Как избежать утечки деловой информации

Ведущий рассылки:
Агентство конкурентной разведки "Информант"
(831) 413-26-83

www.informnn.ru

В эпоху соцсетей излишняя общительность наемного персонала может обернуться миллионными потерями для бизнеса. Эксперты научились вычислять потенциальные зоны и моменты риска и способы решения этой проблемы.

Скандалом обернулось недавнее общение ведущей шоу «Орел и решка» (телеканал «Пятница») Регины Тодоренко с новосибирскими телезрителями. Она рассказала, что один из ключевых элементов телешоу — банковская «золотая карточка», которой в программе пользуются ведущие и которая дает доступ к «безлимитному счету», не совсем настоящая — как и «красивая жизнь», которая ею оплачивается. «Это в некоторых моментах постановочное шоу, — раскрыла карты Тодоренко. — Чаще всего гостиницы [наивысшей категории] предоставляют нам по бартеру, мы снимаем в них не двое суток, а три часа. За это время нам нужно успеть отснять бассейн, джакузи и поскорее уехать, потому что в отель какой-нибудь король Омана приезжает. Ночуем же мы все там, где можно прожить на 100 зеленых».

После того как продюсер шоу Нателла Крапивина пригрозила телеведущей штрафом и увольнением, Тодоренко написала в Instagram, что могла ошибаться, а СМИ вырвали ее слова из контекста. Инсайдеры говорят, что Тодоренко может грозить штраф до 2 млн руб. «Регина на съемках в данный момент и продолжит сниматься в проекте. Штрафы и более серьезные санкции прописаны в договорах ведущих, решение об их применении принимает генпродюсер проекта», — сказала пиар-директор «Пятницы» Наталия Абрамочкина.

Излишне разговорчивые сотрудники встречаются не только среди представителей творческих профессий, но и среди топ-менеджеров крупных компаний. И в этом случае цена ошибки может быть гораздо выше.

СEO-говорун

«Журналист одной из ведущих деловых газет России так разговорил президента крупной автодилерской компании, что тот раскрыл данные, которые пресс-служба должна была огласить через несколько часов в формате общего сообщения для СМИ», — вспоминает Елена Антипова, руководитель практики пиар-агентства «Идеи и решения». В результате другие бизнес-издания отказались публиковать «просроченную» новость и перестали агентству доверять.

Похожие истории происходят сплошь и рядом, признает Владимир Виноградов, президент группы компаний Pro-Vision и приводит другой пример: топ-менеджер крупной российской технологической компании, акции которой обращались за рубежом, поделился с корреспондентом важной финансовой информацией о котировках на европейских биржах. Местные держатели акций, увидев ее, начали нервничать, что обернулось падением акций, увольнением топ-менеджера и дополнительными хлопотами для пиар-службы.

Застраховаться от таких рисков довольно сложно — не помогают ни договоры о неразглашении конфиденциальной информации (NDA), ни тренировки «стрессовых интервью». Способность «держать язык за зубами» в первую очередь определяется психотипом человека, считают исследователи. «Например, для гипертимов — людей, которые умеют находить общий язык с любым человеком, стремятся к разнообразию жизни, — свойственен случайный слив информации, который часто не предполагает умысел либо личную выгоду», — говорит Людмила Мартьянова, эксперт Международной академии исследования лжи. Люди истероидного психотипа, которые любят внимание и стараются его добиться любой ценой, тоже входят в группу риска. Они часто предоставляют информацию из тщеславия, не просчитывая заранее все варианты развития событий.

Мартьянова предлагает выявлять людей, склонных к излишнему общению, на этапе приема на работу и учитывать этот фактор при распределении доступа к критически важной информации. Например, представители эпилептоидного, тревожно-мнительного и эмотивного психотипов гораздо лучше умеют ​хранить тайны.

«Эпилептоиды отлично понимают свое место в иерархии компании и достаточно надежны, являются в большинстве своем преданными компании, особенно если отношения с руководством выстроены, — говорит Мартьянова. — Тревожно-мнительные люди побоятся сболтнуть лишнее, так как в их реакции на любые новые ситуации преобладает страх, который заставляет просчитывать любые негативные последствия, даже маловероятные. Представители эмотивного психотипа по-человечески преданны своему руководству и компании, мало гонятся за личной выгодой и в первую очередь учитывают чужие интересы, орудуя принципом «не навреди».

Вот только людей, которых со 100-процентной уверенностью можно отнести к определенному психотипу, не бывает. Под воздействием обстоятельств сотрудники вполне могут выйти из привычной модели поведения. Нередко на это провоцируют социальные сети и распространенная привычка выкладывать все интересное в интернет.

