Цена уязвимости
Сколько теряет бизнес из-за слабых мест в охране. Мы свели открытую статистику МВД, МЧС, InfoWatch и СёрчИнформ с новыми штрафами за утечки персональных данных, чтобы показать, откуда уходят деньги. Модельные расчёты и сценарии на странице помечены.
записей персональных данных утекло бы из российских организаций при среднем темпе 2025 года.
01Карта угроз
Где бизнес теряет деньги
Ориентировочный ущерб от одного инцидента по семи типовым угрозам — модель для сравнения порядков величин. Выберите угрозу, чтобы увидеть подтверждённые факты и то, что проверяет аудит.
Модельная оценка ущерба за инцидент, млн ₽. Это допущения для сравнения угроз, а не статистика. Исключение — «Утечки данных»: средний ущерб по опросу компаний InfoWatch и ЦИРКОН (январь 2025).
Реестр ключевых угроз
10 угроз в реестре
| № | Угроза | Кого касается | Ущерб или санкция | Основание |
|---|---|---|---|---|
| 01 | Кражи персоналом Операционные | Ритейл, склады | по инвентаризации | Сценарий |
| 02 | Утечка персональных данных Данные | 48% компаний РФ в 2024 г. | в среднем 11,5 млн ₽ | СёрчИнформ, 2025; InfoWatch, 2025 |
| 03 | Пожар и простой объекта Инфраструктура | ТЦ и склады | 426 пожаров в ТЦ | МЧС России, 2025 год |
| 04 | Нарушение требований РКН Штрафы | Все операторы ПДн | до 500 млн ₽ | КоАП ст. 13.11 ч. 15, 18 (повторная) |
| 05 | Мошенничество кассиров Персонал | Ритейл | по сверке касс | Сценарий |
| 06 | Утечка клиентской базы Продажи | Ритейл, офисы | 3–15 млн ₽ штрафа | КоАП ст. 13.11 ч. 12–14 |
| 07 | Недостача и порча ТМЦ Операционные | Склады, производство | по инвентаризации | Сценарий |
| 08 | Диверсия и вандализм Инфраструктура | Все секторы | ремонт и простой | Сценарий |
| 09 | Некомпетентная реакция охраны Персонал | Объекты с охраной | зависит от инцидента | Сценарий |
| 10 | Неуведомление РКН об утечке Штрафы | Все операторы ПДн | 1–3 млн ₽ | КоАП ст. 13.11 ч. 11 |
02Человеческий фактор
Главная угроза уже внутри
Сотрудники знают слепые зоны камер, график обходов и слабые места учёта, поэтому внутренние хищения заметить труднее, чем внешние. Ниже — условный пример структуры потерь и нормативы, по которым стоит проверять охрану.
Источники потерь магазина: пример
- Персонал: кражи и мошенничество60%
- Внешние злоумышленники20%
- Административные ошибки12%
- Поставщики и контрагенты8%
условный пример структуры потерь, не статистика
Сотрудник может вынести больше
Условный пример: сумма одного хищения, ₽
преступлений в России в 2024 году совершены с использованием информационных технологий; таких преступлений стало на 13,1% больше
МВД России, 20.01.2025
краж зарегистрировано в России в 2024 году по сравнению с 2023-м
МВД России, 20.01.2025
общее число зарегистрированных преступлений за тот же год
МВД России, 20.01.2025
российских компаний столкнулись с утечками данных в 2024 году; в 2023-м — 66%
СёрчИнформ, опрос ИБ-специалистов, 20.02.2025
Охрана, которая не знает, что делать
секунд — норматив реакции поста на тревогу в примере аттестации: дольше — нарушитель успевает уйти
дней до окончания удостоверения охранника — срок, когда продление уже пора планировать
пример нормативов аттестации; значения согласуются с заказчиком
За сколько ваш пост реагирует на тревогу?
