27 января 2021 г.
«Удаленка» стала для организаций серьезным испытанием. Она стерла границы между рабочим и личным временем, заставила руководителей пересмотреть стиль менеджмента и размыла границы информационной безопасности. Контакты клиентов, реальные цифры оборота и выручки и другие бизнес-критичные данные лишились как минимум одного контура защиты — офисных стен, которые в какой-то степени оберегали такую информацию в допандемийный период. Сооснователь «Стахановца» Михаил Яхимович анализирует доступные альтернативы для обеспечения сохранности важной информации в режиме удаленной работы. И предлагает предпринять три шага, которые, по его мнению, существенно сократят риски утечек.
Шаг № 1. Начните мониторинг сотрудников
Отсутствие привычной иллюзии контроля стало одной из главных болевых точек для руководителей всех уровней в самом начале карантина. Весной 2020 года, когда коллективы массово переводились на «удаленку», начальников заботил вопрос о продуктивности команд. Заботил не зря. Наше исследование показало, что примерно треть сотрудников попадает в зону риска из-за отсутствия дома подходящих условий для работы, сбоев оборудования и в силу обилия отвлекающих факторов.
Но технические сложности и проблемы мотивации меркнут на фоне новых возможностей для утечек, которые открываются в режиме «домашнего офиса». Точно неизвестно, работает ли сотрудник за компьютером работодателя, использует ли для этого собственную технику, и нет ли в списке приложений программ-шпионов. Компании с более-менее продвинутыми ИТ решают эту проблему с помощью инфраструктуры виртуальных десктопов. Защищенное подключение, всесторонний мониторинг и гарантированно безопасное ПО дает основания для уверенности.
Однако есть второй момент, связанный с физической безопасностью: мы доподлинно не знаем, кто именно сидит за терминалом на том конце сетевого кабеля. Количество запросов на идентификацию пользователя оказалось настолько значительным, что мотивировало нас разработать функциональность распознавания лиц с использованием веб-камеры, которая есть практически на каждом компьютере и смартфоне.
Достаточно ли просто знать, что за рабочим ПК сидит именно тот, кто надо? Мы посчитали, что нет. Беглый анализ рынка конфиденциальной информации в Даркнете показал, что порядка
Шаг № 2. Следите за отклонениями
Объекты коммерческой тайны обычно имеют цифровое выражение. Фактически это данные. Оберегать их нужно так же, как и любую другую ценную информацию.
Необходимо разграничить доступ к данным. Каждый сотрудник организации должен обращаться только к той информации, которая ему нужна для работы. Если все ценные данные хранятся в одном месте, а скопировать их может кто угодно, от секретаря до топ-менеджера, утечка становится лишь вопросом времени. Чаще всего инсайдерами становятся увольняющиеся работники. Именно их действия требуют пристального внимания. Нет никакой гарантии, что сотрудник решит скачать весь массив информации за один заход. «Крота» выдают отклонения от нормы: регулярные обращения к архивам, которые раньше не представляли для него интерес, изменения в интенсивности перемещения информации между папками, изменения ядра интернет-запросов и так далее.
На наш взгляд, контроль действий персонала с учетом анализа нетипичного поведения вообще ключевой фактор защиты данных. Даже если персонал максимально лоялен, не стоит упускать из виду внешние факторы — такие, как фишинг и социальная инженерия. Из-за них слабым местом в кибербезопасности может стать добросовестный сотрудник, у которого и в мыслях не было ничего похищать.
Шаг 3. Не найдейтесь на NDA
NDA — это подстраховка, но не решение проблемы. В критической ситуации, или видя прямую выгоду от нарушения соглашения, недобросовестный работник может пренебречь подписанным соглашением.
Конечно, существуют правовые последствия нарушения NDA, однако доказательство ущерба от действий сотрудника ложится на плечи бизнеса. Без специальных средств и без специалистов, «заточенных» на такие задачи, непросто даже собрать пакет убедительных цифровых улик. Также у проблемы NDA есть своеобразный медийный аспект: разбирательств по нарушению NDA сравнительно мало, поэтому каждый эпизод, дошедший до суда, непременно вызовет интерес журналистов и повлечет риски репутационного ущерба, принять которые компания может быть не готова.
Заключение
Какими изощренными бы ни были технологические, административные и юридические способы защиты коммерчески значимой информации, рассчитывать лишь на них не приходится. Самый крутой софт для мониторинга, самый компетентный «безопасник» и квалифицированный специалист по трудовому законодательству не сохранят коммерческую тайну лучше, чем здоровый психологический климат в коллективе, прозрачная система мотивации и понятный вклад каждого сотрудника в общее дело. В таких командах не бывает уводов клиентов на сторону или сливов конкурентам бизнес-критичной информации. Поэтому если и инициировать кампанию по защите данных в отдельно взятой компании, то начинать следует прежде всего с понимания внутренней ситуации и с ее оздоровления
Источник: Михаил Яхимович, сооснователь «Стахановца»