07 февраля 2013
Проблема утечки информации при ротации кадров
Часть 2
В первой части нами были рассмотрены ситуации «полюбовного» расставания сотрудников со своей рабочей Alma Mater. Однако картина мира была бы не полной, если бы не был рассмотрен более распространённый сценарий: увольнение сотрудника по инициативе компании. Этим и займёмся.
Обратимся к исследованию, проведённому Ponemon Institute в 2009 году. Согласно результатам опроса почти 60% сокращенных или уволившихся в 2008 году в США работников заявили, что перед своим уходом воровали конфиденциальную информацию. Примечательно, что 61% признавшихся (то бишь, 36% от общего количества) в качестве основного мотива назвали чувство неприязни по отношению к бывшему работодателю.
Конечно, формировать чувство лояльности у коллектива – задача HR-службы (в крайнем случае, PR-службы), но никак не безопасника. Тем не менее, вне зависимости от качества их работы, увольняемый должен быть в зоне особого контроля службы безопасности. Нетрудно догадаться, что увольнение сотрудника по инициативе компании изначально предполагает конфликт, а говорить о дальнейшей лояльности человека к организации и вовсе неуместно. Кроме того, даже плохого работника не так просто уволить. Перечень оснований чётко прописан в соответствующих статьях законодательства, но всё равно любую причину ещё необходимо доказать и обосновать. Но допустим, что все юридические формальности удалось соблюсти, а значит, самое время задуматься о безопасности. Порядок действий, в принципе, схож со случаем «полюбовного расставания», хоть и немного расширен. Итак, увольняя сотрудника необходимо:
- Определить известный работнику объём информации, и в первую очередь конфиденциальной, к которой он имел доступ. Отдельно следует проверить не была ли она испорчена\уничтожена сотрудником в качестве «дембельского аккорда».
- На основании полученных данных провести ревизию носителей информации и оборудования, к которому работник имел доступ, а также провести беседу на предмет соглашения о неразглашении.
- Определить возможные риски, связанные с разглашением информации и минимизировать их.
- Определить круг коллег, с которыми увольняемый водил дружеские отношения.
- Провести профилактическую беседу с персоналом о недопустимости обсуждения рабочих вопросов с бывшими коллегами.
- Поставить в известность всех сотрудников компании, а также клиентов, с которыми работал увольняемый, о том, что он больше не является представителем фирмы.
- После увольнения организовать мониторинг Сети на предмет появления порочащих отзывов о компании и конфиденциальной информации.
Вот так выглядит теория. И хоть практического смысла в ней больше, чем в обычных «советах», ещё со времён преподавания физики я усвоил, что всегда лучше приводить практические примеры. А вот и они.
Практический подход
Начнём по порядку. Определить известный работнику объём информации явно и точно мы не сможем никогда, так как полная достоверность была бы возможно, если бы мы поставили за спиной сотрудника «специально обученного человека», который бы следил за всеми его действиями. Пример, конечно, утрирован, но суть отражает. Косвенно же выяснить, к чему имел доступ работник, можно различными путями. Во-первых, можно спросить у него самого. Во-вторых, аналогичный вопрос задать друзьям-коллегам. В-третьих, если сотрудник работал в CRM, полезно поднять те карточки, к которым он имел доступ и просмотреть историю общения с клиентами (при условии, что он добросовестно относился к своим обязанностям и вовремя эти карточки заполнял). В-четвёртых, выявить список документов, с которыми велась работа, помогут логи (опять-таки, если они велись). Наконец, в-пятых, можно воспользоваться специализированными средствами. В качестве примера возьмём FileSniffer (программный продукт, входящий в состав «Контура информационной безопасности SearchInform»). Принцип действия прост: фиксируются все действия (создание, удаление, копирование, переименование и т.д.), которые производились с файлами.
Однако, первичная выдача, отображённая на рисунке выше, вызывает больше вопросов, чем ответов. И главный вопрос: «как с этим работать?». Представить информацию в удобоваримом виде призван интеллектуальный блок фильтрации, позволяющий перегруппировывать информацию с использованием условий и подусловий. Ниже приведён пример перегруппировки: информация отсортирована сперва по учётным записям пользователей в AD, а затем по действию с файлом (удаление).
Очевидно, что выбрав определённый период, можно узнать все файлы, к которым имел доступ пользователь и все действия, которые он с ними совершал.
