Kontrwywiad gospodarczy

W wielu firmach bezpieczeństwo zaczyna się od antywirusa, kontroli dostępu do serwera i podpisania przez pracowników umowy o poufności. Problem w tym, że najcenniejsze informacje przedsiębiorstwa bardzo rzadko istnieją wyłącznie w systemie informatycznym. Znają je ludzie, omawia się je podczas spotkań, przesyła kontrahentom, zabiera w delegacje, drukuje, fotografuje i wykorzystuje podczas negocjacji.

Lista kluczowych klientów, wysokość marży, polityka cenowa, warunki przygotowywanej oferty, strategia przejęcia konkurenta, wyniki badań, dokumentacja technologiczna czy plan wejścia na nowy rynek mogą być warte więcej niż część fizycznego majątku przedsiębiorstwa. Wystarczy jednak, że jedna z takich informacji znajdzie się we właściwym momencie w rękach konkurencji, aby przewaga budowana przez kilka lat zniknęła w ciągu kilku godzin.

Właśnie dlatego kontrwywiad gospodarczy nie powinien kojarzyć się z filmową walką szpiegów. W nowoczesnej firmie jest przede wszystkim systemem zarządzania ryzykiem informacyjnym: identyfikuje informacje wymagające ochrony, wskazuje osoby i procesy tworzące największe ryzyko, wykrywa anomalie oraz pomaga reagować wtedy, gdy istnieje podejrzenie wycieku.

Dobrze zorganizowany kontrwywiad gospodarczy nie zakłada, że każdy pracownik jest potencjalnym zdrajcą. Zakłada natomiast, że każda organizacja posiada informacje, których utrata może ją dużo kosztować, a człowiek, technologia i źle zaprojektowane procedury mogą stać się drogą ich wydostania się na zewnątrz.

Czym jest kontrwywiad gospodarczy?

Kontrwywiad gospodarczy można określić jako zespół legalnych działań organizacyjnych, analitycznych, technicznych i operacyjnych służących ochronie przedsiębiorstwa przed nieuprawnionym pozyskiwaniem, wykorzystywaniem albo ujawnianiem informacji istotnych dla jego działalności.

Jego zadaniem nie jest „szpiegowanie pracowników”. Znacznie trafniej powiedzieć, że kontrwywiad odpowiada na pytanie:

Jak ktoś mógłby zdobyć informacje, których nie chcemy ujawnić, i co możemy zrobić, żeby mu to utrudnić albo odpowiednio szybko wykryć takie działanie?

W zależności od wielkości firmy może to być osobna funkcja bezpieczeństwa, część compliance, security, risk managementu lub zadanie realizowane wspólnie przez zarząd, dział prawny, IT i zewnętrznych specjalistów.

W mniejszych przedsiębiorstwach nie ma potrzeby tworzenia „biura kontrwywiadu”. Ważniejsze jest, aby sama funkcja istniała: ktoś musi wiedzieć, jakie informacje są dla firmy krytyczne, kto posiada do nich dostęp, jakie są scenariusze ich utraty i co firma zrobi w razie incydentu.

Kontrwywiad gospodarczy a wywiad gospodarczy – jaka jest różnica?

Wywiad gospodarczy służy przede wszystkim zdobywaniu i analizowaniu legalnie dostępnych informacji potrzebnych do podejmowania decyzji biznesowych. Możemy dzięki niemu weryfikować kontrahenta, konkurenta, rynek, powiązania osobowe i kapitałowe czy określone ryzyko gospodarcze.

Kontrwywiad patrzy w przeciwnym kierunku. Zamiast pytać:

„Co możemy legalnie ustalić o otoczeniu biznesowym?”

pyta:

„Co otoczenie biznesowe może ustalić o nas i które z tych informacji powinniśmy chronić?”

Obie funkcje bardzo dobrze się uzupełniają. Analiza konkurencji może pokazać jej zainteresowanie konkretnym segmentem rynku, a kontrwywiad powinien wtedy ocenić, czy własna strategia wejścia na ten rynek jest odpowiednio chroniona.

