Kontrola gabinetu zarządu pod kątem podsłuchów – kiedy jest uzasadniona?
Kiedy sprawdzić gabinet prezesa lub członka zarządu pod kątem podsłuchów Poznaj sytuacje uzasadniające kontrolę TSCM i zakres profesjonalnego badania.
Gabinet prezesa jest często traktowany jak prywatna i bezpieczna przestrzeń.
Drzwi są zamykane. Dostęp ma ograniczona liczba osób. Najważniejsze spotkania odbywają się bez obecności pracowników z innych działów.
Jednocześnie właśnie w tym pomieszczeniu prowadzone są rozmowy o cenach, sporach, przejęciach, sytuacji finansowej, planach personalnych i strategii firmy.
Gabinet zawiera również wiele urządzeń oraz przedmiotów: telefon, komputer, drukarkę, ładowarki, elementy dekoracyjne, system alarmowy, automatykę, sprzęt konferencyjny i wyposażenie pozostawione przez poprzednich użytkowników.
Kontrola gabinetu zarządu jest uzasadniona nie tylko wtedy, gdy klient znajdzie podejrzany przedmiot.
Może mieć charakter reakcyjny, prewencyjny albo cykliczny. Decyzja powinna wynikać z wartości informacji, historii dostępu do pomieszczenia i konkretnych zdarzeń zwiększających ryzyko.
Gdy druga strona zna treść zamkniętych rozmów
Najmocniejszym powodem kontroli jest sytuacja, w której osoba nieuprawniona ujawnia wiedzę o informacjach omawianych wyłącznie w gabinecie.
Trzeba jednak ustalić, czy rzeczywiście były one dostępne tylko tam.
W spotkaniu mogli uczestniczyć pracownicy, doradcy albo członkowie zarządu. Rozmowę mogły poprzedzać wiadomości i dokumenty. Jej wnioski mogły zostać później przekazane kolejnym osobom.
Kontrola techniczna powinna być jednym z kierunków analizy, a nie automatycznym wyjaśnieniem problemu.
Jeżeli jednak charakterystyczne fragmenty rozmów regularnie trafiają na zewnątrz, a wspólnym elementem kolejnych zdarzeń jest ten sam gabinet, pełne badanie TSCM staje się uzasadnione.
Po zmianie zarządu albo właściciela
Zmiana osoby korzystającej z gabinetu powinna wiązać się nie tylko z wymianą zamków i haseł.
W pomieszczeniu mogą pozostać urządzenia, konta, elementy wyposażenia i konfiguracje należące do poprzedniego użytkownika.
Nie oznacza to, że poprzedni prezes albo wspólnik prowadził nieuprawnioną kontrolę.
Nowa osoba powinna jednak posiadać pewność, jakie urządzenia znajdują się w gabinecie, kto nimi administruje i jakie uprawnienia pozostały aktywne.
Kontrola tworzy nowy punkt odniesienia. Od tego momentu można prowadzić ewidencję zmian, serwisów i przedmiotów wnoszonych do pomieszczenia.
Podczas konfliktu wspólników
Konflikt właścicielski zwiększa ryzyko niekontrolowanego przepływu informacji.
Strony mogą prowadzić równoległe negocjacje, przygotowywać działania prawne, kontaktować się z pracownikami i zabezpieczać własne interesy.
Osoby pozostające w sporze często wcześniej posiadały legalny dostęp do gabinetu, jego urządzeń i infrastruktury.
Sam konflikt nie jest dowodem instalowania podsłuchów. Jest jednak racjonalnym powodem przeprowadzenia kontroli dostępu, uprawnień i wyposażenia.
Szczególne znaczenie ma sytuacja, w której jedna ze stron utraciła formalny dostęp, ale nadal zna szczegóły rozmów odbywających się po jej odejściu.
Po remoncie lub pracach technicznych
Gabinet może być udostępniany ekipom remontowym, serwisowi klimatyzacji, instalatorom systemów alarmowych, dostawcom mebli i pracownikom odpowiedzialnym za sieć.
Najczęściej wykonują oni legalne i potrzebne działania.
Ryzyko wynika z faktu, że przez pewien czas wiele osób może pozostawać w pomieszczeniu bez stałego nadzoru, a jego wyposażenie ulega zmianie.
Po większym remoncie warto zweryfikować instalacje, urządzenia i przedmioty pozostawione w gabinecie.
Kontrola powinna zostać wykonana po zakończeniu wszystkich prac. Badanie przeprowadzone przed montażem nowych urządzeń nie opisuje stanu, w którym później będą prowadzone rozmowy.
Po niekontrolowanym dostępie
Powodem kontroli może być zgubienie klucza, niewyjaśnione otwarcie drzwi, alarm, wejście osoby nieuprawnionej albo pozostawienie gabinetu otwartego przez dłuższy czas.
