Коммерческая информация может покинуть компанию совершенно незаметно. Для этого не обязательно взламывать корпоративную систему или получать доступ к защищенному серверу. Достаточно отправить рабочий файл на личную почту, скопировать клиентскую базу на внешний носитель или передать партнеру сведения, которые не предназначались для него.
При этом утечка не всегда происходит намеренно. Сотрудник может ошибиться адресатом, использовать не предназначенный для рабочих данных канал или предоставить доступ человеку, которому информация не нужна для выполнения его обязанностей. Но последствия для бизнеса в обоих случаях могут быть серьезными: потеря клиентов, конкурентных преимуществ, коммерческих условий и другой ценной информации.
Особую сложность представляет ситуация, когда информацию передает человек, который изначально имеет законный доступ к ней. Поэтому защита коммерческой информации — это не только задача IT-специалистов. Она требует понятных правил, разграничения доступа и контроля действий сотрудников.
Что может представлять коммерческую ценность
Компания обычно располагает гораздо большим объемом ценной информации, чем кажется на первый взгляд. К ней могут относиться:
- клиентские базы и история взаимодействия с клиентами;
- цены, скидки и индивидуальные условия договоров;
- сведения о поставщиках и подрядчиках;
- финансовые показатели и внутренние отчеты;
- планы развития и переговорная позиция компании;
- технологии, рабочие методики и производственные решения;
- внутренняя аналитика;
- документы, содержащие условия будущих сделок.
При этом важно не пытаться одинаково защищать абсолютно все документы. Сначала компания должна определить, какая информация действительно критична для ее деятельности и какие последствия возникнут, если она окажется у конкурента или другого неуполномоченного лица.
Если для информации установлен режим коммерческой тайны, необходимо также обеспечить предусмотренные законом организационные меры защиты. В частности, сотрудника, которому нужен доступ к такой информации для работы, необходимо ознакомить с перечнем соответствующих сведений, режимом коммерческой тайны и мерами ответственности.
Подробнее о том, какие сведения могут относиться к коммерческой тайне, как работает такой режим и почему одной формальной отметки «конфиденциально» недостаточно, мы рассказывали в статье «Что такое „Коммерческая тайна“ на самом деле».
Откуда чаще всего происходят утечки
Сотрудники
Человек, имеющий легальный доступ к информации, потенциально может передать ее намеренно или случайно. Причем подозрительное действие не всегда выглядит очевидно: сотрудник может просто скачать большой объем документов, запросить доступ к чужой базе или отправить рабочий файл через личный канал.
Поэтому контроль не должен заканчиваться после трудоустройства. О том, зачем службе безопасности проверять уже действующих сотрудников и какие риски позволяет выявить такая проверка, читайте в статье «Зачем службе безопасности проверять действующих сотрудников».
Бывшие сотрудники
Отдельного внимания требует период увольнения. Сотрудник может заранее сохранять документы, клиентские контакты или другие сведения, которые впоследствии планирует использовать за пределами компании.
Поэтому прекращение трудовых отношений должно сопровождаться не только кадровыми процедурами, но и своевременным пересмотром доступов и возвратом корпоративных носителей информации. Для режима коммерческой тайны соответствующая обязанность прямо предусмотрена законом.
Подрядчики и партнеры
Компания не может полностью закрыть информацию от внешних участников бизнеса: поставщикам, подрядчикам и партнерам иногда необходим доступ к определенным данным. Но чем больше информации передается за пределы компании, тем важнее контролировать объем и основания такого доступа.
Случайные ошибки
Не всякая утечка является результатом злого умысла. Ошибочный адресат письма, отправка не того файла или использование личного хранилища для рабочего документа могут привести к тому же результату. Поэтому эффективная защита должна учитывать не только действия потенциального нарушителя, но и обычные рабочие ошибки.
Какие признаки могут указывать на подготовку утечки
Необычное действие сотрудника еще не означает, что он собирается передать информацию третьим лицам. Однако некоторые ситуации требуют дополнительного внимания:
- сотрудник получает доступ к данным, которые не нужны ему для работы;
- массово копирует или выгружает документы;
- интересуется информацией другого подразделения без понятной служебной причины;
- начинает использовать непривычные способы передачи файлов;
- пытается обойти установленные ограничения доступа;
- перед увольнением начинает активно собирать документы и базы;
- регулярно работает с конфиденциальной информацией вне обычного рабочего процесса.
Особенно важно смотреть на совокупность признаков. Один скачанный файл может быть связан с рабочей задачей. Но если одновременно меняется поведение сотрудника, увеличивается объем копируемых данных и появляются попытки обойти ограничения, ситуация уже требует более внимательного анализа.
