Обеспечение экономической безопасности предприятия при утечке информации

Введение

В современном мире технологии развеиваются очень быстро, объем информации, с которым работают растет, среди этой информации много конфиденциальной, составляющих коммерческую тайну или просто информацию, которую не обозначили как конфиденциальную, но ограничивают ее распространенность в силу тех или иных обстоятельств. Механизмы защиты информации постоянно совершенствуются, разрабатываются все новые способы и методы информационной безопасности, но несмотря на это постоянно всплывают инциденты, связанные с утечкой информации. Если раньше хищения осуществлялись в виде нападения на банки, предприятия с целью ограбления, то сейчас это редкость. Главным ресурсом, который является все более интересным для мошенников становится информация, которая порой стоит очень больших денег и способна нанести урон, выражаемый не только в денежном выражении, но и в угрозе национальной безопасности страны. Это вполне обосновано современными реалиями, где человек соприкасается с информационными системами повсеместно: взаимодействие с государственными сервисами, работа с информацией на предприятии и т.д. Но несмотря на развитие средств защиты в современном бизнесе информации число утечек конфиденциальных данных растет [1]. В условиях геополитических кризисов растет необходимость противодействия угрозам международной информационной безопасности, что обусловлено вовлечением в глобальное информационное пространство структур, отвечающих за решение социально-экономических задач российской экономики и общества в целом. Интернет как составляющая глобального пространства дает множество возможностей для обеспечения доступа человека к ресурсам различных инфраструктур, но одновременно используется враждебными элементами с целью нарушения работоспособности этих структур и создания социальной напряженности. Эти тенденции и угрозы формируют базу для определения системы и облика современной информационной безопасности как составляющей части экономической и национальной безопасности России. Для правильного функционирования систем информационной и экономической безопасности необходим развернутый анализ текущей ситуации, уточнение угроз и изучения новых способов деструктивных действий, формирования форматов противодействия таким угрозам на будущее.

Важно отметить, что цифровые процессы в экономике отмечены как необходимые для развития в национальной программе, которая ранее называлась «Цифровая экономика Российской Федерации» и является приемником для проекта «Экономика данных и цифровая трансформация государства», который реализуется с 2025 года. Поэтому интеграция в цифровое пространство необходима и является неотъемлемой частью формирования технологического суверенитета, однако, нуждается в постоянной защите данных с целью разработки адекватных мер противодействия потенциальным угрозам и препятствования вмешательства во внутренние дела России [2].

Если отойти от государственного масштаба и углубится на уровень предприятия, то выясняется, что чаще всего причиной утечек данных становится наличие внутреннего нарушителя в организации. Такой человек, как правило, имеет доступ к конфиденциальной информации, работает с ней и обеспечивает ее передачу за пределы организации. И хотя предприятия всегда осуществляют ряд организационных мер в виде отбора кандидатов на должность с доступом к коммерческой тайне, просмотр биографии, психологическое тестирование это не всегда решает проблему утечки данных, которая на сегодняшний день является серьезной угрозой для национальной и экономической безопасности страны [3].

Изученность проблемы. Вопросы охраны персональных данных становятся основным предметом интереса злоумышленников, ведь зачастую интерес представляют отдельные детали сделок, стоимость контрактов, производственный ассортимент продукции, технология производства, персональная информация об отдельных сотрудниках, иногда эта информация и вовсе не нуждается в скачивании на информационные носители, достаточно запомнить/записать и передать данные. Вопросы защиты информации были актуальными всегда в бизнесе и в масштабах государства, именно поэтому эта информация изучалась разными учеными. Проблемы утечки информации в экономическом контексте отражены в работах таких ученых как: Гылыджов Б., Менлиева А., Дерьяева Г., Йегряева Г. [4], Кондрашова Н.Г. [5], Магамадова А.М. [6], Матвеев В.В., Зайцев А.К., Гайсина А.Р. [7], Минаков А.В., Эриашвили Н.Д. [8], Солдатова С.С. [9], Ткачева М.В., Береснев Н.Р. [10], Грачева Н.А., Полищук О.А., Булгакова А.А. [11], Шаймиева Э.Ш., Гумерова Г.И., Плешанов И.С., Гараева Р.Р. [12], Калимуллина Э.Р., Аликаева К.С. [13], Сахбиева А.И., Калякина И.М., Косников С.Н., Латушкина Т.С., Майорова И.А. [14], Гринев Н.Н., Шушунова Т.Н., Николаева Н.Ю., Шпилькина Т.А. [15] и многие другие.