Для контроля подключаемых внешних устройств предусмотрен отдельный продукт DeviceSniffer. В контексте нашей задачи по определению перечня доступной сотруднику информации, рассмотрим лишь одну из его функций: Журнал аудита и теневого копирования.
В нём фиксируется время подключения устройства, выполненные действия, учётная запись, имя компьютера, а также имя файла. В принципе, DeviceSniffer подходит и для установления перечня носителей информации и оборудования, которое использовал сотрудник.
Далее рассмотрим задачу по установлению круга общения увольняемого сотрудника. Принципиально разделение на клиентов и коллег. Общение с клиентами можно установить на основании всё той же активности в CRM, а также проанализировав корпоративный почтовый ящик сотрудника. Как-никак, общение с клиентами формализовано и легко выявляется. А вот с коллегами немного сложнее. Здесь мы снова упираемся в человеческий фактор. Круг товарищей можно определить, опросив начальника, рядом сидящих сотрудников и т.п. Тем не менее, не стоит забывать, что сегодня общение друзей всё чаще переносится в виртуальный мир: социальные сети, «аська», скайп и т.п. Этот факт играет на руку безопаснику, так как информацию, которая проходит по сети компании, можно контролировать.
Сразу хочу дать ответ на тему этичности подхода. Всё в рамках закона и этично, так как в данной ситуации мы не читаем ничьей переписки, а лишь устанавливаем факт таковой. Речь идёт об одном из отчётов, генерируемых в программном продукте ReportCenter (входит в состав «КИБ SearchInform). Отчёт по связям пользователей представляет собой обычное отображение статистики с помощью графа. Тем не менее, он может быть исключительно полезен, так как в голове, просто из анализа информации, построить картину связей коллектива невозможно.
Фиолетовым подсвечиваются внешние контакты, зелёным – корпоративные. Цвет нитей связей зависит от количества сообщений и по достижении пороговых величин (100, 500, 1000, …, N сообщений) изменяется. Также на каждой нити в виде пиктограмм отображаются каналы связи, через которые происходило общение. При наведении курсора мыши появляется подсказка с точным количеством сообщений, переданных через этот канал.
В том случае, когда сотрудник уже уволен, с помощью «отчёта по связям пользователя» можно контролировать его общение с коллегами. Так как предварительно круг друзей уже был установлен, необходимо формировать отчёт только по их связям и искать общие внешние контакты. К примеру, на приведённом выше рисунке общий внешний контакт имеется у Поляка Фёдора и Мамаева Антона.
Наконец, как было анонсировано в первой части, рассмотрим стадию post-периода. После того, как сотрудника уволили, имеет смысл провести мониторинг Сети на предмет появления оскорбительных высказываний, порочащей компанию информации и т.п. Изначально эта задача больше для PR-службы и маркетологов, так как подразумевает отслеживание отзывов на бренд фирмы. Однако уволенный работник может не только поливать грязью бывшего работодателя, но и начать разглашать конфиденциальную информацию вопреки всем подписанным «бумажкам», просто из чувства мести (плюс ко всему, есть уверенность, что в интернете «все мы анонимы»).
Таким образом, организовать мониторинг Сети можно с помощью различных вспомогательных сервисов, коих на просторах оной сегодня достаточно. В зависимости от степени автоматизации варьируется, соответственно, и стоимость (IQBuzz, Babkee, YouScan и т.д.). Рассмотрим один из бесплатных полуавтоматизированных сервисов. В Google Alerts на автоматику ложится работа по сбору информации. Анализ же по-прежнему остаётся за человеком. Каждый запрос содержит поля индивидуальной настройки, цель которых – по возможности снизить количество ложных срабатываний. Доставка результатов возможна как на определённый ящик пользователя, так и в фид (к примеру, в Google Reader).
Плюсом системы является возможность предпросмотра результатов составленного запроса. Также допускается использование «языка запросов» для снижения ложных срабатываний. К примеру, если «в лоб» искать «слив информации», то в выдаче, особенно в летнюю пору года, будут попадаться предложения о продаже слив. Запрос «слив информации -купить» позволит избежать лишнего «мусора». Аналогично можно уточнять запросы конкретными доменными зонами или сайтами (companyname site:otzyvov.net).
Итого
Люди – это самый ценный ресурс компании. Поэтому увольнение сотрудника – всегда негативный процесс. Тем не менее, используя определённые способы, можно свести к минимуму последствия расставания. Выбор же способа напрямую зависит от ценности (или угрозы), которую может представлять работник.
