Одной из самых уязвимых в плане утечек является информация, напрямую касающаяся бухгалтерии: финансовая документация, отчетность, бизнес-планы, договоры, цены, зарплата, персональные данные сотрудников. Причем в половине случаев эти сведения уходят из компании вовсе не по вине инсайдеров, а по обычной случайности. Если знать, где ждать подвоха, можно сохранить компании миллионы.
Какую информацию надо защищать в первую очередь
Как защитить компанию от утечки финансовой и другой секретной информации. Утечка финансовых сведений может не только подпортить деловую репутацию компании, но и повлечь за собой серьезные денежные потери (убытки, затраты на устранение последствий разглашения, иски, проверки, потерю клиентов и т. п.). К примеру, известны случаи, когда конкуренты подкупили сотрудников бухгалтерии компании и через них получили данные ее «черной» бухгалтерии. После чего в компанию приходила выездная проверка. Инспекторам, которым конкурент передал компромат, было нетрудно найти нарушения, поскольку они знали, что и где искать. «Белая» бухгалтерия может быть не менее интересна посторонним лицам, если кто-то захочет переманить ценных сотрудников.
Более того, утечка подобной информации может поставить под подозрение главного бухгалтера или финансового директора. В интернете есть сайты, где выложены данные сотрудников различных компаний: Ф. И. О., дата рождения, место работы, домашний адрес, ИНН, размер зарплаты (см., к примеру,). Первое, что может прийти в голову руководству компании, — бухгалтерия торгует информацией. Этому есть опровержение: данные сотрудников бухгалтерия сообщает в различные государственные учреждения в соответствии с законом. Более того, сотрудники сами могут сообщить свои данные в такие органы, к примеру, для получения материнского капитала, жилищных субсидий и т. д. А бюджетные заведения, как известно, хуже всего защищены от утечек. Конечно, за некоторыми исключениями.
Другими часто выходящими за пределы компании сведениями, по словам специалистов в области защиты информации и расследования утечек, считаются технологические разработки, ноу-хау, секреты производства, клиентские базы данных. Поэтому всю финансовую информацию надо подвергать серьезной защите в первую очередь.
Как утекает информация
Источников, через которые информация уходит из компании, предостаточно: различные мессенджеры (Skype, ICQ и пр.), электронная почта, открытые источники (социальные сети, форумы), бумага, флешки, диски, резервные копии. Подробно о них см. ниже. Причем и в случае со случайными утечками, и в случае с умышленным сливом источники одни и те же (см. диаграмму).
Кстати, для получения секретной информации существует чуть ли не целая отрасль — незаконная и конкурентная разведка. Первая подразумевает шпионаж: те, кому нужны сведения, вербуют сотрудников компании либо внедряют в штат своего человека. Агент может передавать сведения сам или установить «жучок». Конкурентная разведка действует открыто — через социальные сети, собеседования, открытые источники информации.
Как обнаружить инсайдера
Если секретная информация оказалась в руках посторонних, не стоит сразу всех вокруг подозревать в предательстве. Возможно, компания сама допустила открытое распространение сведений, например, включив их в рекламу. Более того, повторимся, почти половина конфиденциальных данных попадает в открытый доступ случайно. Если ничего такого не было, тогда стоит присмотреться к этому. Какие признаки могут навести на мысль о том, что рядом идет торговля «секретами фирмы»?
Во-первых, от компании уходят клиенты — вероятнее всего конкурентам кто-то слил клиентскую базу.
Во-вторых, очевидная перемена в поведении некоторых сотрудников: внезапное улучшение материального положения, снижение заинтересованности в работе, активизировавшаяся переписка в интернете, частая пересылка графических или запароленных архивированных файлов.
В-третьих, «кучкование». Так, в одной компании 30 из 40 сотрудников, которые занимались заключением договоров, сговорившись, зарегистрировали собственную организацию и фактически работали на нее. Сотрудники предлагали клиентам, с которыми напрямую общались, те же услуги, но немного дешевле и перезаключали с ними договоры уже от имени собственной организации. Другой пример — несколько сотрудников задумали одновременный переход к конкуренту. Компания перекрыла им доступ к информации, которую они могли бы унести с собой. После этого конкурент отказался брать к себе этих сотрудников.
В-четвертых, сотрудник обижен на руководство. Слить информацию может в отместку, чаще всего в налоговые органы и конкурентам.
И наконец, о шпионе может доложить кто-то из сотрудников. При этом не исключено, что он сам им и является и «стучит», чтобы отвести от себя подозрения.
Действенные способы предупредить утечку
Многие компании запрещают использование мессенджеров на работе, закрывают USB-входы компьютеров, но некоторые все равно находят возможность продать информацию. Поэтому, если «секреты» слишком ценны, стоит предпринять целый ряд мер, которые существенно снизят риск утечек.
Трудовой договор. В нем можно прямо прописать, что работодатель имеет полный доступ к информации на компьютерах работников, а в случае разглашения коммерческой тайны будет требовать возмещения убытков. Эти меры являются мощным сдерживающим психологическим фактором.