Селфизависимость

Популярность соцсетей и повсеместное проникновение мобильного интернета — настоящая головная боль для специалистов по защите данных. Пока айтишники устраивали бастионы из корпоративных сетей и офисных компьютеров, работники обзавелись смартфонами, которые практически невозможно контролировать. Конечно, можно только запретить ими пользоваться на рабочем месте или заклеивать камеры, но на это в частном секторе практически никто не идет.

В конце 2015 года российская FMCG-компания готовила запуск новой упаковки пакетированного чая экономсегмента. Отдел маркетинга работал допоздна, и сотрудники решили устроить небольшую передышку — заказали пиццу, включили музыку, дурачились, танцевали, фотографировались. Одна из молодых сотрудниц, ассистент отдела, выложила серию фото с вечеринки на своей странице в соцсети «ВКонтакте». «В кадр случайно попали распечатки нового дизайна упаковки — они были развешаны на доске и стенах отдела. Несмотря на то что в соцсети у девушки было не более 600 друзей, среди них оказались представители конкурентов. Через два месяца на полках магазинов появилась их продукция в очень похожей упаковке. Работа маркетологов, по сути дела, пошла насмарку», — рассказывает историю одного из своих клиентов Наталья Сторожева, генеральный директор центра развития бизнеса и карьеры «Перспектива».

Позже сотрудники службы безопасности выяснили, каким образом и по чьей вине произошла утечка, и сотрудница была уволена. Правомерность такого решения вызывает вопросы. Увольнение за селфи незаконно, считает Александр Тарасов, управляющий партнер и генеральный директор юридической компании «АВТ Консалтинг»: «При введении режима коммерческой тайны компания должна четко прописать перечень защищенной информации и ограничить к ней доступ. Если важные документы висят на стене, то привлечение сотрудницы безосновательно. Тем более что умысел в разглашении данных явно отсутствовал».

Если же компания надлежащим образом установила и закрепила режим коммерческой тайны, ознакомила сотрудников с установленными правилами и соблюла процедуру увольнения, то действия работодателя должны быть признаны правомерными. «В данном случае у работодателя имелись доказательства в виде публикации на странице сотрудника в социальной сети, что будет веским основанием для признания в суде такого увольнения законным», — считает Дмитрий Ильин, руководитель юридического отдела компании Acsour.

Порой к неожиданным последствиям приводят не только офисные фото, но и посты в соцсетях, касающиеся личной жизни. «Одна из наших сотрудниц поделилась радостной новостью о том, что ждет пополнение в семье, в социальной сети. На нее был подписан один из потенциальных клиентов, с которым мы были в процессе заключения договора. В итоге договор подвис», — вспоминает Владимир Виноградов из Pro-Vision. Переговорщикам потребовалось затратить немало времени и ресурсов, чтобы убедить заказчика в том, что ситуация под контролем и квалифицированных кадров в агентстве достаточно — сотрудницу найдут кем заменить, пока она будет в декрете.

После этого случая в компании ввели негласное «правило менеджера». «Мы просим сотрудников подумать, прежде чем опубликовать пост, задать себе вопрос — если этот пост увидит мой начальник или клиент, может ли возникнуть неловкая ситуация на работе», — говорит Виноградов.

По мнению основателя корпоративной социальной сети Loqui Business Дмитрия Бенца, чаще всего сотрудники оставляют посты о корпоративной жизни в соцсетях, потому что не имеют другой площадки. Выход — создание внутренней корпоративной соцсети. Он вспоминает нашумевший случай, когда сотрудники сырного завода искупались в чаше с молоком, а после выложили фото в Сеть. Сначала предприятие попало под внеплановую проверку, а потом и вовсе было закрыто по решению Роспотребнадзора. Если бы фото с корпоратива были бы выложены на внутреннем портале компании, то руководство могло бы узнать о ситуации раньше СМИ и ее можно было бы удержать под контролем, не доводя дело до закрытия предприятия.

Преступление и наказание

Согласно исследованию компании SearchInform, опросившей более 3 тыс. организаций, инциденты с утечкой данных чаще всего происходят случайно — в 42% всех случаев, намеренные сливы информации — в 34%.

При этом злоумышленники нередко пользуются доверчивостью честных, но безалаберных сотрудников. Так, в небольшой организации, занимающейся продажей молочной продукции, корпоративные пользователи имели программные ограничения на доступ к документам разной степени важности. Например, к файлу с бюджетом, расходами и доходами компании имели доступ только топ-менеджеры. Однажды служба информационной безопасности обнаружила, что один из них отправил этот файл на внешнюю почту, и обеспокоилась. Расследование показало, что коммерческий директор разрешил одной из сотрудниц заниматься выгрузкой отчетов на его рабочем компьютере. Оказалось, что между делом она просматривала его документы. «Утечка только одного этого файла грозила компании ужесточением конкуренции с уже существующими предприятиями, а также могла спровоцировать выход на рынок новых конкурентов», — считает председатель совета директоров SearchInform Лев Матвеев. К счастью, файл к конкурентам не попал, сотрудница была уволена, а с коммерческим директором провели воспитательную беседу.