Brak skradzionych przedmiotów nie oznacza, że nic się nie wydarzyło.
Osoba mogła wejść wyłącznie po to, aby wykonać zdjęcia, uzyskać dostęp do komputera, zmienić konfigurację urządzenia albo pozostawić przedmiot.
W takim przypadku nie należy od razu sprzątać i reorganizować pomieszczenia. Warto zabezpieczyć rejestry wejść, monitoring, informacje o alarmie oraz dokumentację stanu gabinetu.
Po odejściu asystenta, doradcy lub kluczowego pracownika
Dostęp do gabinetu posiadają niekiedy osoby, które formalnie nie należą do zarządu.
Asystent może przygotowywać spotkania, odbierać dokumenty i nadzorować serwis. Doradca może korzystać z pomieszczenia pod nieobecność prezesa. Pracownik techniczny może posiadać zapasowy klucz.
Po odejściu takiej osoby trzeba sprawdzić nie tylko kartę wejścia, ale również konta, urządzenia, udostępnione usługi i fizyczne wyposażenie.
Szczególną uwagę uzasadnia konfliktowe zakończenie współpracy, przejście do konkurencji albo ujawnienie nieautoryzowanego kopiowania informacji.
Nie należy jednak przeprowadzać kontroli jako formy odwetu albo sposobu potwierdzenia z góry przyjętej tezy. Badanie ma ocenić stan techniczny, a nie przypisać winę konkretnej osobie.
Przed szczególnie ważnym wydarzeniem
Kontrola prewencyjna może zostać wykonana przed negocjacjami, posiedzeniem rady nadzorczej, rozmową z inwestorem, restrukturyzacją albo przygotowaniem działania procesowego.
Największą wartość ma wtedy, gdy zostanie przeprowadzona odpowiednio wcześnie i po jej zakończeniu dostęp do gabinetu pozostanie kontrolowany.
Jeżeli po badaniu do pomieszczenia wejdzie kilka ekip zewnętrznych, wynik nie będzie już opisywał stanu istniejącego podczas właściwego spotkania.
TSCM obejmuje szerszy zestaw działań związanych z wykrywaniem i neutralizowaniem technicznych metod nieuprawnionego pozyskiwania informacji, dlatego kontrola powinna być dostosowana do konkretnego środowiska, a nie ograniczać się do jednego rodzaju detektora. Źródło: NIST
Co dokładnie powinno zostać sprawdzone
Gabinet zarządu wymaga zwykle dokładnej kontroli wyposażenia, ponieważ znajduje się w nim wiele legalnych elementów elektronicznych.
Sprawdzenia mogą wymagać urządzenia biurowe, telefony, ładowarki, listwy, meble, elementy dekoracyjne, oświetlenie, instalacje, systemy alarmowe, czujki oraz urządzenia inteligentne.
Zakres powinien obejmować również środowisko radiowe i poszukiwanie elektroniki, która nie musi aktualnie nadawać.
Samo wykrycie sygnału nie potwierdza zagrożenia. Sygnał może pochodzić z telefonu, routera, zestawu audio albo urządzenia znajdującego się w sąsiednim pomieszczeniu.
Z drugiej strony brak sygnału nie wyklucza rejestratora zapisującego materiał lokalnie.
Dlatego wynik powinien opierać się na połączeniu metod, a nie na wskazaniu jednego pomiaru.
Szczególna rola telefonu i komputera
Jeżeli nieuprawniona osoba zna również treść wiadomości, dokumentów i lokalizację członka zarządu, kontrola gabinetu może być niewystarczająca.
Źródło problemu może znajdować się w telefonie, komputerze, koncie albo usłudze chmurowej.
Analiza urządzeń wymaga innych metod niż badanie pomieszczenia i może wymagać udziału specjalisty informatyki śledczej.
Zakres powinien być jasno określony w umowie.
Klient nie powinien zakładać, że cena za sprawdzenie gabinetu automatycznie obejmuje pełną analizę telefonów, komputerów i kont.
Czy można sprawdzić gabinet bez wiedzy jego użytkownika
Kontrola powinna być zlecana przez osobę uprawnioną do dysponowania pomieszczeniem i wyposażeniem.
Samo podejrzenie wobec członka zarządu nie daje dowolnej osobie prawa do wejścia do jego gabinetu, otwierania prywatnych przedmiotów ani kopiowania urządzeń.
Zakres musi zostać ustalony z uwzględnieniem prawa własności, uprawnień organizacyjnych, prywatności i ochrony danych.
Detektyw ma obowiązek działać zgodnie z prawem, zachować należytą staranność oraz odmówić czynności nielegalnej lub nieetycznej. Nie może również stosować środków i metod operacyjno-rozpoznawczych zastrzeżonych dla uprawnionych organów. Źródło: ustawa o usługach detektywistycznych
Co zrobić po znalezieniu podejrzanego przedmiotu
Przedmiotu nie należy od razu rozbierać, przenosić ani podłączać do komputera.