Высокая зарплата. Боязнь ее потерять скорее всего отобьет у сотрудника желание предавать свою компанию.
Слежка и прослушка. Существуют программы, которые контролируют все, что происходит на компьютере. Если сотрудники знают, что она у них установлена, у них вряд ли появится желание передавать секретную информацию с рабочего компьютера. Еще устанавливают свои «жучки» в кабинетах или переговорках, а «жучки» шпионов блокируют шумогенераторами, которые создают помехи и глушат сигнал.
Тренинг. Устраивают провокацию: сотрудникам рассылают письма с вирусами, просят по телефону выдать конфиденциальные сведения и т. п. В результате теста выясняется, как персонал реагирует на такие действия, и разрабатываются меры защиты.
DLP-система (Data Leak Prevention). Она отслеживает пересылку и распечатку файлов, внезапные всплески интернет-общения, посещение нехарактерных для работы сайтов и т. д. Также проводит лингвистический анализ переписки и документов и по ключевым словам устанавливает опасность утечки.
Бумажные документы
С помощью бумаги конфиденциальная информация становится доступной другим чаще всего (см. диаграмму). Причем независимо от того, сливает ее кто-то умышленно или утечка происходит случайно. Объясняется такая статистика довольно просто. Продавать «секреты» на бумаге безопаснее, чем в электронном виде, так как сложно доказать, от кого они получены (если, конечно, нет записи). А высокий процент случайной потери секретности связан исключительно с человеческим фактором: оставил документы на столе, забыл на принтере, потерял папку с документами, украли сумку с ними и т. п.
Компьютеры
Компьютеры (имеются в виду стационарные) — второй по распространенности канал, через который инсайдеры сливают на сторону конфиденциальную информацию. Но, по сути, компьютер даже больше не канал передачи секретных данных, а канал их получения. Через него инсайдер имеет доступ к корпоративным сведениям, хранящимся на сервере компании, может скачать их на съемные носители или отправить по электронной почте. Как правило, инсайдеры редко занимаются взломом недоступной им информации и копируют только те данные, которые знают, с которыми работают и доступ к которым им разрешен.
Интернет
Мало кто из инсайдеров стремится использовать интернет для слива секретной информации. В три раза чаще (в 22 процентах случаев) она становится общедоступной с помощью интернета лишь по чистой случайности. К примеру, случайная утечка может произойти, когда финансовые сведения содержатся в программах компании, работающих через интернет, а вход в них имеет примитивные пароли. Таковыми принято считать цифровые или буквенные пароли по ходу клавиатуры: 123456, 123123, 12345678, qwerty, а также abc123, dragon, 111111, iloveyou, sunshine, passw0rd, superman, football и др.
Электронная почта
Утечка через «электронку» — редкий случай, так как этот канал легко контролировать, хотя сотрудники считают, что пересылать секретные данные безопаснее с личной, а не с корпоративной почты. Это заблуждение: установить, чей адрес, легко по учетным записям. Также «электронка» помогает проникнуть в тайны компании с помощью зараженных вирусами писем. Шпионы изучают интересы сотрудника (в соцсетях и т. п.), затем отправляют ему такое письмо, которое он наверняка откроет, допустим коллекционеру плюшевых мишек сообщение с темой «Прикольный мишка». Так на компьютер попадают трояны. А через них легко получить доступ к Клиент-банку.
Смартфоны, ноутбуки
Смартфоны и ноутбуки тоже не самый распространенный канал утечки секретной информации, но часто используется менеджерами высшего звена. Ситуация: идет конфиденциальное совещание. У присутствующих с собой смартфоны или, что чаще всего, ноутбуки с материалами совещания. Присутствующий инсайдер активирует встроенный микрофон и сидит себе с невинным видом. А потом все, о чем говорилось на закрытом совещании, сливается во внешний мир. Иногда даже специально инсценируется похищение ноутбуков с конфиденциальной информацией, и инсайдер в таких случаях остается вроде как ни при чем.
Съемные носители и резервные копии
Флешки, переносные жесткие диски в силу своего удобства тоже используются для передачи информации. При этом инсайдер может легко сослаться на их обычную потерю. Иногда информация уходит по оплошности. К примеру, сотрудник взял на флешке отчеты с финансовыми показателями домой доработать, а дома незащищенное интернет-соединение. Что касается резервных копий, то хранить в них данные можно в интернете (пример — iCloud). Или на стримере — это что-то вроде флешки, но размером с магнитофон. Хоть это и массивный предмет, статистика показывает, что и он иногда «случайно» теряется.
Другие каналы утечки
Сотрудники могут случайно разгласить сведения в ситуациях, в которых это кажется невозможным. Пример — фальшивые собеседования. Компании специально размещают вакансии с невероятно выгодными условиями, чтобы заманить сотрудника конкурента на встречу. На ней спрашивают о работе, новых проектах и т. д. Сотрудник сидит и не подразумевает, что с него считывают «секреты» работодателя. Еще пример — конкуренты прямо спрашивают контрагента организации об условиях сотрудничества и предлагают лучшие. Поэтому, возможно, с ключевыми клиентами стоит договариваться о сохранении условий договора в тайне.
Темы: