Содержание статьи:
Источники внутренней угрозы безопасности
Основные угрозы информационной безопасности
Введение
Среди сотрудников любой компании всегда есть недовольные своим статусом. Кто-то считает, что он работает больше, чем его оценивает руководство, кто-то считает, что достоин более высокого положения в иерархии компании, кто-то просто завидует своим руководителям или более «удачливым» сослуживцам.
Конечно, есть люди, преданные своей компании, дорожащие своим рабочим местом, однако такие качества человеческой натуры, как зависть, жадность, вредный характер, отсутствие порядочности, превратный взгляд на справедливость, никто не отменял.
Чем же чревато проявление этих нелицеприятных свойств человеческого характера для компании и работодателя? Какую внутреннюю угрозу вольно или невольно сотрудники представляют для своего предприятия? И, самое главное, как её предотвратить.
Источники внутренней угрозы безопасности. Кто ее создаёт.
Попробуем сначала классифицировать «недовольных» сотрудников:
- Те, кто считает, что им не доплачивают.
- Те, кто считает, что должен занимать более высокую должность.
- Те, кто считает, что его не уважают лично или не считаются с его мнением.
- Те, кто завидует благосостоянию работодателя.
- Те, кто просто привыкли, по свойствам своего характера, вредить, где это возможно.
- Те, кто недоволен работой в компании по какой-то другой причине.
- Те, кто собрался уволиться.
Такие работники составляют группу риска. Возможно, что они не станут намеренно вредить компании, и если будут искать новое место, то сделают это мирно. И таких случаев скорее всего будет большинство. Однако, по статистике, они в несколько раз чаще чем другие категории сотрудников, совершают действия, приносящие вред работодателю.
Основные угрозы информационной безопасности
Теперь выявим возможные типы вредоносных действий сотрудников с конкретными примерами из практики:
- Непроизвольный слив конфиденциальной информации в общий доступ по халатности.
Недобросовестный менеджер бюджетного предприятия из-за невнимательности, обусловленной халатным отношением к своим обязанностям, отправил список приобретаемого по конкурсу оборудования контрагентам с уже указанной бюджетной стоимостью, чем нарушил условия конкурса и свёл на нет его смысл. Инцидент был подтверждён и расследован в результате контроля переписки по электронной почте программой DLP, которую использовала служба безопасности предприятия. - Умышленный слив конфиденциальной информации конкурентам или (и) в общий доступ.
Сотрудник энергетической компании, имеющий «зуб» на руководство, после своего увольнения, выложил в общий доступ конфиденциальную информацию, которую успел скопировать на флешноситель ещё до увольнения. Компанией были немедленно приняты меры для предотвращения подобных инцидентов: приобретена и установлена компьютерная программа DLP. - Жалобы в контролирующие органы, например, в налоговую и трудовую инспекции.
В монтажной компании, специализирующейся на климатическом оборудовании из-за отсутствия заказов в зимний период, произошла задержка с выплатой заработной платы на один месяц. Сотрудник, который уже давно собирался уволиться и неоднократно писал анонимки на сайты типа антиджоб. ру, и подыскивал новую работу на сайтах трудоустройства, подал жалобу в трудовую инспекцию. Последовала немедленная проверка, которая немало «помотала» нервов руководителям. Инцидента могло бы и не быть, если бы служба безопасности компании внимательнее следила за предупреждениями программы DLP, контролирующей почтовые отправления сотрудников и посещаемые ими ресурсы в интернете. - Использование материальных и других ресурсов работодателя для своих личных целей.
Служба безопасности образовательного учреждения обратила внимание на сигнал программы DLP о повышенной активности одного из методистов по количеству распечатываемых им на принтере документов. При проверке обнаружилось, что методист распечатывал ответы на экзаменационные билеты, которые потом продавал студентам. - Кража материальной и интеллектуальной собственности работодателя.
Сотруднику проектного института удалось скопировать на внешний носитель готовый рабочий проект строительного объекта и продать его конкурирующей организации. Теневое копирование файлов на внешний носитель, произведённое программой DLP, послужило доказательной базой при расследовании инцидента. - Умышленное вредительство и шантаж.
Работником коммерческой организации была скопирована и похищена через облачное хранилище коммерческая конфиденциальная информация, которой он воспользовался в дальнейшем после увольнения для шантажа руководителя. Попытка шантажа была пресечена правоохранительными органами, а предприятие, для предотвращения инцидентов немедленно обзавелось программой информационной безопасности. - Распространение в соцсетях и других ресурсах сведений о работодателе, порочащих его репутацию.
Благодаря отслеживанию переписки сотрудников в соцсетях и почте, осуществляемой с рабочих компьютеров, финансовой организации удалось выявить нелояльных работников и пресечь их деятельность по чёрному пиару работодателя. - Грубость в общении и другие действия, приводящие к потере клиентуры.
Благодаря записям видео и звука с веб камеры, подключенной к программе DLP, удалось собрать доказательную базу некорректного поведения одного менеджера компании, приведшего к потере клиентуры.
Многие руководители отмахиваются от вышеуказанной информации, считая, что внешние угрозы для предприятий представляют большую опасность.
Однако, пренебрегать внутренними опасностями – дело весьма неблагодарное. Если заранее не присматривать за нелояльными сотрудниками, теми кто собирается уволиться и теми, кто затаил до поры и времени обиду, можно в самый неподходящий момент получить «удар в спину».
Методы защиты информации
Для борьбы с внутренними угрозами целесообразно использовать Организационные и Технические мероприятия защиты информации.
Организационные мероприятия по защите информации:
- Введение на предприятии приказом первого руководителя режима коммерческой тайны. Каждый сотрудник предупреждается под роспись об ответственности за разглашение сведений, составляющих коммерческую тайну и возможностях компании по выявлению и пресечению подобных действий. Этим работодатель уведомляет своих сотрудников о недопустимости распространения конфиденциальной информации и защищает себя на случай возникновения судебных разбирательств.
- Уведомление сотрудников о возможности использования всех материальных и интеллектуальных ресурсов предприятия, в том числе и компьютерной техники, только в интересах работодателя и с целью выполнения своих должностных обязанностей.
- Ограничение доступа нелояльных сотрудников и сотрудников, готовящихся к увольнению, к конфиденциальным ресурсам.
Технические мероприятия по защите информации:
- Установка систем контроля доступа и видеонаблюдения, что предотвращает несанкционированное проникновение в места ограниченного доступа и хищение материальных ценностей.
- Установка в компьютерной сети предприятия программы DLP, что позволит контролировать переписку сотрудников внутри и вне предприятия, слив информации через внешние носители, интернет ресурсы, облачные сервисы. Программа позволит так же собрать доказательную базу действий сотрудника в случае расследования инцидента, а также и предотвратить сам инцидент, как таковой.
Выполнение полного комплекса организационных и технических мероприятий способно обеспечить надёжную защиту предприятия от утечек конфиденциальной информации изнутри.
