Бизнес под контролем: Как выстроить безопасность и сохранить устойчивость компании

Защита информации и цифровой инфраструктуры

В 9:07 утра Марина из отдела продаж не смогла войти в систему, где хранились карточки клиентов и история переговоров. До звонка заказчику оставалось двадцать минут. Она написала коллеге:

— Пришли общий пароль. Как обычно.

Пароль знал почти весь отдел. Его завели давно, когда в компании было шесть человек и один общий компьютер. Потом сотрудников стало сорок, система превратилась в рабочее место продаж, а привычка осталась. Казалось, что так быстрее. И, пока всё работало, вопрос «кто именно вошёл под этой учётной записью?» никому не мешал.

Коллега прислал пароль. Марина вошла, подготовила предложение и продолжила день. Но через час система уведомила администратора об изменении настроек доступа. Почти одновременно бухгалтерия пожаловалась, что не может открыть общую папку с договорами. Руководитель продаж заметил в CRM действия, которых не ожидал.

Никто пока не знал, что произошло. Возможно, учётные данные попали не в те руки. Возможно, изменился доступ через другое подключённое приложение. Возможно, проблема была связана с настройками или действиями пользователя. Компания не могла уверенно ответить даже на более простой вопрос: кто пользовался общей учётной записью в последние дни?

Пришлось временно закрыть к ней доступ, проверить связанные системы и разобраться, какие данные могли быть затронуты. Но записи в журнале показывали действия учётной записи, а не конкретных людей. Часть сотрудников вошла с личных телефонов, часть работала с компьютеров, которые давно не обновлялись. Резервная копия важной папки существовала, однако никто не проверял, можно ли из неё быстро восстановить нужные документы.

Общий пароль был заметной слабостью. Но объяснять инцидент только им — всё равно что обвинить одну незапертую дверь, не заметив, что неизвестно, какие ключи ходят по зданию, кто ведёт журнал посетителей и где хранится запасной комплект. Цифровая безопасность редко ломается в одной точке. Обычно проблема возникает на стыке данных, доступов, привычек, технологий и неподготовленности к восстановлению.

Информация — это часть рабочего процесса

Компания хранит не просто файлы. В цифровых системах живут договорённости с клиентами, расчёты, сведения о сотрудниках, планы, коммерческие предложения, платежные реквизиты и история решений. Одни данные можно потерять без серьёзных последствий. Другие раскрывают секреты бизнеса, создают юридические риски или останавливают работу целого подразделения.

Полезно рассматривать безопасность информации через три простых вопроса:

• Кто должен видеть эти сведения? Это вопрос конфиденциальности.

• Кто может менять их и как понять, что изменение законно? Это вопрос целостности.

• Сможет ли компания пользоваться ими, когда это потребуется? Это вопрос доступности.

Можно защищать данные от посторонних и всё же потерять к ним доступ из-за сбоя. Можно регулярно делать копии, но не заметить, что в системе годами лежат доступные всем зарплатные ведомости. Можно установить современную защиту, но оставить бывшему подрядчику рабочую учётную запись. Безопасность требует удерживать все три задачи одновременно.

И ещё важно помнить: цифровая инфраструктура — не только компьютеры в офисе. Это электронная почта, облачное хранилище, бухгалтерская система, телефоны сотрудников, сервис для общения с клиентами, интернет-банк и программы подрядчиков. Иногда один сервис становится ключом к другим: например, почтовый ящик помогает восстановить пароль от нескольких рабочих систем. Поэтому вопрос «где находятся данные?» нужно задавать вместе с вопросами «кто ими управляет?» и «через какие учётные записи к ним можно добраться?».

Сначала составьте карту, потом покупайте защиту

Нельзя разумно охранять то, чего организация не умеет перечислить. Начните не с выбора продукта, а с карты связей между информацией и рабочими системами. В неё не обязательно сразу включать каждую папку и каждый файл. Достаточно выявить важные для компании категории данных и системы, от которых зависят ключевые процессы.

Вот упрощённый пример:

Информация

Система

Пользователь

Доступ

Способ восстановления

Данные клиентов и история общения

CRM

Менеджеры, руководитель продаж, администратор

Менеджеры видят своих клиентов; руководитель — команду; администратор управляет настройками

Резервная копия и процедура восстановления учётных записей

Договоры и коммерческие предложения

Облачное хранилище

Продажи, юрист, руководители

Папки доступны по роли и конкретной рабочей задаче

Отдельная защищённая копия; проверка восстановления файлов

Данные о выплатах и персонале

Бухгалтерская система

Уполномоченные сотрудники бухгалтерии, ограниченный круг руководителей

Доступ только по служебной необходимости

Копия по установленному графику; восстановление с участием ответственного специалиста

Карта должна отвечать на пять вопросов: какая информация важна, в какой системе она хранится, кто ей пользуется, какие действия ему разрешены и как восстановить работу после сбоя. Назначьте владельца информации или процесса. Это не обязательно технический специалист. Руководитель продаж лучше других понимает, какие данные нужны для работы с клиентами; бухгалтер — какие сведения нельзя потерять перед закрытием месяца. ИТ-специалист помогает определить, как эти потребности обеспечить технически.

Следующий шаг — классификация информации. Не нужно создавать сложную систему из десятков уровней. Для начала подойдут четыре понятные категории:

1. Открытая — сведения, которые компания готова публиковать.

2. Внутренняя — рабочая информация, не предназначенная для свободного распространения.

3. Конфиденциальная — данные, раскрытие которых может навредить компании, клиенту или сотруднику.

4. Критичная — информация, потеря, изменение или раскрытие которой способны серьёзно нарушить работу или привести к значительным последствиям.

Категории должны подсказывать сотруднику, как обращаться с данными: где их хранить, кому отправлять, можно ли загружать в сторонний сервис и как долго сохранять. Если инструкции невозможно объяснить простыми словами, люди начнут руководствоваться привычкой — той самой, которая однажды превращает общий пароль в «нормальный порядок работы».

Требования к обработке и срокам хранения данных могут зависеть от законодательства, отрасли, договоров с клиентами и места размещения сервисов. В таких вопросах нужно сверяться с применимыми требованиями и привлекать профильных юристов или специалистов по защите данных. Универсальная таблица не заменяет правовую оценку.

Доступ должен следовать за работой человека

Основной принцип управления доступом прост: каждый человек получает только те права, которые нужны ему для конкретной работы. Не больше «на всякий случай», не навсегда и не потому, что его коллега уже имеет такие же права.

У сотрудника должна быть личная учётная запись. Тогда действия можно связать с конкретным пользователем, а при увольнении или смене роли — отозвать именно его доступ. Общие учётные записи эту связь размывают. Если без общей записи по объективным причинам не обойтись, её использование нужно ограничить, закрепить за ответственным владельцем и обеспечить журналирование действий. Это исключение, а не удобный стандарт.