Jak kompleksowo monitorujemy bezpieczeństwo firmy – od działań operacyjnych po monitoring internetu?

Większość przedsiębiorstw zaczyna interesować się bezpieczeństwem dopiero wtedy, gdy wydarzy się coś niepokojącego.

Z firmy odchodzi kluczowy pracownik. W internecie pojawia się publikacja zawierająca informacje znane dotychczas tylko zarządowi. Konkurencja przedstawia klientowi ofertę wyjątkowo dobrze dopasowaną do niepublicznych warunków współpracy. W pobliżu biura regularnie pojawia się ten sam pojazd. Powstaje domena podobna do nazwy marki, fałszywy profil członka zarządu albo anonimowe konto rozpowszechniające zarzuty wobec przedsiębiorstwa.

Każde z tych zdarzeń może być przypadkiem.

Może też stanowić fragment większego procesu, którego firma jeszcze nie widzi.

Kompleksowy monitoring bezpieczeństwa nie polega na obserwowaniu wszystkiego i wszystkich. Nie jest również pojedynczym audytem wykonywanym raz na kilka lat.

To stały system wykrywania zmian, które mogą wpływać na ludzi, informacje, reputację, majątek i zdolność przedsiębiorstwa do dalszego działania.

Największą wartością takiego systemu nie jest ilość zebranych informacji.

Jest nią możliwość zauważenia zagrożenia, zanim jego skutki staną się oczywiste dla całego rynku.

Bezpieczeństwo firmy nie kończy się na alarmie i zaporze sieciowej

Przedsiębiorstwo funkcjonuje jednocześnie w kilku przestrzeniach.

Posiada fizyczne biura, magazyny, pojazdy i urządzenia. Działa w systemach informatycznych. Opiera się na pracownikach, klientach, dostawcach oraz osobach zarządzających. Pozostawia ślady w rejestrach, mediach społecznościowych, publikacjach branżowych i internecie.

Zagrożenie może pojawić się w każdej z tych przestrzeni.

Osoba zainteresowana firmą może rozpocząć od obserwacji siedziby. Konkurent może analizować pracowników i dostawców. Były menedżer może przygotowywać przejęcie zespołu. Oszust może stworzyć domenę podszywającą się pod przedsiębiorstwo. Wewnętrzne informacje mogą zostać wykorzystane do ataku reputacyjnego, szantażu albo wywarcia presji na zarząd.

Dlatego kompleksowego bezpieczeństwa nie można zbudować wyłącznie przy pomocy jednego narzędzia.

Potrzebne jest połączenie działań terenowych, analizy informacji, monitoringu internetu, weryfikacji zmian rejestrowych i umiejętności rozpoznawania zachowań, które dopiero po zestawieniu zaczynają mieć znaczenie.

Monitoring należy rozpocząć od ustalenia, co dla firmy jest naprawdę krytyczne

Nie istnieje jeden uniwersalny model ochrony przedsiębiorstwa.

Dla firmy produkcyjnej największym ryzykiem może być przerwanie łańcucha dostaw albo utrata technologii. Dla kancelarii — ujawnienie informacji o klientach i prowadzonych sprawach. Dla spółki technologicznej najważniejszy będzie kod, zespół i wiedza twórców produktu. Dla firmy rodzinnej zagrożeniem może być konflikt właścicielski, który zaczyna wpływać na pracowników i klientów.

Dlatego pierwszym etapem powinno być określenie:

· jakie informacje mają największą wartość;

· którzy pracownicy są kluczowi dla ciągłości działania;

· którzy klienci odpowiadają za istotną część przychodów;

· jakie osoby posiadają dostęp do wielu obszarów jednocześnie;

· które procesy zależą od pojedynczego systemu, dostawcy albo pracownika;

· jakie zdarzenia powinny uruchamiać natychmiastowy alert.

Dopiero wtedy monitoring może odróżniać informacje ważne od zwykłego szumu.

