Утечка информации через уволенных сотрудников

Слаженный коллектив является залогом успешной работы, но создать благоприятные условия для каждого сотрудника – задача не из легких. Причин увольнения может быть масса: неудовлетворительный уровень заработной платы, неподходящие условия и график работы, трудности в общении с коллективом, стремление достичь большего и т.д. А утечка информации возможна при уходе любого сотрудника. О том, как обезопасить компанию от потери конфиденциальных данных мы расскажем в данной статье.

Утечка информации и ущерб

В зависимости от ценности информации, ущерб от утечки данных способен привести к значительным убыткам.

Ниже приведены некоторые примеры:

• Бывший сотрудник компании «Яндекс» обладал важными сведениями об исходном коде и алгоритме поиска, которые оценивались в несколько миллиардов рублей. Специалист хотел продать информацию другому предприятию, но сделка была сорвана благодаря усилиям правоохранительных органов. Если бы продажа была осуществлена, известная компания могла лишиться репутации, хорошей прибыли и надолго погрязнуть в судебных тяжбах.
• Программисты знаменитой компании NC Soft продали конкурентам из Японии код игры Lineage III. В результате, ущерб для предприятия составил 1 млрд. долларов.
• В Южной Корее в 2013 корейская полиция арестовала сотрудников двух банков по подозрению в краже конфиденциальной информации. Так одному из них, работающему в Citi Bank, удалось распечатать личные данные клиентов, а другому из Standard Chartered Bank  скопировать  информацию на USB-носитель. После чего данные были проданы сторонним компаниям. Сумма двух сделок составила около 300 тысяч долларов. В результате был нанесен существенный ущерб по репутации всех зарубежных банков, расположенных в Корее.

Как найти правильный подход к сотрудникам

Чем выше должность, которую занимает человек, тем большим количеством информации он владеет. При уходе сотрудников из разряда «топ» компания действует более продуманно и аккуратно, чем при увольнении рядового служащего. При расставании с таким сотрудником есть несколько вариантов действий:

• Щедро вознаградить за долгие годы службы. В качестве вознаграждения компания может выплатить определенную денежную сумму, поднести ценный подарок. Действие является своеобразным подкупом за молчание.
• Обеспечить другое рабочее место. Компания, которая не желает видеть своих сотрудников в рядах конкурентов, может заинтересовать потерянного кадра рабочим местом, выгодным для предприятия. В таком случае, компания сама обзванивает подходящие вакансии и договаривается о собеседовании.

Увольнение рядового служащего проходит без особых почестей, все зависит от того, насколько осведомленными о делах компании были подчиненные. В случаях, когда грядет массовое увольнение служащих, компания подготавливает сотрудников путем проведения тренингов, обучения правильного составления резюме, преодоления напряжения на собеседованиях.

Независимо от того, какая фигура покидает предприятие, руководитель должен учитывать следующие моменты:

• необходимо прощупать варианты будущего трудоустройства сотрудника. Переход к конкурентам должен сопровождаться соглашением о неразглашении информации;
• следует создать представление о том, насколько осведомленным является сотрудник в вопросах конфиденциальной информации;
• стоит узнать причины ухода и отношение к компании в целом. Обиженный сотрудник может стать ценным кадром в рядах конкурирующих предприятий;
• получив необходимые сведения, следует просчитать вероятность утечки важных данных и постараться устранить проблему.

На что стоит обратить внимание:

Конкурент может получить важные сведения несколькими способами: на выставках, по разговорам сотрудников, на собеседованиях. Следует заблаговременно проводить разъяснительные беседы по неразглашению коммерческой информации. А именно, подписать с сотрудником соответствующее соглашение о коммерческой тайне, проинструктировать об ответственности за ее нарушение.

Поспособствовать утечке данных может и использование бумажного документооборота. Рекомендуется установить специализированные программы для мониторинга проводимых операций на офисной технике. К примеру, в таком случае проверить, как часто копировали тот или иной документ, кто осуществлял операцию, на какой адрес был отправлен документ, не составит особого труда. Но к утечке данных могут привести не только осознанные действия сотрудников, желающих извлечь выгоду или просто нанести ущерб. Существует множество примеров элементарной небрежности. Поэтому стоит позаботиться об утилизации любых ненужных бумажных носителей.  Такой безобидный на первый взгляд мусор в руках конкурента способен раскрыть сведения о ваших любимых клиентах, финансовом состоянии компании и др.

Сохранить компанию помогут следующие профилактические меры:

Специалисты по IT-безопасности совместно с HR-отделом должны разработать специальный регламент, фиксирующий порядок совместных действий с момента открытия вакансии до увольнения сотрудника. Как это работает? Другими словами, данный регламент устанавливает уровень прав доступа сотрудника, который по запросу в дальнейшем может расширяться или сокращаться. Также ведется учет матрицы прав доступа для каждого сотрудника. Как правило, специалист по IT-безопасности создает матрицу в обычной таблице Excel, где представлен список сотрудников и объекты прав доступа.