Nie należy natomiast mylić wywiadu gospodarczego ze szpiegostwem przemysłowym. Legalne pozyskiwanie informacji z otwartych źródeł, publicznych rejestrów czy zgodnie z prawem prowadzonych czynności różni się zasadniczo od włamań do systemów, kradzieży dokumentów, bezprawnego przechwytywania komunikacji czy nakłaniania pracownika do przekazania tajemnicy przedsiębiorstwa.

Szerzej opisuję ten problem w artykule o szpiegostwie przemysłowym.

Najpierw ustal, co właściwie chronisz

Jednym z najczęstszych błędów jest oznaczanie wszystkiego jako:

POUFNE.

Jeżeli poufna jest prezentacja marketingowa dostępna na stronie internetowej, poufna jest karta świąteczna i poufny jest plan przejęcia konkurenta, pracownicy bardzo szybko przestają traktować takie oznaczenia poważnie.

Pierwszym zadaniem powinno więc być stworzenie mapy informacji.

W praktyce można podzielić dane na kilka poziomów znaczenia. Informacje publiczne nie wymagają szczególnych ograniczeń. Informacje wewnętrzne nie powinny opuszczać organizacji, ale ich ujawnienie nie spowoduje katastrofy. Dane poufne mogą już wyrządzić przedsiębiorstwu mierzalną szkodę. Na końcu znajdują się informacje krytyczne, których utrata może zagrozić kluczowemu kontraktowi, przewadze technologicznej albo strategicznemu projektowi.

Dopiero po takim podziale można odpowiedzieć na kolejne pytanie:

Kto naprawdę musi mieć do nich dostęp?

Tajemnica przedsiębiorstwa wymaga realnej ochrony

To szczególnie ważne z perspektywy prawnej.

Nie wystarczy po fakcie powiedzieć:

„to przecież była nasza tajemnica”.

Aby określona informacja mogła korzystać z ochrony jako tajemnica przedsiębiorstwa, istotne jest między innymi to, że posiada wartość gospodarczą, nie jest powszechnie znana ani łatwo dostępna dla osób zwykle zajmujących się tego rodzaju informacjami, a przedsiębiorca podjął przy zachowaniu należytej staranności działania zmierzające do utrzymania jej w poufności.

W praktyce oznacza to, że ochrona tajemnicy zaczyna się długo przed procesem sądowym.

Znaczenie mogą mieć między innymi zakresy dostępu, procedury, odpowiednie zapisy umowne, sposób przechowywania dokumentów, zabezpieczenia systemów, szkolenia oraz rzeczywiste ograniczenie liczby osób posiadających dostęp do informacji.

Jeżeli kluczowy plik znajduje się na wspólnym dysku dostępnym dla kilkuset osób, a nikt nigdy nie wyjaśnił pracownikom, że zawiera informacje chronione, późniejsze wykazywanie odpowiedniego poziomu ochrony może być znacznie trudniejsze.

Jakie informacje najczęściej wymagają ochrony?

Nie istnieje uniwersalna lista dla wszystkich przedsiębiorstw. Producent ma inne aktywa informacyjne niż kancelaria, firma logistyczna czy software house.

Najczęściej szczególnej ochrony wymagają jednak informacje takie jak baza klientów i historia współpracy z nimi, polityka cenowa i marże, warunki indywidualnych rabatów, projekty ofert przed ich złożeniem, strategie negocjacyjne, dokumentacja techniczna i technologiczna, kod źródłowy, informacje o nowych produktach, plany inwestycji, dane dotyczące przejęć i sprzedaży przedsiębiorstw, informacje o dostawcach oraz dane pozwalające przewidzieć przyszłe działania firmy.

Bardzo często przedsiębiorstwo chroni serwer, ale zapomina chronić kontekst.

Konkurencja nie zawsze potrzebuje całego dokumentu. Czasami wystarczy jej informacja:

„Oni schodzą maksymalnie do 12% marży”.

Albo:

„W piątek składają ofertę za 8,7 mln”.

Jedno zdanie przekazane właściwej osobie we właściwym momencie może mieć większą wartość niż tysiąc stron dokumentacji.

Największym zagrożeniem nie zawsze jest nieuczciwy pracownik

Wewnętrzne wycieki bardzo często kojarzymy z osobą, która celowo wynosi dane do konkurencji. Taki scenariusz oczywiście występuje, ale nie jest jedyny.