Najpierw trzeba udokumentować jego dokładne położenie, sposób zasilania, otoczenie i stan pomieszczenia.
Następnie należy ograniczyć dostęp i przenieść dalsze poufne rozmowy do innego miejsca.
Jeżeli urządzenie może służyć do nieuprawnionego uzyskiwania informacji, sprawa powinna zostać skonsultowana z prawnikiem i odpowiednimi organami.
Artykuł 267 Kodeksu karnego obejmuje między innymi zakładanie lub posługiwanie się urządzeniem podsłuchowym, wizualnym, innym urządzeniem albo oprogramowaniem w celu uzyskania informacji, do której dana osoba nie jest uprawniona. Ocena konkretnego zdarzenia i odpowiedzialności należy jednak do organów prowadzących postępowanie. Źródło: Kodeks karny
Raport z kontroli
Raport powinien przedstawiać nie tylko końcowy wniosek, lecz również zakres przeprowadzonych czynności.
Należy wskazać, jakie pomieszczenie i wyposażenie zostały sprawdzone, jakie metody zastosowano, które anomalie ujawniono i w jaki sposób je wyjaśniono.
Powinien także zawierać dokumentację fotograficzną, techniczną oraz zalecenia dotyczące dalszego zabezpieczenia gabinetu.
Jeżeli część zabudowy, instalacji lub urządzeń pozostawała niedostępna, ograniczenie musi zostać wyraźnie opisane.
Ustawa o usługach detektywistycznych przewiduje sporządzenie końcowego pisemnego sprawozdania z wykonanych czynności i przekazanie klientowi materiałów dokumentujących ustalenia. Źródło: ustawa o usługach detektywistycznych
Modelowy przypadek
Nowy prezes objął stanowisko po konflikcie właścicielskim.
Poprzedni członek zarządu opuścił spółkę, ale nadal wykazywał znajomość szczegółów rozmów prowadzonych już po jego odejściu.
Kontrola gabinetu nie ujawniła ukrytego nadajnika ani rejestratora.
Stwierdzono jednak, że telefon konferencyjny pozostawał przypisany do wspólnego konta administracyjnego. Dane dostępowe znał poprzedni zarząd oraz zewnętrzny dostawca.
Nie potwierdzono, aby ktokolwiek wykorzystywał konto do słuchania rozmów.
Potwierdzono jednak, że nowy zarząd nie posiadał pełnej kontroli nad urządzeniem znajdującym się w gabinecie.
Dostępy zostały zmienione, sprzęt ponownie skonfigurowano, a firma wprowadziła procedurę odbioru gabinetu przy każdej zmianie osoby pełniącej kluczową funkcję.
Komentarz Dawida Kuciela
Gabinet prezesa jest często uznawany za bezpieczny tylko dlatego, że ma zamykane drzwi.
Tymczasem znajduje się w nim więcej elektroniki i poufnych informacji niż w większości pozostałych pomieszczeń firmy.
Kontrolę rekomenduję szczególnie po zmianie zarządu, konflikcie wspólników, remoncie, niekontrolowanym dostępie albo przed wydarzeniem o dużej wartości biznesowej.
Nie szukam wyłącznie urządzenia ukrytego w ścianie.
Sprawdzam również legalne wyposażenie, jego konfigurację i osoby posiadające dostęp.
Czasami problemem jest dodatkowy element. Czasami konto, o którym obecny zarząd nie wiedział. Czasami wyciek w ogóle nie pochodzi z gabinetu.
Klient powinien otrzymać odpowiedź wynikającą z ustaleń, a nie z wcześniejszego podejrzenia.
Podsumowanie
Kontrola gabinetu zarządu jest uzasadniona po ujawnieniu poufnych informacji, zmianie właściciela lub zarządu, konflikcie wspólników, remoncie, niekontrolowanym dostępie oraz przed szczególnie ważnymi rozmowami.
Badanie powinno obejmować zarówno pomieszczenie, jak i legalne urządzenia, które mogą pozostawać niewłaściwie skonfigurowane.
Nie każda sprawa kończy się znalezieniem podsłuchu.
Wartością kontroli może być także ujawnienie nieaktualnych dostępów, niezinwentaryzowanego wyposażenia i słabości organizacyjnych.
Najważniejsze pytanie brzmi:
Czy zarząd rzeczywiście kontroluje całe środowisko, w którym podejmuje swoje najważniejsze decyzje
Powiązane materiały
Jeżeli ten temat dotyczy Twojej sytuacji, zobacz również:
Artykuł porządkuje zagadnienie. Zakres działań zawsze powinien wynikać z celu, dostępnych informacji i realnej sytuacji klienta.