За стеклом. Как защититься от утечки данных при увольнении ключевого сотрудника
Есть работники, увольнение которых особенно болезненно для бизнеса, — это ключевые сотрудники, руководители направлений или топ-менеджмент. Но просто увольнение — полбеды, хуже, когда такие люди уносят ценную информацию или начинают использовать опыт против вас.
Поучительная история для затравки
Джентльменские соглашения, как и золотые парашюты, сегодня не работают — это я проверил на себе. Больше года назад из команды ушел топ-менеджер. Он не справился с должностью технического директора — и сначала вернулся к работе с клиентами. Конечно, расстроился и скоро заявил об уходе. Прощаясь, жал руку и говорил о преданности. Я поблагодарил человека за 6 лет работы, выплатил «золотой парашют» в несколько годовых зарплат, а через несколько недель узнал, что тот устроился к конкуренту.
Устному соглашению не конкурировать пришел конец, и началась игра против: в течение года мы наблюдали, как экс-менеджер использует знание наших внутренних процессов, чтобы продвигаться на новом месте. Он обращался к клиентам с конкурентными предложениями и использовал связи, приобретенные в нашей компании. Но дальше — больше: когда его новый работодатель не смог решить техническую проблему в собственном продукте, бывший директор обратился к нашему программисту. Предложили задачу по разработке и вознаграждение, даже составили договор. Не узнай мы об этом — могли бы своими руками помочь конкуренту.
Я уверен, что подобные истории есть у каждого бизнеса. И, увы, ни договоренности, ни деньги, ни даже закон не могут застраховать от них. Остается только работа на упреждение.
Подготовка: программа-минимум
Для начала придется ввести правила и задокументировать их. У вас есть технические средства и информационные ресурсы — должен быть и режим их использования. Пусть трудовые договоры, должностные инструкции и правила внутреннего распорядка фиксируют, что сотрудники могут использовать информацию компании строго для выполнения должностных обязанностей. Отдельно придется прописать и условие о неразглашении тайны: служебной, коммерческой или той, что продиктует специфика бизнеса.
Следующий шаг — назначить права доступа и не пускать к чувствительным данным тех, кого не следует. Вы же не оставляете дверь нараспашку, когда уходите из дома? То же самое в компании. Проведите аудит, классифицируйте всю корпоративную информацию и назначьте права доступа. Пусть каждый сотрудник свободно обращается только к тем данным, которые нужны ему по работе.
И наконец, внедрите систему контроля, которая сообщит, если правила будут нарушены. Рынок предлагает бизнесу множество систем предотвращения утечек конфиденциальной информации — DLP, SIEM и др. Одни программы просто блокируют отправку секретов фирмы неположенным адресатам. Другие могут больше: понять, что поведение сотрудника подозрительно, провести расследование, выяснить причину и устранить угрозу. Проще говоря, первые заблокируют отправку, когда менеджер попытается слить базу клиентов. А вторые заранее сообщат, что конкурент начал хантить вашего сотрудника и предлагает ему более выгодные условия в обмен на информацию.
Я ухожу: оперативные действия
По шаблонной процедуре можно увольнять только линейных специалистов, которые не владели секретами, не являлись критичными для организации и не могут нанести вреда компании после ухода. Здесь все относительно просто: подписали бумаги, лишили доступов, пожелали всего хорошего — и вернулись к работе. Но в случаях с ключевыми сотрудниками универсального скрипта быть не может. Хотя, как только становится ясно, что человек уйдет, у компании появляется две цели: просчитать риски и свести негатив работника к минимуму.
План действий зависит от того, почему специалист уходит. Кто инициатор увольнения: вы или он? Если вы, то, скорее всего, сотрудник будет обижен, лучше перестраховаться и сразу закрыть доступы к критичной информации. Если инициатива за работником — важен контекст. Часто расставания проходят гладко, человек просто уходит на другую должность, переезжает по семейным обстоятельствам или меняет сферу деятельности. Понимая подобные мотивы, обстоятельства и контекст, сотруднику никто не обрубает доступы и не пугает карами небесными в случае утечки. Наоборот, стоит поблагодарить за работу, даже можно предложить вернуться, если что-то на новом месте не устроит. Но если сотрудник уходит с негативом, после ИБ-инцидентов или с балластом из служебных проступков, ситуация требует более жестких меры. В каждом случае будет оптимальным индивидуальный подход, но чаще всего базовые действия выглядят так:
Поставить человека на особый контроль
Потому что люди могут навредить не только воровством. Например, настроить коллег против руководства, испортить репутацию компании в СМИ или подделать документы. Один из клиентов делился историей, когда обиженный главный бухгалтер, уходя, удалил с файлового сервера около 10 000 документов. Не узнай компания об этом, история могла бы завершиться банкротством. Но действия пресекли, файлы восстановили и предупредили нового работодателя.
Закрыть доступ к критичной информации
Потому что люди ее уносят. Они считают, что имеют право, поскольку внесли непосильный вклад. Или видят в данных пропуск на новое место работы.
Сообщить о контроле и напомнить права и обязанности
Если верить исследованиям KPMG, в 71% случаев мошенничеству в российских компаниях способствует слабость внутреннего контроля. То есть люди нарушают правила, просто потому что могут сделать это безнаказанно. Если не уверены в человеке, сообщите ему о контроле и напомните об ответственности за нарушение правил. Формулировки типа «7 лет заключения и штраф до 1,5 млн рублей» сдерживают от необдуманных поступков.
После ухода сотрудника контролировать атмосферу в коллективе
Множество наших клиентов сталкивались с ситуацией, когда бывший сотрудник продолжал общение с коллегами и умело выманивал информацию о текущих делах компании. Коллективу необходимо периодически напоминать, что дружба дружбой, а корпоративные секреты нужно беречь.
Человеческий фактор
Сегодня многое сделано для борьбы с утечками информации и недобросовестной конкуренцией: создается и внедряется специализированное ПО, разрабатываются политики безопасности, принимаются законы, защищающие данные компании и клиентов. Все это в разы снижает риски потери данных. Почему же информацию все еще воруют, а корпоративные мошенники все еще существуют?
Потому что самый нестабильный фактор в этом уравнении — всегда человек, которого сложно оцифровать или спрогнозировать. Хотя попытки профилирования сотрудников и предугадывания их поведения предпринимает все больше компаний. Но топ-менеджер, даже если закрыть ему доступы, может унести стратегические планы или разработки компании «в голове». И единственный способ избежать перекупки его конкурентами — соглашение о неконкуренции. Только, увы, в российском праве, в отличие от английского, такой практики еще нет.