В 55% случаев к уголовной ответственности за ИБ-нарушения привлекали сотрудников из отрасли связи, в 16% случаев – представителей органов власти и в 15% случаев – сотрудников финсектора.
Под состав ст. 272 УК РФ подпадают любые нарушения с защищаемой информацией, выявленные как следственными органами, так и пострадавшими организациями. Согласно исследованию, в каждом четвертом случае действия сотрудников приводили к штрафам или к запрету занимать определенные должности, и лишь в 9% эпизодов – к лишению свободы.
Аналитики подсчитали, что почти в половине выявленных случаев, дошедших до суда (47%), основным нарушением был т. н. «пробив» – продажа персональных данных абонентов и детализация их звонков. Подобные действия могут квалифицироваться по статьям 272 и 183 УК РФ, предусматривающим ответственность за незаконное получение и разглашение сведений, составляющих коммерческую, налоговую или банковскую тайну.
В соответствии с действующим законодательством, по статье 183 виновному может быть назначен штраф от 500 000 до 5 млн. руб. либо в размере дохода за период от года до 5 лет, а также лишение свободы на срок от 2 до 7 лет или запрет на занятие определенных должностей сроком до 3 лет.
В 33% инцидентов зафиксировано внесение ложных данных в информационные системы, в том числе для выпуска SIM-карт, в 16% – выгрузка и передача иных данных.
В 87% случаев виновниками нарушений становились рядовые сотрудники и, как правило, им выносили обвинительный приговор.
В 45% случаев нарушителей закона наказывали штрафами, в 26% – лишали свободы условно, в 23% случаев – отказывали в праве на занятие определенных должностей. В 6% случаев наказывали виновных лишением свободы.
Отрасль связи лидирует в статистике несанкционированного распоряжения информацией, так как сотрудники телеком-компаний имеют доступ к гигантским массивам конфиденциальных данных – от персональных сведений абонентов до детализации их звонков. Сотрудники операторов связи – слабое звено и основная мишень со стороны злоумышленников, поскольку обрабатываемые данные представляют для криминального мира особую ценность. Свою роль играет и низкий уровень цифровых компетенций персонала.
Меры внутреннего контроля – журналирование действий, разграничение прав доступа и двухфакторная аутентификация – в телеком-компаниях либо формальны, либо недостаточно автоматизированы. Нет регулярного аудита действий персонала, системы мониторинга нарушений в сфере ИБ не адаптированы к специфике операций операторов связи. При найме персонала глубокая проверка благонадежности кандидатов проводится нечасто.
Действия операторов при ЧП с утечкой данных нередко носят реактивный характер. Начинают внедряться DLP-системы, ужесточается контроль доступа, ведутся интенсивные тренинги персонала.
Решение проблемы эксперты видят во внедрении автоматизированных систем поведенческого анализа сотрудников, регулярных стресс-тестах ИБ-среды, во внедрении инструментов управления доступом и в контроле аномальной активности.
