Риски в той части периметра, которой нет в документах
Девелоперская компания. Спрашиваем, где ведётся учёт реализованных квартир. Показывают гугл-таблицу. В ней — весь реестр продаж с разделением прихода на нал и безнал.
Смотрим, кто администратор файла. Администратор — бывший руководитель отдела продаж. Уволился два года назад, работает у прямого конкурента. Права он не передавал, потому что процедуры передачи не существует.
Смотрим список доступов. Все до одного — личные гугл-аккаунты сотрудников. Корпоративными почтами в компании почти никто не пользуется: неудобно, привыкли к своим.
То есть файл, в котором лежит вся выручка компании в разрезе нала и безнала, юридически принадлежит физическому лицу, которое два года как работает на конкурента. Компания не может ни отозвать доступ, ни забрать документ, ни доказать, что это её коммерческая тайна: режим коммерческой тайны требует учёта носителей и ознакомления работников под подпись, ничего этого здесь нет.
Второй случай, другая отрасль. Учёт приёмки сырья — тоже гугл-таблица, шесть лет базы. Сколько прошло по договору, сколько отдали налом мимо кассы, куда этот нал ушёл, дебиторка по авансам. Доступ у двенадцати человек, шестеро уже не работают.
Спрашиваю начальника отдела: если бывший договорится с клиентом, зайдёт со своего компьютера и поправит цифру долга — как вы узнаете? Отвечает: такого ещё не было. Это не ответ, это отсутствие механизма.
Третий слой той же проблемы разбирали на днях коллеги. Камеры в офисе и на складе стоят с заводским паролем из инструкции, висят в одной сети с бухгалтерским сервером, отдают поток по открытому протоколу. Камера в переговорной снимает доску с цифрами. Камера на складе — весь ассортимент и график поставок.
Откуда это берётся
Помните мем про внедрение? «Да полная фигня ваша CRM, у меня есть эксель».
Это не лень и не саботаж. Человек защищает свой рабочий инструмент, в котором он быстрый. Учётная система требует заводить документы по правилам, а таблица прощает всё: можно вписать строку задним числом, можно держать две колонки — официальную и настоящую, можно дать доступ кому надо одним кликом и забыть про него.
Дальше происходит вот что. Компания покупает ERP или CRM за большие деньги, а реальный учёт остаётся в таблице рядом. Через год-два таблица становится первоисточником: сравнивать не с чем, потому что в системе неполные данные, а в таблице — полные, но без истории и без владельца.
Так у компании образуется второй, теневой контур учёта. Он нигде не описан, за него никто не отвечает, и он живёт по правилам того, кто его завёл. Это тоже можно отнести к теме про списание скрытого на операционные потери в разрывах между процессами.
Что я нашёл в собственном архиве
После этих разговоров я поднял свой архив типовых документов, накопленный за пятнадцать лет работы в компаниях разного размера — от стройки до финтеха.
Политика использования паролей — есть, в двух редакциях. Положение о порядке применения и функционирования средств защиты доступа к информационным ресурсам — есть. Правила допустимого использования ИТ-ресурсов, политика информационной безопасности, приказ о её утверждении, коммерческая тайна в четырёх вариантах, персональные данные, порядок доступа к конфиденциальной информации, план реагирования на инцидент — всё есть.
Перечня самих информационных ресурсов нет нигде.
Он и не должен быть отдельным документом — его место приложением к политике паролей или к порядку использования информационных ресурсов. Роль прописана, обязанности расписаны. А перечня ресурсов, у которых должны быть эти владельцы, не существует. Политика висит в воздухе.
Отсюда всё и растёт. Уволили человека — отозвали пропуск и корпоративную почту. Гугл-таблица с реестром продаж осталась: её нет ни в одном перечне, значит, её как бы нет. Камера осталась с заводским паролем: она проходит по смете как оборудование, а не как точка доступа к данным.
Часть первая. Ревизия: что проверить немедленно
Это работа на неделю, силами своих людей, без бюджета и без подрядчика. Порядок важен: сначала выясняем, что у нас есть, и только потом закрываем дыры.
День первый-второй. Инвентаризация
1. Составить перечень ресурсов. Один файл. Куда фактически вносятся данные компании: облачные таблицы и диски, 1С и ERP, CRM, банк-клиент, DIDOX, кадровые базы, камеры и видеорегистраторы, рабочие телеграм-каналы и боты, общие сетевые папки, почтовые ящики.
Спрашивать не айтишников. Спрашивать завсклада, бухгалтера, кадровика, снабженца и продажников. Вопрос формулировать бытово: «в чём ты ведёшь свою работу каждый день?» Они назовут то, о чём ИТ не знает, — потому что заводили это сами.
2. По каждой строке зафиксировать пять полей. Что за ресурс. Какие данные внутри. Кто владелец и сколько админов — фамилия конкретного человека, а не название отдела. Кто администратор технически. На чьём аккаунте создан ресурс — компании или физического лица.
Пятое поле — самое важное. Если владелец файла — личный аккаунт, компания этим ресурсом не владеет. Никакие внутренние документы этого не меняют.
3. Отдельно выписать всё, что дублирует учётную систему. Таблица параллельно с 1С, вторая база продаж рядом с CRM. Каждая такая строка — это либо будущая ошибка в отчётности, либо действующий теневой контур.
День третий-четвёртый. Доступы
4. Выгрузить список допущенных по каждому ресурсу и сверить со штатным расписанием. Отдельно пометить: уволенных; тех, кто сменил должность и по новой роли доступ не нужен; внешних подрядчиков; аккаунты без владельца — общие логины вида admin, buhgalter, sklad, которыми пользуются несколько человек.