Важно отметить, что в российской экономике изучение вопроса воспрепятствования утечки данных не ограничивается только авторскими наработками, значимость данной проблемы раскрывается в нормативных документах, таких как Доктрина информационной безопасности Российской Федерации (Указ Президента РФ от 05.12.2016 № 646) [16], Стратегия национальной безопасности Российской Федерации (Указ Президента РФ от 02.07.2021 № 400) [17], защита персональной информации регламентируется Федеральным законом «О персональных данных» [18].

В условиях геополитической нестабильности и напряженности в области информационной безопасности особую актуальность приобретает вопрос равновесия между инновационным развитием и защитой информации/прав человека в целях национальной безопасности страны и экономической безопасности отельных предприятий.

Целесообразность исследования. Утечка информации способна нанести непоправимый вред бизнесу, национальной безопасности страны, что может вести не только к финансовым потерям, но и репутационным убыткам, изменению курса акций, угрозе сбоя в работе предприятия. Актуальность данного вопроса подтверждается результатами аналитических исследований, так, по данным Companies.RBC.ru утечка персональных данных с 2023 года (63,1%) увеличилась и в 2024 году составила 78,9%. Если же оценивать ущерб в отраслевом масштабе, то по количеству утечек лидируют предприятия торговли (15,9%), за ними на втором месте следуют предприятия промышленности (11,6 %), треть место принадлежит сфере IT (9,3%), четвёртое место сфера госсектора (8,5%) и пятое место занимают банки и финансовые компании (7,8%) [19]. Эти цифры подчеркивают проблему, в настоящее время информация становится самым ценным активом, который нуждается в защите и активном совершенствовании инструментов профилактики.

Цель исследования состоит в разработке теоретических аспектов и предложении рекомендаций по совершенствованию механизма обеспечения экономической безопасности через профилактику информационных потерь в отношении утечки информации в системе национальной безопасности в условиях цифровизации.

Научная новизна исследования заключается в предложении уточнения понятия утечка информации и ее разновидностей, а также определены направления внесения поправок в систему нормативно-правового регулирования с целью оценки экономического ущерба от утечки информации, предложена модель информационного контроля за утечкой данных и ее интеграция в цифровое пространство посредством внедрения в ее архитектору цифровой платформы по отслеживанию информационных потерь.

Рабочая гипотеза данного исследования заключается в том, что углубление и совершенствование теоретических аспектов информационной безопасности в разрезе утечки данных в системе национальной безопасности на современном этапе экономических взаимоотношений являться необходимым условием обеспечения экономической и национальной безопасности.

Объектом исследования являются случаи утечки экономической информации с предприятий, а также ее влияния на некоторые аспекты экономической деятельности предприятия в условиях цифровой экономики и геополитической неустойчивости.

Методологическая основа исследования.

Информационную базу исследования составили законодательные документы РФ, Стратегия национальной безопасности РФ, а также данные Федеральной службы государственной статистики, аналитические обзоры информационных агентств по изучаемой проблематике, средства массовой информации, научные труды ведущих ученых, материалы конференций различного уровня, монографическая литература, информационные ресурсы и базы, размещенные в сети Интернет.

В процессе написания статьи использовались системный подход, выявление причинно-следственных связей, а также традиционные методы научного познания: анализ, синтез, индукция, дедукция, сравнение, группировка и обобщение статистической информации.

Результаты и обсуждение. Для обоснования проблематики проведём анализ утечки информации, которая достаточно развёрнуто представлена в аналитическом обзоре InfoWatch за 2023-2024 года. Как следует из отчета более 70% утечек информации в мире пришлись на средний и малый бизнес, при этом Россия заняла второе место по утечке информации, что подчёркивает значимость и актуальность данного вопроса для российского бизнеса [20]. Если же отходить от мировых тенденций и изучать российские случаи утечки данных, то по данным экспертно-аналитического центра InfoWatch за первые полгода в нашей стране похищено порядка трех миллионов профильных записей с персональными данными, при этом каждый пятый случай (21,4%) сопряжен с наличием внутреннего нарушителя, который похищает данные точечно и под заказ [21]. По данным агентства InfoWatch в России в 2024 году зафиксировано 778 случаев утечки информации из российских организаций (рис.1). Отдельно необходимо отметить, что в данной статистики учитывается количество записей в виде персональных данных и платежной информации, другие сведения не учитываются из-за отсутствия данных по ним.

