Россия
В случае обыска просьба не спрашивать: «Опять?» Это создаёт неправильное впечатление о компании
Как говорится, мем смешной, а ситуация страшная. В бизнесе есть вещи, к которым тоже не стоит привыкать.
Например, к тому, что:
💣 у бывшего сотрудника всё ещё работает доступ к CRM;
💣 клиентская база хранится в общей папке, ссылку на которую пересылают в мессенджерах;
💣 подрядчик видит больше данных, чем нужно для его работы;
💣 пароли передают в рабочем чате;
💣 договор с исполнителем подписан, а условия обработки персональных данных никто не проверил;
💣 резервные копии существуют только в теории.
Обычно всё это объясняют одинаково: «Так удобнее», «Мы давно так работаем», «У нас все свои».
Но безопасность данных — не вопрос доверия к конкретному человеку. Это вопрос того, как устроены процессы в компании.
Даже надёжный сотрудник может случайно отправить файл не тому адресату. Подрядчик может сохранить данные после завершения проекта. Уволившийся менеджер может продолжать пользоваться доступом, о котором просто забыли.
И тогда проблема возникает не потому, что кто-то обязательно хотел навредить. А потому, что в компании не было понятных правил и контроля.
Что стоит проверить уже сейчас:
1. Доступы. Кто видит клиентскую базу, финансовые документы и другие чувствительные сведения? Нужен ли каждому такой объём доступа?
2. Увольнение и завершение договоров. Кто отключает учётные записи сотрудников и подрядчиков? Есть ли процедура, а не надежда, что кто-нибудь вспомнит?
3. Подрядчики. Какие данные они получают, для каких целей и на каких условиях? Если речь о персональных данных, оформлены ли необходимые документы на их обработку?
4. Документы и правила. Определено ли, какая информация конфиденциальна, как с ней можно работать и что делать при утечке?
5. Доказательства. Можно ли установить, кто получил доступ к информации и что произошло, если возникнет инцидент?
И важный аспект: наличие NDA или положения о конфиденциальности само по себе не защищает данные.
Документы должны соответствовать реальным процессам, а технические и организационные меры — действительно работать.
Как адвокат, работающий с интеллектуальной собственностью и цифровым правом, я считаю, что безопасность данных нужно рассматривать не как формальность для юристов и IT-специалистов, а как часть управления бизнесом.
А когда много лет назад я работала в большой группе компаний и занималась недвижимостью, то мы прекрасно знали, куда девать бумажные документы, что и кому говорить в случае обыска или маски-шоу, и это была значительная часть тех бизнес-процессов.
Вывод:
Выделите один рабочий день на аудит доступов к CRM, корпоративной почте, облачным хранилищам и другим системам с данными компании. Назначьте ответственного, проверьте доступы действующих сотрудников и подрядчиков, отключите лишние, а порядок выдачи и отзыва доступов закрепите письменно.
Результат должен быть измеримым: вы знаете, кто имеет доступ к критичным данным, зачем он ему нужен и кто отвечает за своевременное закрытие доступа.
Это не гарантирует, что инцидентов никогда не будет. Но существенно снижает риск ситуации, в которой компания даже не понимает, кто и когда получил её данные. Чтобы однажды не пришлось объяснять, почему у бывшего сотрудника до сих пор есть доступ к вашей клиентской базе.
И уж точно не пришлось добавлять к этой истории табличку «Опять?».
Как говорится, мем смешной, а ситуация страшная. В бизнесе есть вещи, к которым тоже не стоит привыкать.
Например, к тому, что:
💣 у бывшего сотрудника всё ещё работает доступ к CRM;
💣 клиентская база хранится в общей папке, ссылку на которую пересылают в мессенджерах;
💣 подрядчик видит больше данных, чем нужно для его работы;
💣 пароли передают в рабочем чате;
💣 договор с исполнителем подписан, а условия обработки персональных данных никто не проверил;
💣 резервные копии существуют только в теории.
Обычно всё это объясняют одинаково: «Так удобнее», «Мы давно так работаем», «У нас все свои».
Но безопасность данных — не вопрос доверия к конкретному человеку. Это вопрос того, как устроены процессы в компании.
Даже надёжный сотрудник может случайно отправить файл не тому адресату. Подрядчик может сохранить данные после завершения проекта. Уволившийся менеджер может продолжать пользоваться доступом, о котором просто забыли.
И тогда проблема возникает не потому, что кто-то обязательно хотел навредить. А потому, что в компании не было понятных правил и контроля.
Что стоит проверить уже сейчас:
1. Доступы. Кто видит клиентскую базу, финансовые документы и другие чувствительные сведения? Нужен ли каждому такой объём доступа?
2. Увольнение и завершение договоров. Кто отключает учётные записи сотрудников и подрядчиков? Есть ли процедура, а не надежда, что кто-нибудь вспомнит?
3. Подрядчики. Какие данные они получают, для каких целей и на каких условиях? Если речь о персональных данных, оформлены ли необходимые документы на их обработку?
4. Документы и правила. Определено ли, какая информация конфиденциальна, как с ней можно работать и что делать при утечке?
5. Доказательства. Можно ли установить, кто получил доступ к информации и что произошло, если возникнет инцидент?
И важный аспект: наличие NDA или положения о конфиденциальности само по себе не защищает данные.
Документы должны соответствовать реальным процессам, а технические и организационные меры — действительно работать.
Как адвокат, работающий с интеллектуальной собственностью и цифровым правом, я считаю, что безопасность данных нужно рассматривать не как формальность для юристов и IT-специалистов, а как часть управления бизнесом.
А когда много лет назад я работала в большой группе компаний и занималась недвижимостью, то мы прекрасно знали, куда девать бумажные документы, что и кому говорить в случае обыска или маски-шоу, и это была значительная часть тех бизнес-процессов.
Вывод:
Выделите один рабочий день на аудит доступов к CRM, корпоративной почте, облачным хранилищам и другим системам с данными компании. Назначьте ответственного, проверьте доступы действующих сотрудников и подрядчиков, отключите лишние, а порядок выдачи и отзыва доступов закрепите письменно.
Результат должен быть измеримым: вы знаете, кто имеет доступ к критичным данным, зачем он ему нужен и кто отвечает за своевременное закрытие доступа.
Это не гарантирует, что инцидентов никогда не будет. Но существенно снижает риск ситуации, в которой компания даже не понимает, кто и когда получил её данные. Чтобы однажды не пришлось объяснять, почему у бывшего сотрудника до сих пор есть доступ к вашей клиентской базе.
И уж точно не пришлось добавлять к этой истории табличку «Опять?».
Просмотры: 1