5. Уволенных отключить в тот же день. Не в понедельник, не после согласования. Если ресурс на личном аккаунте бывшего сотрудника — сначала сделать полную выгрузку данных к себе и только потом решать вопрос с самим аккаунтом.
6. Проверить, кто имеет право менять права. В таблице это владелец файла, в 1С — администратор базы. Часто выясняется, что раздавать доступ может любой, у кого есть редактирование. Это отдельная дыра: доступы расползаются без единого решения.
7. Посмотреть историю изменений там, где она есть. В гугл-таблицах и в 1С журнал ведётся. Смотреть не всё подряд, а точечно: правки задним числом, изменения в закрытых периодах, работа в нерабочее время, вход с незнакомых устройств.
День пятый. Техника
8. Заводские пароли. Камеры, видеорегистраторы, роутеры, сетевые принтеры, точки доступа Wi-Fi. Начинать с тех камер, которые смотрят на деньги, на склад или на документы. Пароль по умолчанию есть в открытой инструкции — это не взлом, это вход по ключу, лежащему под ковриком.
9. Проверить, что видно снаружи. Есть ли у камеры и регистратора выход в интернет напрямую, в одной ли сети они с бухгалтерским сервером и рабочими станциями. Камеры и рабочая сеть в одном сегменте — типовая ошибка монтажников, которая делает камеру входной точкой в учётную систему.
10. Личные аккаунты сотрудников. Двухэтапная аутентификация на рабочих почтах и в телеграме, актуальная почта восстановления, проверка активных сессий на предмет чужих устройств. Угнанный телеграм менеджера по продажам — это доступ к переписке с клиентами и к рабочим чатам компании.
Что делать с находками
Каждую находку записывать одной строкой: ресурс, что не так, кто устраняет, до какого числа. Не оформлять это в отчёт на сорок листов — на этом этапе важна скорость закрытия, а не красота документа.
По итогам ревизии обычно закрывается от половины до двух третей рисков. Оставшееся требует денег или времени и уходит в план.
Часть вторая. Нормативная база: что оформить
Ревизия закрывает сегодняшнее состояние. Через полгода без документов всё вернётся: заведут новые таблицы, раздадут новые доступы. Поэтому вторым шагом — правила.
Порядок разработки именно такой, снизу вверх: от фактов к документу, а не наоборот.
1. Перечень информационных ресурсов — приложением к политике паролей или к порядку использования информационных ресурсов. Отдельным документом его делать не нужно, он живёт как приложение и обновляется без переутверждения всей политики.
Содержание: наименование ресурса, вид данных, категория конфиденциальности, владелец, администратор, чей аккаунт, порядок предоставления и отзыва доступа, срок пересмотра. Ведёт перечень служба безопасности или внутренний контроль, обновляет — при появлении любого нового ресурса.
2. Политика использования паролей. Требования к сложности и сроку смены, отдельные правила для административных учётных записей, запрет на передачу пароля и на общие логины, порядок действий при компрометации, обязательная смена паролей при увольнении допущенного лица.
3. Порядок использования информационных ресурсов. Ключевой пункт для нашей темы: данные компании ведутся только на ресурсах из перечня и только на корпоративных аккаунтах. Заводить рабочие файлы на личных аккаунтах запрещено. Создание нового ресурса — через заявку владельцу и внесение в перечень.
4. Положение о коммерческой тайне с перечнем сведений. Без него режим тайны юридически не действует: нужен перечень сведений, гриф на носителях, учёт допущенных и ознакомление работников под подпись. Комплект из положения, приказа об утверждении и перечня — это минимум, при котором утечку можно превратить в основание для ответственности, а не в устный упрёк.
5. Порядок предоставления и отзыва доступа. Оформляется как приложение к любому из документов выше. Основа — заявка с визой владельца ресурса, а не устная просьба руководителя.
6. Изменение в процедуру увольнения. В обходной лист добавляется строка: «доступы отозваны по перечню информационных ресурсов» с подписью владельца каждого ресурса, к которому человек был допущен. Кадры не закрывают расчёт без этой подписи. Это единственный пункт из всего списка, который работает автоматически и не требует чьей-то доброй воли.
7. План реагирования на инцидент. Короткий, на одну страницу: кто отвечает, что делает в первые часы, кого уведомляет, как фиксирует. Пишется под конкретные виды инцидентов — утечка через уволенного, компрометация пароля, посторонний доступ к камерам.
8. Приказ об утверждении и лист ознакомления. Без подписей работников любой из документов выше — бумага для проверяющего, а не инструмент.
Собственнику — три вопроса на эту неделю
- В каких файлах и сервисах лежат ваши деньги и долги, и есть ли этот список хотя бы на одном листе?
- Кто владелец каждого из них по фамилии, и совпадает ли этот человек с тем, кто числится администратором в самом файле?
- Что происходит с доступами человека в день его увольнения — есть ли процедура, или отзывают то, о чём вспомнили?
Практику
Половина работы уже сделана: в большинстве компаний политика паролей и коммерческая тайна написаны и утверждены. Не хватает приложения — перечня ресурсов с владельцами. Начинать не с новой политики, а с инвентаризации: перечень, собранный по живым опросам, сразу показывает, где ваши документы расходятся с практикой.
И готовьтесь к сопротивлению. Вам скажут, что в таблице удобнее. Это правда. Задача не в том, чтобы отобрать удобный инструмент, а в том, чтобы у него появился владелец, список допущенных и срок жизни.