«СёрчИнформ» девятый год подряд проводит исследование уровня информационной безопасности в российских компаниях. Мы опросили 1150 руководителей и специалистов ИБ-подразделений из коммерческого и государственного секторов. Выяснили, как меняется ситуация с утечками в РФ, кто становится нарушителем, сколько компании тратят на защиту и какие инструменты выбирают.

Вот 10 ключевых фактов, которые охарактеризовали утечки в 2025 году:

1. Утечек по вине сотрудников стало на треть меньше 

С 2023 по 2025 год доля инцидентов, связанных с действиями персонала, снизилась с 66% до 46%. Это значимый сдвиг: компании усилили защиту, а ужесточение требований регуляторов и новые меры ответственности за утечки заставили бизнес серьезнее относиться к внутренней безопасности.

Но проблема не исчезла – просто сместился фокус.

2. Каждая вторая утечка – это персональные данные

51% компаний сталкивались с попытками слива ПДн. По сравнению с 2024 годом количество таких инцидентов выросло на 15%. Организации собирают все больше данных о клиентах и сотрудниках, а значит, риски растут пропорционально.

На втором месте – утечки внутренних регламентов, планов и служебной переписки (51%). Замыкает тройку информация о сделках (25%).

3. Сотрудники чаще ошибаются, чем вредят умышленно

66% инцидентов происходят из-за ошибок и незнания базовых правил кибергигиены. Человек может отправить документ не тому адресату, выложить в общий доступ файл с ПДн или перейти по фишинговой ссылке. Это не злой умысел, а невнимательность или недостаток компетенций.

Вывод: давить на сотрудников бесполезно, их нужно обучать и страховать от ошибок.

4. Линейные сотрудники – главная группа риска

В 70% случаев виновниками утечек становятся рядовые работники. На них приходится основной массив инцидентов. Линейные руководители нарушают в 33% случаев, руководители направлений – в 22%. Чем выше уровень доступа, тем реже сотрудники попадают в сводки ИБ-инцидентов, но цена одной утечки от топ-менеджера может быть кратно выше.

Интересно, что 12% компаний сталкивались с нарушениями со стороны контрагентов – внешний периметр тоже требует внимания.

5. Увольняют только за серьезные нарушения, до суда доходит редко

Большинство работодателей (61%) ограничиваются выговором или замечанием при ИБ-инцидентах. Увольняют нарушителей в 41% случаев. До суда доходит лишь 9% инцидентов. Еще 14% компаний вообще никак не наказывают виновных.

Это говорит о том, что бизнес часто выбирает прагматичный подход: потерять сотрудника дороже, чем провести с ним беседу.

6. Социальная инженерия остается стабильным каналом проникновения

17% компаний фиксировали внешние атаки, где входным билетом становился сотрудник. Фишинг, подбор учетных данных, звонки «из службы безопасности» – старые схемы продолжают работать, потому что человеческий фактор неустраним.

Атака через сотрудника обходится дорого: злоумышленник получает легитимный доступ в периметр и может оставаться незамеченным месяцами. Для ИБ-отдела это сценарий, в котором ставка делается не на блокировку каналов связи, а на бдительность персонала и многофакторную аутентификацию.

7. Корпоративная безопасность выходит за рамки ИТ

Кажется, что расследование – задача службы безопасности, а не ИБ. Но данные показывают обратное: 10% компаний сталкивались с коррупционными схемами, и в каждом таком случае фигурировали документы, переписка или финансовые операции, которые проходят через информационные системы.

Еще 10% опрошенных фиксировали дискредитацию компании в соцсетях. Это может быть как сознательный слив информации, так и неудачный пост уволенного сотрудника. 8% инцидентов приходится на создание фирм-«боковиков» и параллельную занятость, и столько же – на промышленный шпионаж и работу на конкурентов.

Проценты невысокие, но каждый такой инцидент означает прямые убытки, репутационные потери и уголовные риски. Важно, что все эти нарушения оставляют цифровые следы – в почте, файловых хранилищах, мессенджерах. И вопрос не только в том, чтобы поймать за руку, но и в том, чтобы сама возможность реализации таких схем была минимизирована на уровне политик доступа и контроля информации.

8. Бюджеты на ИБ растут, но распределены неравномерно

20% компаний тратят на защиту от 1 до 5 миллионов рублей в год. 13% – более 10 миллионов. Но если смотреть на размер компаний, картина разная:

  • Малый бизнес (52%) укладывается в 500 тысяч рублей в год.

  • Средний бизнес (73%) тратит от 500 тысяч до 5 миллионов.

  • Крупные компании (47%) – тоже в диапазоне 500 тысяч – 5 миллионов, но 27% представителей крупного бизнеса выделяют на ИБ более 10 миллионов рублей.

Рост бюджетов связан не только с инфляцией, но и с переходом на отечественное ПО и требованиями регуляторов.

9. Антивирусы есть у всех, DLP – у каждого третьего

В рамках исследования эксперты «СёрчИнформ» выяснили, какие отечественные средства защиты информации уже используют в российских организациях. Самый популярный класс защиты – антивирусы, их используют 90% компаний. Криптографию – 59%, встроенные средства ОС – 54%. Российские DLP-системы внедрены в 36% организаций.

Лидеры по внедрению отечественных DLP – кредитно-финансовый сектор (62%), промышленность (51%) и энергетика (37%). Там, где высока цена утечки, защиту ставят в приоритет.

10. DCAP есть у единиц, потребность – у большинства

DCAP-системы пока редкость: их используют только 4% компаний. Хотя именно они помогают понять, где хранятся критичные данные, и кто имеет к ним доступ. А это основа для выстраивания четких политик безопасности для сотрудников.

Потребность в них очевидна: две трети утечек происходят из-за элементарных ошибок, а не злого умысла. Штрафовать за невнимательность бессмысленно – эффективнее предупреждать в моменте.

Поэтому все больше компаний переходят от пассивного мониторинга к открытому контролю, в том числе с помощью DCAP: когда сотрудники видят уровень конфиденциальности документов, получают предупреждения, какие действия опасны. А ИБ-специалисты получает обратную связь и видит, насколько политики адекватны реальным бизнес-процессам.

Итог

Исследование показывает: российский бизнес стал более зрелым в вопросах информационной безопасности. Компании больше внимания уделяют защите данных, активнее внедряют профильные инструменты и учатся работать с человеческим фактором. Но главная болевая точка сохраняется – персональные данные остаются самой уязвимой категорией, и с ростом их количества в компаниях риски только увеличиваются.

Природа утечек тоже подсказывает, куда двигаться дальше. Большинство инцидентов происходит не из-за злого умысла, а из-за ошибок и невнимательности. Штрафовать за это бессмысленно – компании переходят к открытому контролю, который предупреждает сотрудника в момент нарушения и дает возможность запросить доступ. Так

Полную версию исследования можно скачать на сайте «СёрчИнформ».