Zagrożenia wewnętrzne w firmie: dane, dostęp i procedury

Zagrożenie wewnętrzne nie musi oznaczać świadomej kradzieży danych. Może nim być plik wysłany niewłaściwej osobie, wspólne hasło albo konto byłego współpracownika, którego nikt nie wyłączył. W małej firmie takie sytuacje bywają skutkiem niejasnych zasad.

Ochrona informacji wymaga połączenia narzędzi i organizacji pracy. Nie sprowadza się do założenia, że ludziom nie można ufać. Dobra procedura pomaga także uczciwej osobie uniknąć błędu i zgłosić go, zanim problem się powiększy.

Ustal, jakie dane i konta masz

Przygotuj listę ważnych miejsc: poczta, dysk, księgowość, bankowość, strona i system sprzedaży. Przy każdym zapisz właściciela, użytkowników, sposób odzyskiwania dostępu i zakres przechowywanych informacji. Konto założone kiedyś na prywatny adres pracownika może być trudne do odzyskania po zakończeniu współpracy.

Oddziel informacje, których ktoś potrzebuje do zadania, od całej bazy firmy. Osoba przygotowująca materiały nie musi otrzymywać uprawnień do wszystkich dokumentów finansowych. Nadając dostęp, zapisz także powód i planowany okres jego utrzymania.

Ogranicz skutki pomyłki

• Używaj odrębnych kont zamiast wspólnego loginu zespołu.
• Włącz uwierzytelnianie wieloskładnikowe dla istotnych usług.
• Sprawdzaj adresata i zakres dostępu przed wysłaniem dokumentu.
• Przechowuj ważne ustalenia w miejscu dostępnym dla uprawnionych zastępców.
• Twórz kopie istotnych danych i sprawdzaj możliwość ich odtworzenia.

CERT Polska opisuje MFA jako dodatkowe zabezpieczenie uwierzytelniania. Oddzielny poradnik o kopiach bezpieczeństwa pomaga zaplanować odzyskiwanie informacji. Są to punkty wyjścia do wdrożenia, a nie gwarancja braku incydentów.

Zakończenie współpracy też jest procesem

Przy odejściu osoby przekaż otwarte sprawy, odbierz zbędne dostępy, sprawdź współdzielone foldery i zmień wspólne tajne dane tam, gdzie były używane. Nie usuwaj pochopnie informacji potrzebnych do rozliczenia lub dalszej obsługi. Zakres przechowywania oraz ewentualnego monitorowania trzeba ustalić zgodnie z prawem i rzeczywistą potrzebą.

Przykład: handlowiec odchodzi, a jego skrzynka zawiera ustalenia o realizowanych zamówieniach. Firma potrzebuje przekazania spraw i uprawnionego zastępcy. Samo wyłączenie konta bez planu może zatrzymać obsługę klientów. Organizację przekazania opisujemy również przy zarządzaniu komunikacją z klientem.

Co zrobić po zauważeniu błędu?

Ustal prostą drogę zgłoszenia: do kogo, jakim kanałem i jakie informacje przekazać. Zapisz czas, zakres i dotychczasowe działania. Ogranicz dalsze udostępnianie oraz zabezpiecz informacje potrzebne do wyjaśnienia sytuacji. Następne kroki zależą od zdarzenia, rodzaju danych i obowiązków firmy.

Po opanowaniu problemu popraw proces. Czy zabrakło uprawnień, szkolenia czy czytelnej instrukcji? Warto zacząć od jednego rzeczywistego scenariusza, zamiast wdrażać kontrolę wszystkiego. Więcej kryteriów technicznych znajdziesz przy wyborze narzędzi online.