Informacja może wypłynąć również wtedy, gdy pracownik działa bez złych intencji. Rozmawia o projekcie podczas podróży pociągiem, przesyła dokument na prywatną skrzynkę, żeby dokończyć go wieczorem, udostępnia plik niewłaściwemu odbiorcy, publikuje zdjęcie z biura z widoczną tablicą projektową albo odpowiada na dobrze przygotowany telefon osoby podszywającej się pod współpracownika.

Dlatego dojrzały kontrwywiad nie szuka wyłącznie zdrajców.

Szuka słabych punktów systemu.

Social engineering – firma może sama oddać najważniejsze informacje

Nie trzeba włamywać się do serwera, jeżeli można zadzwonić do pracownika i przekonać go, żeby sam podał potrzebną informację.

Atakujący może podszyć się pod:

pracownika IT,

członka zarządu,

klienta,

kuriera,

dostawcę,

kandydata do pracy,

serwisanta.

Im więcej informacji o strukturze firmy znajduje się publicznie w internecie, tym łatwiej stworzyć wiarygodną historię.

Dlatego szkolenie z ochrony informacji nie powinno sprowadzać się do slajdu:

„Nie podawaj hasła”.

Pracownik powinien wiedzieć, jak wygląda manipulacja, dlaczego ktoś może pytać o pozornie nieistotne rzeczy i kiedy powinien przerwać rozmowę oraz zgłosić incydent.

Kontrwywiad zaczyna się od mapy przepływu informacji

Zanim zaczniemy mówić o podsłuchach, obserwacji czy śledztwie wewnętrznym, warto wykonać znacznie prostsze ćwiczenie.

Wybierz jedną krytyczną informację, na przykład cenę oferty przetargowej.

Następnie ustal:

Kto ją tworzy?

Kto ją zatwierdza?

Gdzie jest przechowywana?

Kto może otworzyć plik?

Czy jest drukowana?

Komu jest wysyłana?

Czy otrzymuje ją kancelaria, podwykonawca albo konsultant?

Czy trafia na telefony?

Czy ktoś pracuje nad nią z domu?

W ilu miejscach istnieją kopie?

Bardzo często dopiero po takim ćwiczeniu zarząd odkrywa, że informacja uznawana za „ściśle poufną” jest w praktyce dostępna dla kilkudziesięciu osób.

Kontrwywiad powinien ograniczać takie sytuacje zanim wydarzy się incydent.

Zasada need-to-know

Jedną z najprostszych zasad bezpieczeństwa jest ograniczanie dostępu do informacji do osób, które faktycznie potrzebują jej do wykonania swoich obowiązków.

Nie oznacza to utrudniania pracownikom pracy.

Oznacza projektowanie dostępu świadomie.

Pracownik działu sprzedaży może potrzebować danych klientów, ale nie musi posiadać dostępu do dokumentów dotyczących planowanego przejęcia firmy. Osoba odpowiedzialna za jeden projekt nie zawsze powinna mieć automatyczny dostęp do pełnej dokumentacji wszystkich pozostałych projektów.

Im mniej niepotrzebnych punktów dostępu, tym mniejsza powierzchnia ryzyka.

Pracownik odchodzący z firmy to moment szczególnego ryzyka

Najbardziej wartościowe informacje często opuszczają przedsiębiorstwo nie pierwszego dnia zatrudnienia, lecz ostatniego.

Pracownik doskonale zna wtedy:

klientów,

procedury,

ceny,

dostawców,

słabe punkty,

strukturę zespołu,

plany na kolejne miesiące.

Dlatego offboarding nie powinien polegać jedynie na odebraniu laptopa i karty dostępu.

W zależności od stanowiska warto ustalić, jakie informacje posiadała osoba, do jakich systemów miała dostęp, czy dostęp został odebrany we wszystkich usługach, jakie urządzenia i dokumenty zwróciła oraz czy obowiązki dotyczące poufności zostały jej właściwie przypomniane.

Nie oznacza to automatycznie objęcia byłego pracownika obserwacją.

Monitoring człowieka „na wszelki wypadek” nie jest rozsądnym modelem bezpieczeństwa.

Jeżeli jednak po odejściu pojawiają się konkretne informacje wskazujące na wyniesienie danych, naruszenie tajemnicy przedsiębiorstwa lub działania na rzecz konkurencji, wtedy można przejść do konkretnego postępowania wyjaśniającego.

