Как защитить компанию от утечки финансовой и другой секретной информации

1212

В нашем распоряжении оказались результаты исследования об утечке финансовой и другой конфиденциальной информации компаний. Без преувеличения почти в половине случаев «секреты фирмы» становятся чужим достоянием совершенно случайно. Мы провели собственное расследование и выяснили слабые места многих компаний. А также способы, как нейтрализовать утечку.

Какую информацию надо защищать в первую очередь

Утечка финансовых сведений может не только подпортить деловую репутацию компании, но и повлечь за собой серьезные денежные потери (убытки, затраты на устранение последствий разглашения, иски, проверки, потерю клиентов и т. п.). К примеру, известны случаи, когда конкуренты подкупили сотрудников бухгалтерии компании и через них получили данные ее «черной» бухгалтерии. После чего в компанию приходила выездная проверка. Инспекторам, которым конкурент передал компромат, было нетрудно найти нарушения, поскольку они знали, что и где искать. «Белая» бухгалтерия может быть не менее интересна посторонним лицам, если кто-то захочет переманить ценных сотрудников.

Более того, утечка подобной информации может поставить под подозрение главного бухгалтера или финансового директора. В интернете есть сайты, где выложены данные сотрудников различных компаний: Ф. И. О., дата рождения, место работы, домашний адрес, ИНН, размер зарплаты (см., к примеру, http://dobrus.info). Первое, что может прийти в голову руководству компании, — бухгалтерия торгует информацией. Этому есть опровержение: данные сотрудников бухгалтерия сообщает в различные государственные учреждения в соответствии с законом. Более того, сотрудники сами могут сообщить свои данные в такие органы, к примеру, для получения материнского капитала, жилищных субсидий и т. д. А бюджетные заведения, как известно, хуже всего защищены от утечек. Конечно, за некоторыми исключениями.

Другими часто выходящими за пределы компании сведениями, по словам специалистов в области защиты информации и расследования утечек, считаются технологические разработки, ноу-хау, секреты производства, клиентские базы данных. Поэтому всю финансовую информацию надо подвергать серьезной защите в первую очередь.

Как утекает информация

Источников, через которые информация уходит из компании, предостаточно: различные мессенджеры (Skype, ICQ и пр.), электронная почта, открытые источники (социальные сети, форумы), бумага, флешки, диски, резервные копии. Подробно о них ниже. Причем и в случае со случайными утечками, и в случае с умышленным сливом источники одни и те же (см. диаграмму).

Кстати, для получения секретной информации существует чуть ли не целая отрасль — незаконная и конкурентная разведка. Первая подразумевает шпионаж: те, кому нужны сведения, вербуют сотрудников компании либо внедряют в штат своего человека. Агент может передавать сведения сам или установить «жучок». Конкурентная разведка действует открыто — через социальные сети, собеседования, открытые источники информации.

Как обнаружить инсайдера

Если секретная информация оказалась в руках посторонних, не стоит сразу всех вокруг подозревать в предательстве. Возможно, компания сама допустила открытое распространение сведений, например, включив их в рекламу. Более того, повторимся, почти половина конфиденциальных данных попадает в открытый доступ случайно. Если ничего такого не было, тогда стоит присмотреться к этому. Какие признаки могут навести на мысль о том, что рядом идет торговля «секретами фирмы»?

Во-первых, от компании уходят клиенты — вероятнее всего конкурентам кто-то слил клиентскую базу.

Во-вторых, очевидная перемена в поведении некоторых сотрудников: внезапное улучшение материального положения, снижение заинтересованности в работе, активизировавшаяся переписка в интернете, частая пересылка графических или запароленных архивированных файлов.

В-третьих, «кучкование». Так, в одной компании 30 из 40 сотрудников, которые занимались заключением договоров, сговорившись, зарегистрировали собственную организацию и фактически работали на нее. Сотрудники предлагали клиентам, с которыми напрямую общались, те же услуги, но немного дешевле и перезаключали с ними договоры уже от имени собственной организации. Другой пример — несколько сотрудников задумали одновременный переход к конкуренту. Компания перекрыла им доступ к информации, которую они могли бы унести с собой. После этого конкурент отказался брать к себе этих сотрудников.

В-четвертых, сотрудник обижен на руководство. Слить информацию может в отместку, чаще всего в налоговые органы и конкурентам.

И наконец, о шпионе может доложить кто-то из сотрудников. При этом не исключено, что он сам им и является и «стучит», чтобы отвести от себя подозрения.