Рисунок 1 – Динамика утечки информации и записей персональных данных в РФ за 2019 – 2024 гг. (составлено автором по [20])

Ситуация с 2023 года не изменилась, в 2023 году случаев утечки данных зафиксировано 786, а в 2024 году – 778 единиц, что меньше на восемь инцидентов. Если сравнивать российские цифры по утечки информации с мировыми, то тут тоже можно отметить незначительные изменения, так, в 2024 году таких случаев было 8,5 %, а в 2023 году 6,45 %, но говорить о росте преждевременно, поскольку общая доля случаев в мировом масштабе сократилась (рис.2).

Рисунок 2 – Доля утечек информации в России от общего количества в мире за 2023-2024 гг. (составлено автором по [20])

Если анализировать утечку данных по типам, то можно отметить незначительное снижение хищений персональных данных на 2 %, коммерческой тайны на 1,7%, в тоже время выросло число зарегистрированных случаев утечки государственной тайны на 2,9 % (рис.3).

Рисунок 3 – Распределение утечек информации по типам скомпрометированных данных в РФ за 2023 – 2024 гг. (составлено автором по [20])

Бизнес тоже не стоит и не наблюдает как происходит утечка конфиденциальных данных и предпринимает все меры для препятствования действиям злоумышленников. По данным отчета АльфаБанка по информационной безопасности бизнес-структуры тратят большие деньги, чтобы защитить себя от похищения информации, в 2024 году по сравнению с 2021 годом выросли на 172,3% (рис.4).

Рисунок 4 – Динамика объема российского рынка ИБ в тратах клиентов, млрд руб. в РФ за 2021 – 2024 гг. (составлено автором по [22])

Изучая понятийный аппарат важно отметить, что в настоящее время нет нормативных документов, которые бы регламентировали дефиницию утечка информации. Существует множество авторских трактовок, единственная попытка определиться с терминологией отмечена в Банком России в Рекомендациях в сфере стандартизации Банка РФ «Обеспечение информационной безопасности организаций банковской системы РФ» в части утечки информации, где в пункте 3.2. утечка информации рассматривается как несанкционированное предоставление или распространение информации конфиденциального характера, не контролируемое организацией банковской сферы РФ [23]. Также в рекомендациях отмечено, что распространение информации предполагает ее передачу неизвестным лицам (неопределённым), а в случае с предоставлением это уже происходит в адрес определённого круга лиц. По мнению автора и в том, и в другом случае присутствует умысел, но меняется лишь круг лиц и понимание кому она уйдет, но не отражен факт нанесения ущерба. Также в рекомендациях определены понятия доступа информации, защита от утечки, дано понятие информации конфиденциального характера, также определён термин возможный внутренний нарушитель и владелец информационного актива. Стоит отметить, что все определения даны с учетом особенностей банковской сферы и это отражено в каждом определении, что вполне закономерно, ведь ЦБ РФ регулирует работу банковского сектора нашей экономики.

Федеральный закон № 149-ФЗ «Об информации, информационных технологиях и о защите информации» в ст.2 определяет терминологию, но понятие утечки информации закон не вводит, однако, регламентирует понятие таких терминов как информация, конфиденциальность информации, обладатель информации, представление, распространение информации, документированная информация и т.д. [24].

В документе ФСТЭК «Методический документ методика оценки угроз безопасности информации» описаны угрозы безопасности информации, негативные последствия, но не дается определение утечки информации [25].

В Национальный стандарт РФ ГОСТ Р 50922-2006 «Защита информации. Основные термины и определения», детально расписано понимание защиты информации от различных незаконных действий, например, есть определение защита информации от утечки, защита информации от непреднамеренного/преднамеренного воздействия и т.д. [26].

Со стороны других авторов также предпринята попытка определить понятие утечка информации (рис.4). Кто-то из авторов (Марков А.) делает разграничения утечки информации с ее разглашением и несанкционированным доступом, в основе которых лежит мотивация и способ передачи информации, но опять же не оценены экономические последствия таких действий, что очень важно для любого предприятия, да и страны в целом [27].

В рамках исследованных авторских определений сделан вывод о том, что утечка информации и утечка данных часто используют как синонимы, в то время как автор согласен с мнением специалистов Sky.pro, которые подчёркивают разницу между этими понятиями.

Рисунок 5 – Авторские трактовки понятия утечки информации (данных) (составлено автором по [28-33])

В частности, данными называют необработанные цифры, факты, сигналы или символы, которые сами по себе не обладают смыслом, а вот информация представляет собой уже обработанные данные, помещенные в какие-то формы документов, и уже является продуктом анализа, обработки этих данных, сформированная в каком-то документе [34].

