобильных и резервных накопителей, ноутбуков, взломом сети внешними злоумышленниками и так далее.