Как защитить компанию от утечки финансовой и другой секретной информации

Бумажные документы

С помощью бумаги конфиденциальная информация становится доступной другим чаще всего (см. диаграмму). Причем независимо от того, сливает ее кто-то умышленно или утечка происходит случайно. Объясняется такая статистика довольно просто. Продавать «секреты» на бумаге безопаснее, чем в электронном виде, так как сложно доказать, от кого они получены (если, конечно, нет записи). А высокий процент случайной потери секретности связан исключительно с человеческим фактором: оставил документы на столе, забыл на принтере, потерял папку с документами, украли сумку с ними и т. п.

Компьютеры

Компьютеры (имеются в виду стационарные) — второй по распространенности канал, через который инсайдеры сливают на сторону конфиденциальную информацию. Но, по сути, компьютер даже больше не канал передачи секретных данных, а канал их получения. Через него инсайдер имеет доступ к корпоративным сведениям, хранящимся на сервере компании, может скачать их на съемные носители или отправить по электронной почте. Как правило, инсайдеры редко занимаются взломом недоступной им информации и копируют только те данные, которые знают, с которыми работают и доступ к которым им разрешен.

Интернет

Мало кто из инсайдеров стремится использовать интернет для слива секретной информации. В три раза чаще (в 22 процентах случаев) она становится общедоступной с помощью интернета лишь по чистой случайности. К примеру, случайная утечка может произойти, когда финансовые сведения содержатся в программах компании, работающих через интернет, а вход в них имеет примитивные пароли. Таковыми принято считать цифровые или буквенные пароли по ходу клавиатуры: 123456, 123123, 12345678, qwerty, а также abc123, dragon, 111111, iloveyou, sunshine, passw0rd, superman, football и др.

Электронная почта

Утечка через «электронку» — редкий случай, так как этот канал легко контролировать, хотя сотрудники считают, что пересылать секретные данные безопаснее с личной, а не с корпоративной почты. Это заблуждение: установить, чей адрес, легко по учетным записям. Также «электронка» помогает проникнуть в тайны компании с помощью зараженных вирусами писем. Шпионы изучают интересы сотрудника (в соцсетях и т. п.), затем отправляют ему такое письмо, которое он наверняка откроет, допустим коллекционеру плюшевых мишек сообщение с темой «Прикольный мишка». Так на компьютер попадают трояны. А через них легко получить доступ к Клиент-банку.

Смартфоны, ноутбуки

Смартфоны и ноутбуки тоже не самый распространенный канал утечки секретной информации, но часто используется менеджерами высшего звена. Ситуация: идет конфиденциальное совещание. У присутствующих с собой смартфоны или, что чаще всего, ноутбуки с материалами совещания. Присутствующий инсайдер активирует встроенный микрофон и сидит себе с невинным видом. А потом все, о чем говорилось на закрытом совещании, сливается во внешний мир. Иногда даже специально инсценируется похищение ноутбуков с конфиденциальной информацией, и инсайдер в таких случаях остается вроде как ни при чем.

Съемные носители и резервные копии

Флешки, переносные жесткие диски в силу своего удобства тоже используются для передачи информации. При этом инсайдер может легко сослаться на их обычную потерю. Иногда информация уходит по оплошности. К примеру, сотрудник взял на флешке отчеты с финансовыми показателями домой доработать, а дома незащищенное интернет-соединение. Что касается резервных копий, то хранить в них данные можно в интернете (пример — iCloud). Или на стримере — это что-то вроде флешки, но размером с магнитофон. Хоть это и массивный предмет, статистика показывает, что и он иногда «случайно» теряется.

Другие каналы утечки

Сотрудники могут случайно разгласить сведения в ситуациях, в которых это кажется невозможным. Пример — фальшивые собеседования. Компании специально размещают вакансии с невероятно выгодными условиями, чтобы заманить сотрудника конкурента на встречу. На ней спрашивают о работе, новых проектах и т. д. Сотрудник сидит и не подразумевает, что с него считывают «секреты» работодателя. Еще пример — конкуренты прямо спрашивают контрагента организации об условиях сотрудничества и предлагают лучшие. Поэтому, возможно, с ключевыми клиентами стоит договариваться о сохранении условий договора в тайне.

Действенные способы предупредить утечку

Многие компании запрещают использование мессенджеров на работе, закрывают USB-входы компьютеров, но некоторые все равно находят возможность продать информацию. Поэтому, если «секреты» слишком ценны, стоит предпринять целый ряд мер, которые существенно снизят риск утечек.