Firma zatrudniająca kilkaset osób nie musi otrzymywać powiadomienia o każdej zmianie stanowiska na portalu zawodowym. Powinna jednak wiedzieć, że kilku kluczowych pracowników w krótkim czasie rozpoczęło kontakt z tym samym nowym podmiotem albo zmieniło sposób opisywania swojej roli zawodowej.

Stan początkowy jest niezbędny do wykrywania zmian

Nie można skutecznie monitorować firmy bez wiedzy, jak wygląda jej normalne funkcjonowanie.

Przed rozpoczęciem stałej usługi przygotowujemy obraz bazowy przedsiębiorstwa.

Obejmuje on strukturę właścicielską i zarządczą, kluczowe osoby, spółki powiązane, marki, domeny, lokalizacje, pojazdy, najważniejszych klientów i dostawców oraz publiczną obecność osób zarządzających.

Analizujemy również wcześniejsze zdarzenia:

Czy firma była przedmiotem negatywnych publikacji Czy dochodziło do konfliktów z pracownikami Czy powstawały fałszywe profile Czy ktoś próbował podszywać się pod zarząd Czy w otoczeniu spółki pojawiały się podmioty o podobnych nazwach Czy klienci sygnalizowali nietypowe kontakty

Stan początkowy pozwala później ocenić, czy nowe zdarzenie jest odstępstwem od normy.

Nowy samochód pojawiający się pod siedzibą jednego dnia nie musi mieć znaczenia. Ten sam pojazd regularnie obecny przed zamkniętymi spotkaniami zarządu może wymagać sprawdzenia.

Działania operacyjne pokazują to, czego nie widać w dokumentach

Rejestry ujawniają formalne funkcje i powiązania.

Nie pokażą jednak, kto faktycznie uczestniczy w spotkaniach, kto korzysta z określonego biura, kto regularnie kontaktuje się z pracownikiem ani gdzie rzeczywiście prowadzona jest działalność.

Działania terenowe mogą służyć rozpoznaniu:

· nietypowej aktywności wokół siedziby, magazynu albo miejsca spotkań;

· kontaktów z kluczowymi pracownikami i kontrahentami;

· wykorzystywania majątku firmy;

· powstawania równoległej działalności;

· rzeczywistego zaangażowania określonej osoby w zewnętrzny podmiot;

· powtarzających się spotkań odbywających się poza oficjalnym obiegiem.

Wartość obserwacji nie polega na samym wykonaniu zdjęcia.

Zdjęcie pokazujące menedżera wchodzącego do budynku konkurenta nie wyjaśnia jeszcze celu wizyty. Może jednak zyskać znaczenie, jeżeli w tym samym czasie konkurent rozpoczyna rekrutację pracowników firmy, a menedżer pobiera wewnętrzne zestawienia klientów i prowadzi rozmowy o odejściu.

Działania operacyjne powinny więc odpowiadać na konkretne pytanie i być zawsze zestawiane z innymi źródłami.

Monitoring internetu powinien wykraczać poza nazwę marki

Wiele firm ogranicza monitoring internetu do wyszukiwania swojej nazwy.

To za mało.

Zagrożenie może pojawić się wcześniej pod nazwiskiem członka zarządu, nazwą produktu, domeną podobną do firmowej albo na profilu byłego pracownika. Negatywna narracja może powstawać bez wskazania pełnej nazwy przedsiębiorstwa. Informacje o planowanej inwestycji mogą zostać ujawnione w ogłoszeniu rekrutacyjnym albo publicznej dyskusji osoby związanej z dostawcą.

