Захист конфіденційної інформації в IT компанії
У діяльності IT компаній поняття «конфіденційність» може мати багато граней, а тому питання захисту конфіденційності також є багатогранним. В процесі діяльності Вашої компанії важливо не допустити розголошення унікальної клієнтської бази або злому серверів, може виникнути необхідність зберігати в таємниці інформацію про проект, який тільки розробляється, але який підірве ринок і т.д. Тому розуміння шляхів і способів захисту конфіденційної інформації Вашої компанії є одним з запорук її успішної діяльності.
Навіщо серйозно підходити до питання захисту конфіденційної інформації?
Збереження внутрішньої інформації IT компанії в таємниці вигідно для кожного бізнесу через декілька досить очевидних причин:
- Конкурентна перевага: ще Ротшильди сказали, що той, хто володіє інформацією – володіє світом. Якщо у Вас з’явилася ідея революційного проекту або неймовірного технологічного рішення, Ви точно не захочете, щоб про нього дізналися Ваші конкуренти. Зберігати в таємниці інформацію про проекти, корпоративній культурі, методиках підбору персоналу і т.д. – означає завжди мати туза в рукаві.
- Цінність конфіденційної інформації: особливо у випадку з IT компаніями, вартість інформації або даних, якими вони володіють (клієнтська база, унікальний софт, алгоритми роботи і т.д.) може у багато разів перевищувати вартість їх матеріальних активів (офісне приміщення, обладнання , техніка і т.д.). У разі розголошення клієнтської бази або інформації про проект втрати компанії в моменті можуть бути колосальними, не кажучи про втрати в перспективі.
- Робота з іноземними клієнтами: в своїй більшості, клієнти вітчизняних IT компаній знаходяться за кордоном – США, Європа, Великобританія і т.д. З одного боку, зарубіжні контрагенти цінують, коли бізнес ведеться чітко, правильно, надійно і в повній відповідності з законом (що включає в себе налагоджені механізми захисту інформації). З іншого боку, при роботі з іноземними клієнтами ви отримуєте в розпорядження їх секрети, їх інформацію, а тому стаєте відповідальними вже не тільки перед самими собою, а й перед клієнтами. Тому для спокійного сну вночі потрібно мати надійну систему захисту.
- Вимоги законодавства: банальна, але через це не менш важлива причина – вимоги законодавства. Законодавство кожної країни встановлює свої власні, але незмінно жорсткі та конкретні зобов’язання щодо захисту конфіденційної інформації і персональних даних. Якщо Ваша компанія не буде їх дотримуватися – Ви легко можете потрапити до суду, де зустрітись як з представниками держорганів, так і з клієнтом / замовником, з конфіденційною інформацією якого трапилася неприємність.
Як IT компаніям захищати конфіденційну інформацію?
Перш за все, Вам слід визначити, що ж в компанії є саме цією конфіденційною інформацією. У кожній компанії є як стандартні категорії такої інформації (наприклад, розмір заробітної плати, умови роботи, побудова бізнес-процесів і т.д.), так і спеціальні категорії, які залежать від діяльності компанії (наприклад, для тих, хто орендує приміщення – система паролів та доступів; для тих, хто займається розміщенням онлайн-реклами – алгоритми пошуку Паблішерів та рекламодавців і т.д.).
Як тільки Ви визначилися і склали вичерпний перелік інформації, яка є конфіденційною, Вам потрібно вдатися до другого виду захисту, які повинні здійснюватися нерозривно один від одного.
Перший вид захисту – документальний. Він полягає в необхідності закріпити всі Ваші принципи, рішення, правила, способи захисту і т.д. на папері. Це повинно включати в себе наступні дії:
- Складання і підписання угоди про нерозголошення конфіденційної інформації (NDA) з кожним із співробітників, клієнтів, інвесторів, постачальників, підрядників, контрагентів і т.д. Для душевного спокою, NDA варто підписувати навіть зі стажерами і відвідувачами, так як вони теж можуть, випадково чи ні, отримати доступ до конфіденційної інформації.
