Инсайдер против хакера: где бизнес действительно теряет деньги

Пока компании защищают периметр, угрозы уже работают внутри

Большинство компаний продолжают вкладывать основную часть бюджета ИБ в защиту от внешних атак: межсетевые экраны, анти-DDoS, почтовую безопасность и другие средства защиты периметра.

Другими словами, бизнес по-прежнему готовится к атаке извне, хотя значительная часть ущерба приходит изнутри.

Кто чаще становится причиной инцидентов

Когда говорят об утечках данных, обычно представляют хакеров. Однако внутренние угрозы остаются одной из главных причин серьезных инцидентов.

По данным исследований 2025–2026 годов:

• около 30% утечек связаны с внутренними пользователями;
• до 75% внутренних инцидентов происходят по ошибке сотрудников; 
• отдельную категорию составляют украденные учетные записи, через которые действуют злоумышленники.

Проблема в том, что сотруднику или подрядчику не нужно взламывать систему — доступ у него уже есть.

Что обходится дороже бизнесу

Любой инцидент ИБ — это деньги. По данным IBM, средняя стоимость одной утечки данных составляет 4,4 млн долларов.

При краже учетных данных средний ущерб составляет 779 тыс. долларов. Потери от злонамеренного инсайдера оцениваются в 715 тыс. долларов, а от ошибки сотрудника — в 677 тыс. долларов.

На первый взгляд цифры ниже стоимости крупных внешних атак. Но внутренних инцидентов происходит значительно больше, поэтому общий ущерб постоянно растет.

Три сценария, которые встречаются чаще всего

1. Ошибка сотрудника. Файл отправлен не тому получателю, данные загружены в сторонний сервис, конфиденциальный документ оказался в открытом доступе. Большинство внутренних инцидентов происходит именно так.
2. Недовольный сотрудник. Перед увольнением сотрудник копирует клиентскую базу, коммерческие документы или внутренние наработки компании.
3. Украденный аккаунт. Злоумышленник получает доступ к учетной записи сотрудника и действует от его имени. Для системы безопасности такая активность выглядит легальной.

Почему инсайдер опаснее обычного хакера

Внешнему злоумышленнику сначала нужно попасть внутрь сети. Инсайдер уже находится внутри.

Он использует:

• легальную учетную запись;
• разрешенное устройство;
• корпоративные каналы связи;
• официально выданные права доступа. 

Из-за этого подозрительная активность часто остается незамеченной неделями. По данным Ponemon, среднее время обнаружения внутренних угроз составляет 67 дней.

Куда стоит направить бюджет ИБ

Сегодня компаниям важно смещать фокус с защиты периметра на контроль доступа и действий пользователей.

Приоритеты выглядят так:

1. Контроль доступа к данным.
2. Мониторинг действий сотрудников.
3. Анализ аномального поведения.
4. Обучение персонала.
5. Дополнительная защита периметра.

Такой подход соответствует принципу Zero Trust (нулевое доверие): доверять нельзя автоматически даже внутренним пользователям.

Три инструмента для снижения внутренних рисков

• DLP-системы. Контролируют передачу данных через почту, облачные сервисы, мессенджеры и внешние носители.
• UAM и UEBA. Помогают выявлять нетипичное поведение пользователей: массовое скачивание файлов, необычные входы в систему, работу с данными вне своей зоны ответственности.
• Аудит прав доступа. Регулярная проверка доступа позволяет убрать лишние права и снизить последствия компрометации учетной записи.

Вывод

Хакеры по-прежнему остаются серьезной угрозой, но бизнес все чаще теряет деньги из-за тех, кто уже имеет доступ к корпоративным системам.