Monitoring powinien obejmować między innymi:

· nazwę firmy, marki i produktów;

· nazwiska właścicieli i członków zarządu;

· najczęstsze błędne warianty nazwy;

· domeny podobne do firmowych;

· profile podszywające się pod przedsiębiorstwo lub jego przedstawicieli;

· publikacje, komentarze, fora i media społecznościowe;

· pliki oraz dokumenty pojawiające się publicznie;

· ogłoszenia rekrutacyjne wskazujące na budowę konkurencyjnej struktury;

· informacje o nowych spółkach, projektach i osobach powiązanych;

· wzmianki łączące firmę z oszustwem, zadłużeniem, konfliktem albo innym ryzykiem.

Nie każda negatywna opinia jest zagrożeniem.

Znaczenie ma jej źródło, zasięg, wiarygodność i powtarzalność. Pojedynczy komentarz niezadowolonego klienta wymaga innej reakcji niż skoordynowana seria publikacji wykorzystująca poufne informacje oraz identyczne zarzuty rozpowszechniane z wielu kont.

Trzeba monitorować nie tylko treść, ale także sposób jej rozchodzenia się

Dwie identyczne informacje mogą mieć zupełnie inne znaczenie.

Pierwsza zostaje opublikowana przez niewielki profil bez odbiorców i nie wywołuje reakcji.

Druga pojawia się równocześnie na kilku kontach, zostaje przesłana klientom, trafia do pracowników i jest wykorzystywana podczas negocjacji z inwestorem.

Dlatego analiza powinna obejmować:

· moment pierwszej publikacji;

· konta, które rozpoczęły jej rozpowszechnianie;

· relacje pomiędzy publikującymi;

· powtarzalność języka i materiałów;

· grupy odbiorców;

· reakcje klientów, pracowników i mediów;

· związek czasowy z wydarzeniami wewnątrz firmy.

W niektórych przypadkach internet nie jest miejscem powstania kryzysu.

Jest narzędziem używanym do wzmocnienia operacji rozpoczętej wcześniej poza siecią.

Monitoring zmian właścicielskich i organizacyjnych

Bezpieczeństwo przedsiębiorstwa zależy również od tego, co dzieje się wokół jego kontrahentów, konkurentów i osób związanych z firmą.

Nowa spółka założona przez byłego menedżera może nie mieć znaczenia. Sytuacja wygląda inaczej, gdy jej przedmiot działalności odpowiada specjalizacji firmy, pojawiają się w niej kluczowi pracownicy, a niedługo później odchodzą pierwsi klienci.

Stała analiza może obejmować:

· zmiany w zarządach i strukturach właścicielskich;

· pojawianie się nowych podmiotów;

· zmiany adresów i przedmiotów działalności;

· powiązania osobowe i kapitałowe;

· nowe funkcje pełnione przez pracowników albo współpracowników;

· postępowania, obwieszczenia i inne publiczne zdarzenia wpływające na ryzyko;

· rejestrację znaków, domen oraz nowych marek.

Pojedynczy wpis w rejestrze rzadko odpowiada na wszystkie pytania.

Najważniejsze jest ustalenie, co zmiana oznacza w połączeniu z zachowaniem ludzi i zdarzeniami w firmie.

Monitoring informacji i możliwych wycieków

Wyciek nie zawsze polega na opublikowaniu całego dokumentu.

Czasami pierwszym sygnałem jest użycie przez osobę zewnętrzną szczegółu, który powinien być znany wyłącznie uczestnikom spotkania. Konkurent zna dokładny budżet klienta. Dziennikarz pyta o decyzję, której jeszcze nie ogłoszono. Pracownik otrzymuje propozycję odnoszącą się do poufnych planów reorganizacji.

Takie zdarzenie nie wskazuje jeszcze źródła.

Pozwala jednak rozpocząć analizę drogi informacji:

Kiedy informacja powstała Kto miał do niej dostęp Gdzie była przechowywana W jakiej formie została przekazana Kto wykorzystał ją jako pierwszy

Jeżeli informacja ma wartość gospodarczą, nie jest powszechnie znana i przedsiębiorca podjął działania służące zachowaniu jej poufności, może podlegać ochronie jako tajemnica przedsiębiorstwa na podstawie art. 11 ustawy o zwalczaniu nieuczciwej konkurencji. Ocena znaczenia konkretnego przypadku zależy jednak od treści informacji i sposobu, w jaki firma rzeczywiście ją chroniła.