- Складання Положення компанії про захист конфіденційності. Вимога до наявності такого документа найчастіше встановлюється законодавством для компаній, які працюють зі співробітниками за трудовими договорами. У той же час, для компаній, які працюють за схемою договорів з підрядниками, складання такого документа також може бути вигідним. З кожного співробітника має бути письмове зобов’язання, в якому співробітник вказує, що ознайомився з текстом Положення і зобов’язується не порушувати його норми.
- Складання внутрішніх процедур поводження з конфіденційною інформацією. Ці документи будуть суто внутрішніми документами IT компанії. Вони повинні регламентувати порядок і правила доступу до конфіденційної інформації; її пересилання; доступу до неї третіх осіб; перелік співробітників, яким дозволено доступ до тієї чи іншої інформації; алгоритм дії в разі порушення захисту конфіденційної інформації і т.д.Для складання цих документів IT компанії слід звернутися до профільної юридичній фірмі, яка б проконсультувала компанію з цього питання, провела аналіз її рівня захисти конфіденційної інформації і склала необхідні документи.
Другий вид захисту – технічний. Він полягає в необхідності реалізувати на ділі всі Ваші рішення і плани. Це повинно включати в себе наступні дії:
- Визначити, хто має доступ до конфіденційної інформації на даний момент. Це дозволить Вам зрозуміти, в якому масштабі потрібно впроваджувати захисні алгоритми, які місця в питанні захисту є найбільш уразливими і т.д. Одним з найпоширеніших підходів є рішення не давати повного доступу до конфіденційної інформації нікому, в тому числі – IT-фахівцям.
- Встановити контролює ПО. Завжди важлива не тільки оцінка ризиків, але і подальший моніторинг. Тому після аналізу ситуації з доступом до конфіденційної інформації необхідно контролювати, хто і як користується, пересилає, змінює, доповнює, видаляє, переглядає і т.д. цю інформацію. Також, у разі будь-якого порушення системи захисту така інформація і аналітика буде на вагу золота.
- Внутрішня система для роботи і спілкування співробітників. Створення корпоративного таск-менеджера і чат-системи між співробітниками добре тим, що, по-перше, це дозволяє на 99% забезпечити оборот і передачу конфіденційної інформації тільки всередині таких корпоративних систем, а не через відкриті джерела (наприклад, Telegram, Facebook і т . Д.), а по-друге, збирати дані про будь-які операції з конфіденційною інформацією на випадок можливого порушення її захисту.
- Паролі. Переконайтеся, що доступ до всього знаходиться під захистом. Криптографічне шифрування ПК, паролі доступу до папок з конфіденційною інформацією, особисті паролі доступу в корпоративну систему для кожного співробітника і т.д. – все це є очевидно необхідним, а також дозволяє збирати дані про доступ до конфіденційної інформації, які можуть стати в нагоді для аналітики.
- Система захисту від кібератак. Така система базово може включати в себе превентивні засоби захисту, процедуру резервного копіювання конфіденційної інформації, прописаний алгоритм дії в разі кібератаки або іншого порушення захисту конфіденційної інформації і т.д.
Окремі заходи можуть знадобитись IT компаніям, які знімають великі офіси. Для таких компаній розумним буде встановити обов’язкову рівневу систему доступу до приміщень (вхід-відділи-кабінети), мати систему відеоспостереження, службу охорони, захищену Wi-Fi мережу і т.д.
Підсумки
Загалом, захист конфіденційної інформації – це не питання п’яти хвилин. Це можна порівняти з підтриманням спортивної форми: цим потрібно займатися постійно, методично і з розумом, а навіть найкоротша перерва може призвести якщо не до незворотніх наслідків, то до досить серйозних втрат.
Також, не варто забувати, що це повинно бути комплексним процесом. Підписання з усіма співробітниками договору без впровадження реальних механізмів забезпечення конфіденційності або навпаки – розробка та впровадження хорошої системи і алгоритмів захисту інформації, працюючи без документів «під чесне слово» – будь-який з таких варіантів не буде працювати. Машина без двигуна, за великим рахунком, марна, як і двигун – без машини.
Тому дбайте про конфіденційність і будьте зразковою IT компанією.
Лясківський Іван
Senior IT lawyer