Итак, в случае ухода сотрудника должны быть разработаны два сценария, один из которых предусматривает порядок действий по защите информации в случае, если сотрудник покидает компанию добровольно, и в случае более негативного сценария, когда возможны диверсии.

Сценарий № 1

Когда нет явного конфликта интересов, а компания и сотрудник готовы расстаться при обоюдном согласии, необходимо ввести более тщательный мониторинг за действиями сотрудника на рабочем месте в период его отработки (как правило, 14 дней). В это время ответственный за корпоративную безопасность изучает логи на компьютере коллеги, планирующего покинуть компанию. Существует огромное разнообразие программных обеспечений, призванных помочь администратору в мониторинге рабочей сети организации.

Специалисты обычно рекомендует при установке подобных ПО задуматься о централизованной системе: доступ к истории операций пользователей должен быть по возможности у одного ответственного лица, уполномоченного обеспечивать информационную безопасность. Это позволит избежать спорных моментов делегирования обязанностей между сотрудниками отдела IT-безопасности. Рекомендуется уделить особое внимание хранению архивов почты и иных документов. Так, при увольнении даже самый лояльный сотрудник может спокойно подчистить свою почту и удалить важные для компании документы.

Сценарий № 2

В данном случае разрабатывается план немедленного реагирования, если возникает конфликтная ситуация при увольнении сотрудника. Администратор должен перекрыть все каналы доступа к рабочей станции и корпоративной информации, чтобы избежать возможной мести со стороны сотрудника. В этом случае матрица прав доступа станет незаменимым помощником администратору.

Таким образом, для предотвращения утечки данных при расставании с сотрудником необходимо провести комплексную работу: установление режима коммерческой тайны, полный контроль за действиями сотрудниками на рабочем месте и хранение архивов пользователя.

Что касается применения более сложных и высокотехнологичных систем по предотвращению утечки данных, то нельзя не упомянуть и знаменитые DLP-системы.

DLP-система и ее функции

DLP-система представляет собой способ защиты от утечки данных, позволяющий следить за перемещением информации и предотвращать ее передачу за пределы компании. Данная система осуществляет полный контроль действий сотрудников, в том числе общение по социальным сетям, почте, чатам и т.д. DLP-система позволяет минимизировать риски утечки информации, защитить предприятие от финансовых потерь. Метод безупречно выполняет ряд задач, к которым относятся:

• наблюдение за передачей информации через Интернет, путем сохранения данных на внешние носители (диски, флешки и т.д.);
• предотвращение отправки важных данных, копирования информации и создания скрытых файлов;
• осуществление контроля жизненного цикла и перемещения ценной информации;
• предохранение важных данных от несанкционированной печати;
• исследования серверов на наличие конфиденциальной информации.

Система не только способствует сохранению данных на территории компании, но и повышает ответственность и внимательность сотрудников. Представленный подход позволяет сохранить безупречную репутацию предприятия и персональную информацию в пределах компании.  Но интеграция такой системы – очень дорогостоящий процесс, что является, пожалуй, ее главным минусом.  Более подробно о DLP-системах мы поговорим в следующих сериях статей, посвященных теме информационной безопасности.

Не стоит забывать, что даже такие комплексные технологии не смогут гарантировать 100% безопасность. К примеру, сотрудник способен воспользоваться личным мобильным телефоном для снятия фото или видео данных с экрана монитора: ни одна система не сможет определить такую утечку, если телефон также не участвует в проверке. Именно поэтому на многих режимных объектах требуется оставлять в специальной зоне хранения мобильные телефоны и другие гаджеты при входе в рабочую зону.

 Утечка информации и ответные действия

Если ценные сведения просочились к конкурентам, необходимо принять вызов и быть готовым к конкурентному противостоянию. Важно сохранять спокойствие и быстроту реакции.

Первым делом следует собрать сотрудников и изменить концепцию. Изменения должны быть более выгодными и привлекательными, по сравнению с предыдущим планом. Например, разыгрывание призов можно заменить дегустацией или раздачей бесплатных пробников продукции. Переподготовка занимает много времени, но ответные действия должны последовать как можно скорее, что убедит соперника в конкурентоспособности предприятия. Быстрое реагирование позволяет не только привлечь потенциальных клиентов, но и раскрыть такие качества команды, как уверенность, квалифицированность, умение работать в стрессовых ситуациях.

На сегодняшний день ущерб от утечки информации вырос на 50 %, особенно в таких сферах деятельности, как медицина и финансы. Ежегодно вероятность того, что компания станет жертвой утечки данных, растет, что связано с нестабильными технологиями и неподготовленностью сотрудников. Халатное отношение с конфиденциальной информацией может навредить большому количеству людей, как в моральном, так и в финансовом плане. Своевременно проведенные профилактические действия могут стать решающим этапом для последующего развития компании.