Monitoring fizyczny przedsiębiorstwa wymaga własnych procedur

Częścią systemu bezpieczeństwa może być również monitoring wizyjny siedziby, magazynu, wejść albo miejsc przechowywania mienia.

Nie powinien on jednak działać jako przypadkowo zainstalowany zestaw kamer, do którego dostęp ma wiele osób.

Firma powinna ustalić cel monitoringu, zakres obserwowanego obszaru, osoby posiadające dostęp, sposób reagowania na zdarzenia i okres przechowywania materiału. Prezes UODO wskazuje, że monitoring pracowniczy może służyć między innymi bezpieczeństwu pracowników, ochronie mienia, kontroli produkcji oraz ochronie informacji, których ujawnienie mogłoby narazić pracodawcę na szkodę. Powinien być jednak poprzedzony oceną niezbędności i odpowiednim uregulowaniem sposobu wykorzystywania danych.

W praktyce największym problemem często nie jest brak kamer.

Jest nim brak osoby, która analizuje zdarzenia i łączy je z informacjami pochodzącymi z innych obszarów.

Alert powinien informować, co się wydarzyło i dlaczego jest to ważne

Źle zaprojektowany monitoring produkuje ogromną liczbę powiadomień.

Po kilku tygodniach nikt ich nie czyta.

Dlatego każde zdarzenie powinno otrzymać poziom znaczenia.

Informacja

Zdarzenie warte odnotowania, które nie wymaga obecnie działania.

Sygnał ostrzegawczy

Zmiana mogąca mieć znaczenie, wymagająca dodatkowej weryfikacji albo obserwowania dalszego rozwoju.

Alert krytyczny

Zdarzenie mogące bezpośrednio wpływać na bezpieczeństwo, reputację, majątek albo ciągłość działania firmy.

Dobry alert nie brzmi: „W internecie pojawiła się nowa wzmianka o firmie.”

Powinien wskazywać:

„Na nowo utworzonym profilu opublikowano fragment dokumentu dotyczącego nieogłoszonej reorganizacji. Materiał został następnie przesłany dwóm kluczowym klientom. Treść dokumentu była dotychczas znana ograniczonej grupie osób.”

Zarząd od razu wie, dlaczego informacja ma znaczenie.

Raport okresowy powinien pokazywać zmianę ryzyka

Monitoring nie może ograniczać się do przesyłania surowych wyników.

Raport powinien odpowiadać na kilka podstawowych pytań:

· co wydarzyło się w analizowanym okresie;

· które wcześniejsze ryzyka uległy zwiększeniu lub zmniejszeniu;

· jakie nowe osoby albo podmioty pojawiły się w otoczeniu firmy;

· czy niezależne sygnały zaczynają tworzyć jeden schemat;

· które zdarzenia wymagają działania zarządu albo kancelarii;

· czego nadal nie udało się potwierdzić.

Ustawa o usługach detektywistycznych wymaga zachowania rzetelności, należytej staranności i sprawdzania zgodności uzyskanych informacji z prawdą. Końcowe sprawozdanie powinno opisywać stan faktyczny oraz zakres i przebieg przeprowadzonych czynności.

W stałym monitoringu ta sama zasada powinna obowiązywać również w raportach okresowych.

Fakt musi być oddzielony od hipotezy, a informacja potwierdzona od sygnału wymagającego dalszej weryfikacji.

Modelowy przykład kompleksowego monitoringu

Firma technologiczna przygotowuje sprzedaż części przedsiębiorstwa inwestorowi.

Zarząd obawia się wycieku informacji, przejęcia zespołu i działań konkurenta.