В контексте изученных мнений не отражено понимание убытков и влияния на деятельность предприятия, что по мнению автора является важным моментом. Также важно понимать, что утечка информации может быть умышленной и неумышленной, такую классификацию водят аналитики ГК «Солар» [35], которые определяют умышленную утечку информации и в качестве примера передаваемой информации приводит клиентскую базу или вывод средств компании через подставные счета, что является незаконным, но оговорок о том, что это несет ущерба организации нет. Непреднамеренную утечку уже аналитики ГК «Солар» определяют как случайное представление конфиденциальных данных, однако, нанесение ущерба и выгоды не отражено. В этой связи автор считает важным разделить понятие утечки информации на два вида, в основе которых лежит понятие выгоды для нарушителя, мотивы и понимание ущерба.

Определение утечки информации и ее разновидностей должно базироваться, по мнению автора, на соотнесении понятия законности, наличия выгоды, нанесения ущерба, понимания ценности информации для предприятия (ее конфиденциальности).

Исходя из вышеизложенного представляется обоснованным сформулировать определение утечки информации и ее разновидностей (рис.6). Авторская трактовка может корректироваться другими авторами и уточняться, но вместе с тем предложенное определение учитывает экономические последствия для предприятия и позволяет перейти к проблеме оценки последствий утечки информации в бухгалтерском учете в условиях цифровизации и глобализации.

Рисунок 6 – Уточнение понятия утечки информации и ее разновидностей (составлено автором)

Вместе с формированием определения утечки информации возникает необходимость отражения данного понятия на всех уровнях нормативного регулирования, что даст возможность оценивать экономический ущерб от такого действия (рис.7). На данный момент данное понятие является скорее разговорным, несмотря на повсеместную цифровизацию и распространённость в экономической среде в том или ном виде, масштабе. Внесение уточнений в нормативные документы необходимо вносить начиная с первого уровня, так, в можно его внести в Закон №149- ФЗ, а также в НК РФ расширить перечень расходов в целях налогообложения налога на прибыль. Это позволит адаптировать содержание нормативных документов к условиям цифровизации, которые предполагают не только траты денежных средств на информационные услуги по обеспечению безопасности информационных ресурсов, но и компенсацию потерь от утечки информации. Это явление стало повсеместным, как неотъемлемое условие цифровизации, сколько бы не существовало способов защиты информации, всегда со стороны мошенников будут изобретены методы обхода средств безопасности.

*формат документа, предложенный автором

Рисунок 7 – Внесение поправок в уровни нормативного регулирования РФ в отношении утечки информации (составлено автором)

В этих условиях было бы правомерным дать возможность предприятиям компенсировать свои потери при условии наличия доказательств ущерба, нанесённого от утечки информации. На втором уровне нормативного регулирования внесение поправок можно было отразить, по мнению автора, в ФСБУ 10/2025 «Расходы», которое пока существует в виде проекта и станет обязательным только с 2027 года, а пока действует прежнее ПБУ 10/99 «Расходы организации». Хотя, по желанию, организация она имеет право досрочно применять стандарт ФСБУ 10/2025, это надо отразить в учётной политике предприятия. В стандарт можно было бы внести аналогичные поправки, как и в НК РФ, но в случае с ФСБУ 10/2025 они бы определяли правила бухгалтерского учета расходов на компенсацию потерь от осуществления цифровой деятельности. Третий уровень вообще не содержит аналогов по отражению потерь от осуществления цифровой деятельности, на рисунке 7 представлен возможный формат нормативного документа. Автор считает, что в условиях глобализации и цифровизации бизнес нуждается в формировании нормативного пласта, который бы разъяснял как отражать в учете потери от, например, утечки информации. На сегодняшний день ФСБУ 14/2022 «Нематериальные активы» содержит понятие деловой репутации, которая теперь в ФСБУ 14 носит название гудвилл. Специалисты Совкомбанка приводят различные способы оценки гудвилла, что может быть спроецировано на оценку потерь и применимо к ним. К этим способом относится: балансовый метод, сравнительный, затратный, индикаторный. В бухгалтерии чаще применяют балансовый метод, когда из покупной стоимости вычитают ее чистую стоимость (имущество за минусом долгов), то, что останется принято считать гудвиллом [36]. В отношении отмены сделки компания в результате утечки информации может подать иск в суд на компенсацию ущерба, если суд будет выигран эта сумма составит компенсацию, которую уже не надо будет признавать в учете как потери, ведь они восполнены в виде выплат, которые присудил суд. Если же выплаты не могут быть произведены потери можно будет признать как уменьшение величины расходов. В целях профилактики злоупотреблений вопросами мошеннических действий в части утечки информации признаваться таковыми могут только те суммы, которые имеют доказательства. Это, безусловно, добавит работы налоговым органам, но и защитит бизнес от потерь. В этой связи можно сформировать модель контроля информационных потерь, в частности, от утечки информации (рис.8).