Передвиньте ползунок и сравните с примером норматива аттестации охраны.
03Цифровой фронт
Кражи снижаются, утечки остаются массовыми
По данным МВД, число краж в России в 2024 году снизилось на 14,3%. Утечки персональных данных остаются массовыми: по оценке InfoWatch, за 2023–2025 годы из российских организаций утекло более 4,5 млрд записей. Охрана объекта должна закрывать оба фронта.
Утечки персональных данных из российских организаций
млрд записей в год, последняя опубликованная оценка ЭАЦ InfoWatch за каждый год
ЭАЦ InfoWatch, 03.2024 и 19.03.2026; InfoWatch и ЦИРКОН, 01.2025; СёрчИнформ, 02.2025
Калькулятор штрафа за утечку
С 30 мая 2025 года действуют новые штрафы по ст. 13.11 КоАП (420-ФЗ). Посчитайте, во что обойдётся одна утечка. Модель: суммы по ч. 11 (неуведомление) и ч. 12–18 складываются как отдельные нарушения; конкретный размер в пределах диапазона назначает суд.
Это только штраф. Иски, отток клиентов и простой оплачиваются отдельно.
КоАП РФ ст. 13.11 ч. 11–18 в ред. 420-ФЗ от 30.11.2024, действуют с 30.05.2025
04Инфраструктура
Камеры есть. Защиты нет
Оборудование установлено, но настроено так, что в нужный момент не сработает. Ниже — пять типовых технических уязвимостей, которые проверяет аудит, в формате отчёта с условными значениями.
Инструментальная проверка, а не осмотр
- Тепловизор: зоны без видеоохвата
- Анализ сигналов СКУД: валидность карт, логи проходов
- Сканеры Wi-Fi и Bluetooth: посторонние устройства в сети
- Пентест IP-камер и видеорегистраторов: Nmap, OpenVAS, Burp Suite
Набор инструментов зависит от объекта и согласуется с заказчиком.
Пожары: охрана — последний рубеж
Основные причины пожаров в ТЦ по данным МЧС — нарушение правил устройства и эксплуатации электрооборудования и неосторожное обращение с огнём. Технические зоны, которые охрана не обходит, позже всего замечают возгорание.
Пожары в торговых центрах России, +8,7% за год · МЧС России, «Известия», 26.02.2026
выросло число пожаров в ТЦ за пять лет, по данным МЧС
пожаров в ТЦ с начала 2026 года (на 26 февраля)
главная причина по МЧС — нарушение правил эксплуатации электрооборудования
жир в вентиляции фудкортов и ресторанов эксперты называют частым очагом
05Скрытые потери
Вы можете переплачивать за саму охрану
Часть потерь связана не с ворами, а с тем, как устроен договор с ЧОП. Без KPI и учёта смен заказчик оплачивает людей, которых нет на постах.
Призраки в табеле
Условный пример: расходы на ЧОП выросли на 40% за 2 года, а на постах фактически работали 12–14 человек из 18 оплаченных. SLA, штрафные санкции в договоре и биометрический учёт смен позволяют платить только за закрытые посты.
06Сценарии аудита
Что находит аудит
Три иллюстративных сценария по типовым ситуациям: проблема, причина, которую ищет аудит, решение и способ измерить результат. Это не описание конкретных клиентов, цифры условные.
За 12 месяцев недостача по инвентаризациям составила 4,7 млн ₽. Традиционные меры не помогали.
Группа из 3 охранников и 2 кладовщиков вывозила товар через технический выход без фиксации в СКУД. Зона не покрывалась камерами: мёртвая зона 8×4 м.
Перекрыли мёртвую зону двумя IP-камерами, заменили сотрудников, ввели полиграфный скрининг при найме.
Недостача в следующем году — 380 тыс. ₽. Аудит и устранение обошлись в 290 тыс. ₽.
недостачи за год после устранения причины
Компания подозревала утечку коммерческой тайны: несколько тендеров проиграно с нулевым отрывом по цене.