Трудовой договор. В нем можно прямо прописать, что работодатель имеет полный доступ к информации на компьютерах работников, а в случае разглашения коммерческой тайны будет требовать возмещения убытков. Эти меры являются мощным сдерживающим психологическим фактором.

Высокая зарплата. Боязнь ее потерять скорее всего отобьет у сотрудника желание предавать свою компанию.

Слежка и прослушка. Существуют программы, которые контролируют все, что происходит на компьютере. Если сотрудники знают, что она у них установлена, у них вряд ли появится желание передавать секретную информацию с рабочего компьютера. Еще устанавливают свои «жучки» в кабинетах или переговорках, а «жучки» шпионов блокируют шумогенераторами, которые создают помехи и глушат сигнал.

Тренинг. Устраивают провокацию: сотрудникам рассылают письма с вирусами, просят по телефону выдать конфиденциальные сведения и т. п. В результате теста выясняется, как персонал реагирует на такие действия, и разрабатываются меры защиты.

DLP-система (Data Leak Prevention). Она отслеживает пересылку и распечатку файлов, внезапные всплески интернет-общения, посещение нехарактерных для работы сайтов и т. д. Также проводит лингвистический анализ переписки и документов и по ключевым словам устанавливает опасность утечки.

Благодарим за содействие в подготовке материала сотрудников компании Group-IB, компании SearchInform, группы компаний InfoWatch

Есть вопрос? Наши эксперты помогут за 24 часа! Получить ответ Новое



Ваша персональная подборка

    Подписка на статьи

    Чтобы не пропустить ни одной важной или интересной статьи, подпишитесь на рассылку. Это бесплатно.

    Рекомендации по теме

    Школа финансового руководителя

    Самое выгодное предложение

    Проверь свои знания и приобрети новые

    Записаться

    Самое выгодное предложение

    Самое выгодное предложение

    Воспользуйтесь самым выгодным предложением на подписку и станьте читателем уже сейчас

    Живое общение с редакцией

    А еще...

    Вопрос в редакцию

    Ответы на самые интересные вопросы мы публикуем в газете.

    Вопрос чиновнику

    Горячие линии с чиновниками проходят еженедельно.

    Техподдержка

    Не работает сайт или сервисы? Не приходит газета? Пишите сюда!





    Топ-10 главных тем номера

    Как с 1 октября 2017 года оформлять счета-фактуры и вести книги по НДС

    Бухгалтерский справочник по исправлению ошибок в документах

    Как работать с онлайн-кассой после 1 июля 2017 года

    Как избежать случайных ошибок в расчете отпускных

    Как сверить налоговую нагрузку компании с безопасными показателями

    Готовые ответы на требования инспекторов по новой отчетности

    Почему блокируют клиент-банк. Реальные основания и мифы

    Как заполнять платежные поручения по взносам: новые правила

    Как компаниям платить налоги друг за друга, чтобы деньги попали в бюджет

    Бухгалтерские секреты, которые каждый день упрощают работу коллег

    © 2007–2017 ООО «Актион управление и финансы»

    Редакция газеты: info@gazeta-unp.ru | Администрация сайта: online@gazeta-unp.ru
    Политика конфиденциальности
    Зарегистрировано Федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор). Свидетельство о регистрации ПИ № ФС77-62334 от 03.07.2015;
    Политика обработки персональных данных

    
    • Мы в соцсетях
    Сайт использует файлы cookie. Они позволяют узнавать вас и получать информацию о вашем пользовательском опыте. Это нужно, чтобы улучшать сайт. Если согласны, продолжайте пользоваться сайтом. Если нет – установите специальные настройки в браузере или обратитесь в техподдержку.

    Внимание!
    Вы читаете профессиональную статью для бухгалтера.
    Зарегистрируйтесь на сайте и продолжите чтение!

    Это бесплатно и займет 1 минуту.

    У меня есть пароль
    напомнить
    Пароль отправлен на почту
    Ввести
    Я тут впервые
    И получить доступ на сайт Займет минуту!
    Введите эл. почту или логин
    Неверный логин или пароль
    Неверный пароль
    Введите пароль
    ×
    Чтобы скачать документ, зарегистрируйтесь на сайте!

    Это бесплатно и займет всего 1 минуту.

    У меня есть пароль
    напомнить
    Пароль отправлен на почту
    Ввести
    Я тут впервые
    И получить доступ на сайт Займет минуту!
    Введите эл. почту или логин
    Неверный логин или пароль
    Неверный пароль
    Введите пароль