Monitoring rozpoczyna się od przygotowania mapy osób mających dostęp do informacji o transakcji, najważniejszych pracowników, domen, podmiotów konkurencyjnych i kluczowych klientów.

Po kilku tygodniach pojawiają się trzy pozornie niezależne sygnały.

Były menedżer rejestruje nową spółkę. Konkurent publikuje ogłoszenia rekrutacyjne odpowiadające specjalizacji zespołu objętego transakcją. W pobliżu siedziby odbywają się regularne spotkania byłego menedżera z dwoma pracownikami firmy.

Żaden sygnał osobno nie dowodzi przygotowywania przejęcia zespołu.

Dalszy monitoring wykazuje jednak, że nowa spółka tworzy markę skierowaną do tych samych klientów, a jeden z pracowników pobierał zestawienia dotyczące projektów objętych transakcją. Niedługo później do klienta trafia oferta zawierająca rozwiązania podobne do niepublicznej koncepcji firmy.

Zarząd otrzymuje alert jeszcze przed odejściem zespołu i utratą kontraktu.

Dzięki temu może zabezpieczyć informacje, porozmawiać z pracownikami, przygotować komunikację z klientem i przekazać kancelarii uporządkowaną chronologię.

Najważniejszym wynikiem monitoringu nie jest więc późniejsze opisanie szkody.

Jest nim możliwość reakcji, gdy zagrożenie nadal można ograniczyć.

Jak wygląda kompleksowa usługa DKDetektyw

Zakres zawsze wynika z charakteru firmy i rozpoznanego ryzyka. Może jednak łączyć cztery podstawowe warstwy:

1. Działania operacyjne – rozpoznanie zdarzeń, osób, spotkań i aktywności w otoczeniu przedsiębiorstwa.

2. OSINT i analiza biznesowa – monitoring rejestrów, powiązań, nowych podmiotów, domen i publicznych zmian.

3. Monitoring internetu i reputacji – analiza publikacji, profili, komentarzy, dokumentów i narracji dotyczących firmy.

4. Raportowanie i alerty – przekazywanie potwierdzonych ustaleń w formie umożliwiającej szybkie podjęcie decyzji.

W zależności od sytuacji system może działać stale albo zostać uruchomiony na czas transakcji, konfliktu, restrukturyzacji, odejścia kluczowego pracownika lub innego okresu podwyższonego ryzyka.

Komentarz Dawida Kuciela

Bezpieczeństwo firmy nie polega na tym, żeby wiedzieć wszystko.

Polega na tym, żeby wystarczająco wcześnie zauważyć to, co zaczyna się zmieniać.

Samochód pod biurem, nowa domena, odejście pracownika i negatywna publikacja mogą nie mieć ze sobą żadnego związku.

Mogą też być czterema elementami tej samej operacji.

Dlatego nie analizuję ich osobno.

Sprawdzam, kto stoi za poszczególnymi działaniami, kiedy się rozpoczęły, kogo dotyczą i czy prowadzą do wspólnego celu.

Dobrze zaprojektowany monitoring nie zasypuje zarządu informacjami.

Daje mu przewagę czasu.

Podsumowanie

Kompleksowy monitoring bezpieczeństwa firmy powinien obejmować znacznie więcej niż internet albo monitoring wizyjny.

Łączy analizę:

ludzi, zdarzeń, otoczenia fizycznego, rejestrów, internetu, reputacji, informacji i zmian organizacyjnych.

Jego celem nie jest zbieranie danych dla samego ich posiadania.

Celem jest możliwie szybkie rozpoznanie, że niezależne z pozoru sygnały zaczynają tworzyć realne zagrożenie dla przedsiębiorstwa.

Powiązane materiały

Jeżeli ten temat dotyczy Twojej sytuacji, zobacz również:

• Bezpieczeństwo biznesu
• Jak media społecznościowe są wykorzystywane do ataków socjotechnicznych
• Co grozi za wynoszenie danych z firmy