IP-камеры в переговорных транслировали видео по RTSP без авторизации, устройства были видны в Shodan. Логи СКУД показали нетипичные ночные визиты одного сотрудника.
Закрыли RTSP-потоки, обновили прошивку камер, провели расследование по данным СКУД и полиграфу.
Источник утечки установлен, договорные отношения расторгнуты.
тендеров выиграно в следующем квартале после закрытия утечки
Расходы на ЧОП выросли на 40% за 2 года без видимого улучшения качества.
В табеле значились 18 ставок охраны, фактически работали 12–14 человек. Договор с ЧОП не предусматривал KPI и штрафов.
Переработали договор: SLA, штрафные санкции, биометрический учёт смен.
Реальное покрытие постов выросло до 100% при снижении расходов.
расходов на охрану в год
07Приоритеты
Что окупится быстрее всего
Не всё требует больших вложений. Отметьте меры, и модель покажет ориентировочные вложения, снижение потерь и срок окупаемости для условного объекта.
08Методика
Семь методов, которые находят слабые места
Предлагаемая методика комплексного аудита строится на семи взаимодополняющих методах. Их применяют последовательно или вместе — в зависимости от объекта и задачи.
Документальный
Регламенты, договоры, журналы дежурств, акты проверок, лицензии. Сверка с ГОСТ Р 52551-2016 и требованиями к ЧОП.
Аттестационный
Тест из 50 вопросов, норматив реакции на сигнал тревоги, знание плана эвакуации, проверка удостоверений.
Технический
Тепловизор, анализ СКУД, сканирование сети, пентест IP-камер и видеорегистраторов.
Стрессовый
Контрольные проходы, попытки пронести запрещённое, имитация конфликта и пожарной тревоги.
Мониторинговый
Анализ видеоархива и логов СКУД за 30–90 дней: маршруты обходов, ночные входы, нетипичные зоны.
Поведенческий
Признаки нелояльности и мошенничества: отказ от смен в инвентаризацию, несоответствие темпа работы и перерывов.
Полиграфологический
Добровольная проверка при приёме на ключевые посты и при расследовании инцидентов.
Как проходит аудит
Длительность этапов в днях: сплошной цвет — минимум, штриховка — максимум
09Экспресс-самооценка
Проверьте свой объект за 3 минуты
15 вопросов из нашего чек-листа. Ответьте честно: результат увидите только вы.
Физическая охрана
Все посты укомплектованы согласно штатному расписанию
Инструкции для постов обновлены не позднее 12 месяцев назад
Журнал обходов ведётся в реальном времени, а не «задним числом»
Охранники прошли аттестацию в течение последнего года
KPI и SLA с ЧОП зафиксированы в договоре
Технические средства
Все IP-камеры используют уникальные пароли, не заводские
Видеорегистратор (NVR/DVR) подключён к ИБП
Видеоархив хранится не менее 30 дней
Мёртвые зоны камер определены и задокументированы
СКУД ведёт полный лог и работает с антипассбэк
Персонал и данные
Ключевые сотрудники проходят полиграфный скрининг при приёме
Права доступа к ПДн разграничены по принципу минимальных привилегий
Ведётся мониторинг аномалий: ночные входы, нетипичные зоны
Договоры с персоналом содержат NDA и материальную ответственность
Компания соответствует требованиям 152-ФЗ и 420-ФЗ
10Методология
На чём основано исследование
- Период данных
- 2022–2026 гг.
- Модели и сценарии
- Шкала угроз, структура потерь, доли уязвимостей и переплат, расчёт окупаемости и кейсы — модельные и иллюстративные, помечены на странице. Это не статистика AV-Security.
- Подготовил
- AV-Security
- Уровни источников
- L1 официальные и первичные данные · L2 отраслевые исследования · L3 деловые СМИ и экспертные оценки