80% ИТ-инцидентов — из-за человеческого фактора. Как снизить риски

Каждый год компании инвестируют в защиту: покупают антивирусы, настраивают сетевые экраны, обновляют инфраструктуру. Но при расследовании инцидентов выясняется, что основная причина сбоя — не вирус и не уязвимость, а обычная ошибка сотрудника. По оценкам российских ИБ-компаний и международной статистики, до 80% инцидентов возникают из-за человеческого фактора.

Это неприятная цифра, но она объяснима: технологии развиваются быстрее, чем навыки людей, которые с ними работают.

Почему человеческий фактор так распространен

В любой компании есть сотрудники, которые ежедневно взаимодействуют с ИТ-системами, но их основная задача — не безопасность. И именно в этом возникают риски.

Небрежность и спешка
Сотрудник открывает подозрительное письмо, кликает на ссылку, отправляет данные не тому получателю. Это происходит не из злого умысла, а из-за высокой нагрузки.

Слабые или повторяющиеся пароли
Даже при политике безопасности люди используют знакомые комбинации, потому что так проще запоминать.

Передача доступов коллегам
Обычная «помоги мне войти» превращается в нарушение разграничения прав.

Игнорирование обновлений
Софт устаревает, но сотрудник откладывает обновление «на потом», оставляя систему уязвимой.

Неправильная работа с корпоративными данными
Скачивание файлов на личный ноутбук, отправка договоров в мессенджеры — все это повышает риск утечки.

Чаще всего такие действия не выглядят опасными. Но именно из них начинается атака или сбой.

Опасность недооценки человеческого фактора

Ошибка человека может запустить цепную реакцию:

• заражение сети вредоносным ПО,
• утечка персональных данных,
• остановка бизнес-процессов,
• финансовые и репутационные потери,
• штрафы регуляторов.

И чем больше компания зависит от цифровых сервисов, тем серьезнее последствия.

Почему только технологий уже недостаточно

Защитные средства закрывают уязвимости в инфраструктуре, но не меняют поведение людей. Даже самый современный ИБ-продукт не предотвратит:

• ввод пароля на фишинговом сайте,
• загрузку зараженного файла,
• передачу доступа третьей стороне.

Поэтому человеческий фактор нельзя «починить» только технологиями — нужен комплексный подход.

Что компании делают, чтобы снизить риск

В 2025 году самые эффективные меры остаются предельно приземленными:

Регулярное обучение, а не разовый инструктаж
Короткие практические тренинги, симуляции фишинга, разбор живых кейсов. Люди лучше запоминают то, что применимо к их работе.

Четкие регламенты и понятные инструкции
Если сотрудник знает, как правильно хранить документы или сообщать о подозрительной активности, он действует увереннее.

Многофакторная аутентификация
Даже украденный пароль не откроет доступ.

Разграничение прав
Минимальные права снижают масштаб ошибки. Если у сотрудника нет доступа к критичным системам, он не сможет случайно их повредить.

Мониторинг и логирование
Система замечает подозрительные действия раньше, чем они превращаются в инцидент.

Культура безопасности
Когда в компании нормально задавать вопросы, уточнять и сообщать о подозрениях, риск снижается в разы.

Обучение не должно быть формальным

Многие организации проводят инструктаж «для галочки». Но эффективность появляется, когда обучение становится частью рабочего процесса: короткие рекомендации, напоминания, объяснение причин, а не просто запретов. Сотрудники должны понимать, зачем это нужно бизнесу и им лично.

Технологии тоже помогают

Современные ИТ-решения уменьшают шанс ошибки:

• автозаполнение и проверка данных,
• запрет на отправку конфиденциальных файлов наружу,
• предупреждения о подозрительных действиях,
• безопасные корпоративные мессенджеры,
• автоматические обновления.

Чем меньше ручной рутины — тем ниже вероятность человеческой ошибки.

Итог

Технологии можно усилить, но человеческий фактор останется — и это нормально. Важно не искать виноватых, а строить систему, где случайная ошибка не приводит к катастрофе.