Одной DLP сыт не будешь. Как российский бизнес учится ловить внутренних нарушителей по всем фронтам

Защита от внутренних угроз в российских компаниях перестает сводиться к одной DLP-системе или отдельному контролю доступа. Бизнес чаще собирает несколько инструментов сразу: следит за действиями сотрудников, анализирует поведение пользователей, проверяет логи и дорабатывает собственные средства безопасности.

К такому выводу пришли аналитики Контур.Эгиды по итогам исследования среди 1200 ИТ- и ИБ-специалистов из российских компаний в 12 отраслях экономики. Под внутренними угрозами авторы понимают не только злонамеренные действия сотрудников, но и ошибки, злоупотребление доступом, обход корпоративных ограничений и работу через неподконтрольные сервисы.

Самыми распространенными инструментами стали EDR-системы для защиты рабочих устройств и собственные разработки компаний. Каждый вариант используют 35% респондентов. CASB-решения для контроля облачных сервисов применяют 32% участников исследования, IAM-системы для управления доступом - 30%, SIEM-платформы для анализа событий безопасности - 29%, UEBA-инструменты для выявления необычного поведения пользователей - 27%.

DLP-системы, которые традиционно связывают с защитой от утечек данных, используют 23% опрошенных. Разрыв показывает, что компании перестраивают подход: контроль файлов и каналов передачи информации остается важным, но бизнесу уже недостаточно смотреть только на документы, почту и мессенджеры.

На практике организации чаще всего анализируют сетевой трафик и обучают сотрудников правилам безопасной работы. Оба подхода применяют по 46% респондентов. Мониторинг активности персонала используют 45% компаний, проверку при найме - 42%, анализ логов - 41%.

Исследование также показало слабые места в действующих процессах. О нехватке данных и логов для расследования внутренних инцидентов сообщили 23% участников. Еще 22% респондентов указали на отсутствие автоматического выявления аномалий, 21% - на несколько несвязанных между собой систем безопасности, 20% - на большое число ложных срабатываний при мониторинге событий и действий пользователей.

Эксперт Контур.Эгиды и Staffcop связывает разнообразие подходов с пересечением функций у разных классов решений. Часть компаний собирает защиту из нескольких специализированных продуктов, часть выбирает единую экосистему или комбинированную платформу. В среднем респонденты используют сразу два-три метода выявления внутренних угроз, что указывает на отсутствие универсального инструмента для всех инфраструктур и процессов.

Работа с внутренними рисками постепенно выходит за пределы ИБ-отдела. Компании подключают обучение персонала, проверку кандидатов при найме и контроль подрядчиков, потому что утечки и нарушения чаще возникают не только из-за технических пробелов, но и из-за поведения людей внутри корпоративной среды.