Рисунок 8 – Модель информационного контроля (составлено автором)

Одной из проблем при утечке информации является ее латентность, это позволяет мошенникам и нарушителям оставаться в тени даже после обнаружения, немногие предприятия делают такие случаи публичными. Решением такой проблемы могла бы стать информационная платформа о случаях утечки информации, ее распространения, разглашения умышленное или же осознанно. Если даже дело не дошло до суда, но предприятие может и хочет сообщить эту информацию о сотруднике, который украл базу данных или совершил иное противоправное действие, но предприятие не стало подавать в суд по тем или иным причинам это можно было бы фиксировать на информационной платформе.

Опыт отражения такой информации в Росси есть, такой ресурс может быть закрытым, какая-то часть может быть открытой. Так, у налоговой инспекции существует федеральный реестр предполагаемых выгодоприобретателей (далее – ФРПВ), который формирует ФНС России, он имеет доступ только «для служебного пользования» и показывает регионам только их подконтрольную территорию. Ресурс недоступен для налогоплательщиков [37]. А Федеральная служба судебных приставов (ФССП) запустила общедоступный реестр с информацией о злостных неплательщиках алиментов, где бесплатно можно отследить по фамилии, имени, отчеству тех, кого привлекли к административной или уголовной ответственности за неуплату алиментов, а также должники, которые находятся в розыске [38].

Аналогичным сервисом может стать цифровая платформа, целью которой станет публикация предприятий данных о незаконном распространении данных о ней, где будут фиксироваться информационные потери предприятий всех форм собственности. Данные о каких-то данных можно сделать закрытыми, скажем вряд ли можно сделать общедоступной информацию о краже данных на оборонном предприятии. Уровень секретности и доступа по вполне понятным причинам должны определять органы государственного контроля и надзора за такой информацией (Прокуратура РФ, Роскомнадзор, ФСБ РФ, ФСТЭК, МВД РФ).

Рисунок 9 – Архитектура цифровой платформы контроля информационных потерь «InfoOko» (составлено автором)

Безусловно существует риск того, что не все предприятия захотят предоставлять информацию по разным причинам, но стимулом может стать обязательная публикация в случае судебного решения в пользу предприятия (рис. 9). Предприятия смогут отслеживать благодаря формируемым мониторингам какие средства защиты информации наиболее эффективны, а государство в лице контролирующих органов получат информацию об информационных потерях предприятий, что может быть использовано для раскрытия других фактов правонарушений, которые могут оказаться связаны между собой. Чтобы представление таких данных не вызывало отторжение со стороны предприятий какие-то данные можно не указывать, например, виновное лицо, если это было сделано по неосторожности или из-за того, что средства защиты предприятия не смогли отразить атаку, в результате чего информация была похищена. В таком случае предприятие самостоятельно сделает вывод об эффективности сотрудника или методов защиты, не афишируя фамилии работников. Безусловно внедрение такого контроля потребует затрат на оплату труда сотрудников, покупку программного обеспечения, средств защиты информации, но предоставит возможность получать актуальную информацию, делать выводы и принимать решения [39].

Заключение. В условиях повсеместной цифровизации создается множество положительных аспектов в работе не только предприятий, но и для страны в целом: повышается конкурентоспособность предприятий посредством автоматизации процессов, появляется возможность обработки больших данных, расширяются рынки, улучшается качество доступа к финансовым и государственным услугам, прозрачность государственного управления повышается, а уровень коррупции снижается. Однако несмотря на множество плюсов имеют место и риски, с которыми сталкивается предприятие в условиях цифровой трансформации, где основной валютой становится информация. Это вносит коррективы в социально-экономическую ситуацию для предприятий, что предопределяет необходимость совершенствования существующего инструментария обеспечения экономической и информационной безопасности. Проведенное исследование позволяет утверждать, что острые вопросы, которые стоят перед бизнес-сообществом в период информационных угроз заключаются в объединении усилий государства и экономических субъектов. Экономическая безопасность в условиях цифровизации не может и не должна ограничиваться рамками отдельного предприятия, угрозы утечки информации создают факторы риска не только для предприятий, но и для страны в целом. Предложенные в статье рекомендации позволят перевести принятие управленских решений на новый уровень взаимодействия бизнес-сообщества и государства за счет совершенствования нормативно-правовой базы, уточнения ключевых понятий в цифровой среде и формирование архитектуры контроля информационных потерь в целях укрепления экономической безопасности всех субъектов рынка.