Последствия могли быть и более серьезными. «В случае если сотрудник умышленно использовал данные, относящиеся к коммерческой тайне, то он может быть наказан либо штрафом до 120 тыс. руб. либо штрафом в размере годового заработка за один календарный год, а также запретом на работу в подобной должности или сфере сроком до трех лет; в самом серьезном случае он может лишиться свободы на срок до трех лет», — комментирует Алексей Карабаев, председатель коллегии адвокатов KLG.

Зона риска — это работники, которые собираются уволиться. Исследователи из SearchInform выявили, что 47% принявших участие в опросе компаний ловили увольняемых сотрудников на краже информации. Например, сотрудница торгового предприятия перед увольнением загрузила на сторонний ресурс архив объемом 900 Мб. Служба безопасности провела дальнейший анализ и установила, что это проекты исследований московского рынка. Инцидент вовремя выявили, и архив удалили. «Компания оценила стоимость подобной информации с учетом разработки документации, недополученной прибыли и раскрытия внутренней себестоимости продукции, информации о клиентах в сумму около 100 млн руб.», — рассказывает Матвеев.​

При этом, как правило, увольняемые прихватывают информацию не для того, чтобы ее кому-то сразу же продать или открыть свой бизнес, а про запас, из чувства мести. Поэтому лучший способ обезопасить себя от бывших сотрудников — расставаться по-хорошему, со всеми предусмотренными законодательством и договором выплатами, говорят эксперты.

Четыре шага по защите бизнеса от болтунов и шпионов.

Шаг первый. Необходимо четко определить, что, собственно, является коммерческой тайной, и маркировать бумажные документы соответствующим грифом. К электронным документам нужно разграничить доступ, чтобы при возникновении споров у суда не возникло сомнений в конфиденциальности файлов.

При приеме на работу нужно информировать сотрудников о требованиях информационной безопасности, принятых в компании. Ответственность за информационную безопасность обязательно должна быть включена в должностную инструкцию. При заключении трудового договора рекомендуется также подписать с сотрудником дополнительное соглашение о неразглашении информации, в котором прописана ответственность в случае нарушения. Как правило, люди разглашают важную информацию, даже не подозревая, что совершают что-то противоправное.

Шаг второй. Необходимо назначать людей, которые несут ответственность за соблюдение конфиденциальности сотрудниками компании. В их должностные обязанности входит разработка политики информационной безопасности, обучение, контроль осведомленности, а также расследование нарушений и информирование сотрудников о случившихся инцидентах. Рассчитывать на самоорганизацию сотрудников вряд ли стоит — нужен «злой полицейский».

Шаг третий. Важно разработать и распространить некий «кодекс поведения сотрудника в соцсетях». Одно дело — негласные «правила поведения», и совсем другое — зафиксированная на бумаге инструкция. Специалисты рекомендуют написать несколько небольших, 1–2-страничных документов, регулирующих всю информационную безопасность в компании. Это могут быть правила работы в корпоративной сети, правила выбора и смены паролей, инструкция по защите от компьютерных вирусов. Любимая отговорка «болтунов» — «нас не предупреждали».

Шаг четвертый. Если ценность информации велика, а доступ к ней имеют множество людей, потребуется специальный софт. В первую очередь DLP-система для борьбы с утечками, которая будет отслеживать, что и кому пишут сотрудники компании. Если файл большого размера из корпоративной сети отправляется куда-то на сторону, это хороший повод проверить его содержимое.

Некоторые компании идут еще дальше и заводят у себя настоящего «большого брата» — например, программа Kickidler дает возможность записывать действия сотрудника за компьютером на видео и дает доступ для просмотра онлайн. Чтобы не просматривать видео за весь рабочий день, используется гистограмма нарушений. На ней отображаются нарушения, допущенные сотрудниками, такие как посещение сайтов поиска работы, запуск игр, просмотр видео и пр. Такой софт позволяет не только бороться с утечками, но и контролирует, чем сотрудники занимаются на рабочем месте.

Источник: председатель Адвокатской коллегии Павла Астахова Виктория Данильченко, директор по развитию системы контроля сотрудников Kickidler Андрей Игнатов, председатель коллегии адвокатов KLG Алексей Карабаев.

Источник: РБК