Алексей Гладкий - Обман и провокации в малом и среднем бизнесе

Среди наиболее известных результатов «деятельности» инсайдеров за последние несколько лет (особенно «щедрыми» на подобные события оказались 2005 и 2006 годы) можно отметить следующие:

□ появление на «черном» рынке базы данных Центробанка Российской Федерации с платежами, которые были совершены в 2003–2004 годах;

□ появление на «черном» рынке базы данных компании «НИКойл», которая вела реестры акционеров МТС, «ЛУКойла» и иных известных компаний федерального значения;

□ появление на «черном» рынке базы данных Министерства по налогам и сборам РФ, где содержались сведения о доходах жителей Москвы за 2004 год;

□ появление на «черном» рынке базы данных, содержащей сведения о российских получателях потребительских кредитов, в которой имелось более 700 000 записей.

Можно привести еще немало подобных примеров, но и этого достаточно, чтобы понять: инсайдерство в современной России процветает и чувствует себя вольготно.

Среди наиболее вредоносных действий, совершаемых инсайдерами, многие коммерсанты и владельцы бизнеса отмечают вынос документов и (или) баз данных, рассекречивание списка клиентов и деловых партнеров компании, а также иной конфиденциальной информации. Как ни странно, немногие отмечают такую серьезную угрозу со стороны инсайдеров, как преднамеренное уничтожение либо искажение информации — а это иногда чревато более существенными неприятностями, чем простое разглашение секретных сведений.

Характерной особенностью инсайдеров является то, что они могут рассекретить конфиденциальные данные либо исказить информацию не по злому умыслу и не с целью личной наживы, а просто по халатности или по ошибке, иначе говоря — непреднамеренно. Подобное может возникать по причине пресловутого человеческого фактора, перед которым, к сожалению, бессильны самые современные меры безопасности: как известно, стопроцентной «защиты от дурака» в природе не существует.

По этой же причине очень сложно бороться с таким негативным явлением, как утечка данных. Можно сколь угодно ограничивать доступ людей к секретным сведениям, но всегда останутся каналы для «сливания» данных. Вот несколько наиболее характерных из них, с которыми не только трудно бороться — они зачастую просто выпадают из зоны внимания тех, кто отвечает за сохранность информации:

□ секретные сведения можно прочитать на экране монитора у того, кто имеет к ним доступ и слишком халатно относится к защите этих данных;

□ человек может просто забыть важнейший документ в принтере, в ксероксе, оставить без присмотра свой рабочий стол и компьютер;

□ человек может наговорить секретную информацию на телефонный диктофон;

□ при необходимости можно запомнить содержимое случайно увиденного важного документа.

Для наиболее эффективной борьбы с утечкой информации необходимо реализовать систему самоконтроля инсайдеров, чтобы они непреднамеренно не рассекретили важные сведения и не позволили получить к ним доступ посторонних. На руководящие и ответственные должности необходимо назначать надежных, серьезных, морально устойчивых сотрудников (банально звучит, но это так). Причем периодически следует обращать внимание этих работников на то, что далеко не вся информация, к которой они в силу специфики служебных обязанностей имеют доступ, предназначена для разглашения.

Чтобы предотвратить опасность, которая может исходить от инсайдеров, или по крайней мере вовремя разоблачить того, кто виновен в утере важной информации или разглашении секретных сведений, необходимо соблюдать определенные меры безопасности. В частности, компьютерный доступ к конфиденциальным данным (финансовая, бухгалтерская и управленческая отчетность, списки клиентов, сведения о заработной плате сотрудников и др.) должен быть строго персонифицированным. Посторонним вообще следует закрыть доступ к этой информации (офис-менеджеру совсем не нужно знать, какие активы числятся на балансе предприятия), а всем остальным он будет открываться только после полной авторизации. Это позволит узнать, кто и когда работал с данными и какие действия при этом совершал (чтение, редактирование, копирование…).

Эффективным средством защиты является аппаратная аутентификация. Суть ее заключается в том, что для доступа к секретным данным сотрудник должен использовать аппаратное средство контроля (смарт-карта, аппаратный ключ и т. п.).

Надежно защитить конфиденциальную информацию позволяет постоянный аудит всех действий, совершаемых пользователями в локальной сети. Для этого можно использовать специальные системы, разработкой которых занимаются многие компании. Такая система обеспечит постоянный мониторинг состояния и защиту локальной сети как внутри фирмы, так и от внешних воздействий (проникновение в сеть извне, запись или редактирование данных и т. п.).

Защитить секретные сведения, к которым имеют доступ инсайдеры, от посторонних можно путем их шифрования — это один из наиболее надежных способов. Как известно, многие руководители высшего звена хранят множество ценных сведений в собственных ноутбуках, которые являются объектом повышенного внимания со стороны злоумышленников. Их просто крадут, причем не ради компьютера, а с целью получения доступа к хранящимся в нем данным. Поэтому все, что инсайдер хранит в своем ноутбуке, обязательно должно быть зашифровано.

Поскольку экономическая разведка существует и успешно развивается, логично предположить, что должна существовать и экономическая контрразведка, направленная на борьбу с экономическими разведчиками и промышленными шпионами, а также негативными явлениями и тенденциями, имеющими место быть на предприятии и в той или иной степени угрожающими его интересам. Идеологическая основа системы контрразведки базируется на том, что, поскольку предприятие имеет собственную службу экономической разведки, конкуренты наверняка имеют аналогичные службы, и им необходимо противостоять. Это и является основной задачей экономической контрразведки.

Если же говорить более подробно, то главные цели экономической контрразведки можно сформулировать следующим образом.

□ Предупреждение, своевременное распознавание и жесткое пресечение попыток вербовки конкурентами агентов из числа сотрудников собственного предприятия.

□ Пресечение попыток любого сотрудничества работников предприятия, выходящего за рамки должностных обязанностей, с деловыми партнерами, контрагентами и т. п., а также с представителями криминальных структур.

□ Пресечение попыток ведения на предприятии разведывательной и иной подобной деятельности со стороны государственных органов. Если законными способами это невозможно — введение их в заблуждение (например, если известно, что такой-то представитель государственного органа ведет деструктивную или разведывательную деятельность — щедро предоставлять ему дезинформацию).