Человеческий фактор в информационной безопасности

Современные угрозы информационной безопасности уже давно вышли за пределы технических уязвимостей. Даже самые совершенные системы защиты могут оказаться бессильными, если сотрудники компании допускают ошибки или сознательно нарушают правила. Человеческий фактор остаётся одной из ключевых причин инцидентов, и именно поэтому он заслуживает особого внимания при построении комплексной системы защиты информации.

Российские нормативные акты — такие как ФЗ-152 «О персональных данных», ФЗ-187 «О безопасности критической информационной инфраструктуры Российской Федерации», а также отраслевые стандарты вроде СТО БР ИББС-1.4-2018 для банковской сферы и ГОСТ Р 57580.1-2017 для финансовых организаций — прямо указывают на необходимость организационных мер защиты, где роль персонала стоит на первом месте.

Содержание:

Факторы, влияющие на информационную безопасность в компании
Социотехнические факторы
Заключение

Команда редакторов "Гладиаторы ИБ"

Дата публикации: 26.09.2025
Время прочтения 5 минут

Факторы, влияющие на информационную безопасность в компании

На состояние защищенности информационных ресурсов влияет целый комплекс факторов:

Технические — уровень внедренных систем защиты (межсетевые экраны, DLP, SIEM, антивирусные решения).
Организационные — регламенты, политики информационной безопасности, процедуры реагирования.
Правовые — выполнение требований федеральных законов, приказов ФСТЭК (№17 и №21) и нормативов Банка России (если они применимы).
Социотехнические — осведомленность сотрудников, уровень дисциплины, готовность противостоять социальным атакам.

Именно сочетание этих факторов определяет общий уровень безопасности. Однако опыт российских компаний показывает, что именно социотехнический фактор чаще всего становится слабым звеном.

Социотехнические факторы

1. Недостаточная осведомленность и образование сотрудников

Многие инциденты происходят из-за того, что работники:

не знают требований законодательства (например, ФЗ-152 «О персональных данных», ФЗ-187 «О безопасности КИИ») - даже не сами законы, а “смысл” этих требований;
не понимают внутренних политик информационной безопасности;
не умеют различать легитимные и мошеннические коммуникации.

Пример: сотрудник может случайно загрузить служебные документы в личный облачный сервис, нарушив требования приказа ФСТЭК №21, что приведет к утечке данных.

Решение: проведение регулярных тренингов по ИБ с использованием отечественных платформ обучения (Kaspersky ASAP, Phishman, StopFish и др.).

2. Уязвимость перед социальными атаками (социальная инженерия)

Социальная инженерия остается главным инструментом злоумышленников:

Фишинг — поддельные письма от имени банков или коллег.
Вишинг — звонки от «службы безопасности» с просьбой назвать пароль или код.
Смишинг — рассылка SMS с вредоносными ссылками.

Даже сотрудники технических подразделений попадаются на подобные атаки.

Пример: в 2021 году несколько российских компаний из сферы КИИ сообщали о фишинговых рассылках с вредоносными вложениями, замаскированными под «документы ФСТЭК». Инциденты могут быть выявлены средствами отечественных средств защиты (такими как UserGate, Positive Technologies, Гарда, iDeco, Код Безопасности).

3. Ошибки и халатность персонала

Даже непреднамеренные действия сотрудников могут привести к серьезным последствиям:

использование простых или повторяющихся паролей;
хранение логинов/паролей на стикерах или в блокнотах;
отправка конфиденциальных документов через личные мессенджеры;
подключение личных устройств к корпоративной сети без согласования.

Пример: в 2022 году в одной из крупных телеком-компаний утечка произошла из-за того, что менеджер загрузил базу данных клиентов в личный мессенджер.

Решение: внедрение средств контроля передачи данных (DLP-решения StaffCop, SearchInform, Киберпротего) и регламентов, соответствующих приказам ФСТЭК №17 и №21.

4. Злоумышленные действия инсайдеров

Инсайдеры — это сотрудники, имеющие доступ к информации и намеренно использующие его в ущерб организации. Мотивами могут быть финансовая выгода, месть или давление извне.

Риски инсайдеров:

хищение клиентских баз;
продажа коммерческих тайн конкурентам;
саботаж (удаление или подмена данных).

Пример: по данным Банка России, в 2020–2022 годах до 30% утечек в финансовом секторе происходили по вине сотрудников.

Решение:

ограничение прав доступа (принцип «минимально необходимого доступа»);
внедрение SIEM-систем (MaxPatrol SIEM, КUMА, ruSIEM и др.);
применение технических решений в целях исполнения стандартов Банка России (СТО БР БФБО-1.5-2023) для контроля финансовых транзакций.

5. Психологические и поведенческие аспекты

Даже информированные сотрудники могут допускать ошибки из-за:

усталости и стресса — снижение внимательности повышает риск ошибок;
избыточной самоуверенности — уверенность, что «меня не обманут»;
снижения бдительности при рутинных операциях.

Решение: внедрение программ корпоративной культуры ИБ, стимулирующих ответственное отношение сотрудников к информации. Например, российские компании все чаще используют игровые методики («gamification») для обучения, что соответствует рекомендациям Методических материалов ФСТЭК РФ. Это уже внедряется во все популярные платформы обучения повышению осведомленности (security awareness - ASAP, StopFish, Start AWR…)

Заключение

Человеческий фактор — это ключевой элемент информационной безопасности. Без вовлеченности сотрудников, без их знаний и дисциплины невозможно обеспечить защиту даже с самыми современными средствами ИБ.

ООО «Гладиаторы ИБ» предлагает комплексные решения по повышению культуры информационной безопасности в организациях: от разработки регламентов до проведения специализированных обучающих программ с учетом требований российского законодательства и отраслевых стандартов.

Защитите ваш бизнес сегодня — свяжитесь с «Гладиаторами ИБ» и узнайте, как минимизировать риски, связанные с человеческим фактором.