Как защитить коммерческую информацию от утечки
Ограничить доступ
Сотрудник должен получать только те сведения, которые необходимы ему для выполнения конкретных обязанностей. Чем меньше круг людей, имеющих доступ к критичной информации, тем проще контролировать ее использование.
Разделить полномочия
Критически важные данные и операции не стоит полностью концентрировать в руках одного человека. Независимый контроль снижает вероятность того, что сотрудник сможет самостоятельно получить информацию, использовать ее и скрыть свои действия.
Установить понятные правила
Сотрудники должны понимать, какие сведения являются конфиденциальными, кому их можно передавать и какие способы работы с ними допустимы. Правила должны быть не только формально утверждены, но и доведены до сотрудников.
Регулярно пересматривать доступы
Полномочия сотрудника могут меняться вместе с его должностью и задачами. Если человек перешел в другое подразделение, перестал работать с определенным проектом или увольняется, его доступы необходимо своевременно пересматривать.
Контролировать критичные действия
Особого внимания требуют операции с большими массивами данных, клиентскими базами, финансовыми документами и другой информацией, утечка которой может нанести существенный ущерб. Технические средства позволяют отслеживать определенные действия пользователей, но их результаты важно оценивать в контексте реальных рабочих задач.
Почему одного DLP недостаточно для защиты информации
Технические системы контроля помогают обнаруживать попытки копирования, передачи или выгрузки данных. Это важная часть защиты, но она не всегда позволяет ответить на главный вопрос: почему сотрудник совершил конкретное действие и действительно ли оно связано с нарушением. Подробнее о возможностях DLP-систем, задачах, которые они решают, и ситуациях, когда бизнесу стоит задуматься об их внедрении, рассказали в статье «Что такое DLP-система и когда бизнесу уже пора ее внедрять».
Например, массовая выгрузка документов может быть необходима сотруднику для выполнения служебной задачи. А небольшой файл, переданный нужному человеку через формально разрешенный канал, может содержать критически важную информацию.
Поэтому технический контроль эффективнее работает в сочетании с организационными мерами: разграничением доступа, понятными правилами, проверкой сотрудников и анализом подозрительных ситуаций. Такой комплексный подход позволяет учитывать не только само действие, но и его контекст.
Что делать, если утечка уже произошла
Если компания обнаружила признаки возможной утечки, не стоит сразу ограничиваться поиском виновного сотрудника. В первую очередь необходимо сохранить информацию об инциденте и определить его масштаб.
Нужно установить:
- какие сведения могли попасть за пределы компании;
- за какой период это могло произойти;
- кто имел к ним доступ;
- какие действия могли привести к передаче информации;
- кому она могла быть передана;
- какой потенциальный ущерб это создает для бизнеса.
После этого необходимо определить причины произошедшего. Возможно, сотрудник намеренно воспользовался своими полномочиями. Но не исключено, что проблема возникла из-за избыточного доступа, отсутствия контроля или неправильно организованного процесса работы с информацией.
Если обстоятельства требуют детального установления фактов и действий участников, может потребоваться внутреннее расследование. Важно при этом отделять подтвержденные сведения от предположений и фиксировать результаты проверки документально.
Как снизить риск утечки со стороны сотрудников
Полностью исключить человеческий фактор невозможно, но его влияние можно существенно уменьшить.
Для этого компании стоит регулярно пересматривать права доступа, контролировать работу с наиболее чувствительной информацией, проверять соблюдение внутренних процедур и уделять внимание изменениям в поведении сотрудников.
Особый контроль необходим в ситуациях, когда человек получает расширенные полномочия, переводится на другую должность или покидает компанию. В таких случаях важно своевременно оценивать, какая информация остается ему доступна и действительно ли этот доступ необходим.
Не менее важна профилактика. Сотрудник должен понимать не только то, что определенные сведения являются конфиденциальными, но и почему нарушение установленных правил может создать реальные риски для компании.
Как СБ 365 помогает снизить риск утечки информации
Защита коммерческой информации требует одновременно технических, организационных и контрольных мер. Если в компании появляются признаки несанкционированного доступа, массового копирования данных или передачи информации третьим лицам, важно установить реальные обстоятельства произошедшего, а не ограничиваться предположениями.
Специалисты СБ 365 помогают анализировать действия сотрудников, выявлять слабые места в организации работы с конфиденциальной информацией, участвовать во внутренних расследованиях и определять меры, которые позволят снизить риск повторения подобных ситуаций.
Если у вас появились подозрения на утечку коммерческой информации или вы хотите проверить, насколько надежно организована ее защита, специалисты СБ 365 помогут оценить риски и определить уязвимые места в системе корпоративной безопасности.