Background screening przed zatrudnieniem

Bezpieczeństwo osobowe rozpoczyna się jeszcze przed podpisaniem umowy, szczególnie przy stanowiskach wysokiego ryzyka.

Nie chodzi jednak o nieograniczone „prześwietlenie człowieka”. Zakres weryfikacji powinien odpowiadać stanowisku i obowiązującym przepisom.

Przy kluczowym managerze znaczenie może mieć potwierdzenie deklarowanego doświadczenia, kwalifikacji, publicznie dostępnych powiązań gospodarczych czy określonego konfliktu interesów.

Przy osobie, która otrzyma dostęp do najważniejszych informacji handlowych, naturalnym pytaniem może być również to, czy kandydat nie ukrywa aktualnych powiązań z podmiotem konkurencyjnym.

Szerzej temat legalnej weryfikacji kandydatów przed zatrudnieniem opisuję osobno.

Monitoring pracowników ma granice

Kontrwywiad gospodarczy nie daje pracodawcy prawa do dowolnego monitorowania ludzi.

Kodeks pracy przewiduje określone możliwości stosowania monitoringu wizyjnego, poczty służbowej oraz innych form monitoringu, ale wiąże je z konkretnymi celami i warunkami. Monitoring musi mieć uzasadnienie, zostać właściwie wdrożony i nie może oznaczać całkowitego zanegowania prywatności pracownika.

Dlatego nie budowałbym bezpieczeństwa firmy na modelu:

„obserwujemy każdego, bo może coś zrobić”.

Znacznie skuteczniejsze jest połączenie kontroli dostępu, logowania operacji, odpowiednich procedur, segmentacji informacji oraz reakcji na konkretne anomalie.

Dzięki temu kontrolujemy przede wszystkim proces, a nie prywatne życie człowieka.

Konflikt interesów

Jednym z obszarów, które często pozostają niezauważone, są powiązania pracowników z podmiotami zewnętrznymi.

Pracownik może jednocześnie:

prowadzić własną działalność,

posiadać udziały w innym przedsiębiorstwie,

mieć bliską relację biznesową z dostawcą,

współpracować z klientem poza wiedzą firmy.

Nie każde takie powiązanie oznacza problem.

Problem zaczyna się wtedy, gdy wpływa na decyzje podejmowane w imieniu pracodawcy, tworzy nieujawniony konflikt interesów albo prowadzi do przekazywania informacji, do których osoba uzyskała dostęp dzięki zatrudnieniu.

Dlatego w kluczowych obszarach firmy powinny istnieć jasne zasady zgłaszania konfliktów interesów.

Kontrahent również może być źródłem wycieku

Nie wszystkie tajemnice opuszczają firmę poprzez pracowników.

Przedsiębiorstwo często przekazuje wrażliwe informacje:

kancelariom,

biurom rachunkowym,

agencjom marketingowym,

dostawcom IT,

firmom rekrutacyjnym,

podwykonawcom,

konsultantom.

Jeżeli firma sama posiada bardzo wysokie standardy bezpieczeństwa, ale przesyła pełną dokumentację projektową podmiotowi posiadającemu znacznie słabsze zabezpieczenia, poziom ochrony całego procesu spada do poziomu najsłabszego uczestnika.

Dlatego weryfikacja kontrahentów powinna obejmować również ryzyko informacyjne, jeśli druga strona będzie miała dostęp do szczególnie wartościowych danych.

Bezpieczne spotkania zarządu

Jedna z najbardziej wartościowych kategorii informacji powstaje podczas spotkań najwyższej kadry.

Zarząd omawia:

przejęcia,

zwolnienia,

spory,

negocjacje,

wyniki,

nowe produkty,

strategię.

W takich sytuacjach bezpieczeństwo nie powinno ograniczać się do zamknięcia drzwi sali konferencyjnej.

W zależności od poziomu ryzyka warto uwzględnić kontrolę osób posiadających dostęp do pomieszczenia, zasady korzystania z urządzeń, ochronę dokumentów, bezpieczny sposób prowadzenia zdalnych połączeń oraz okresową kontrolę techniczną pomieszczeń.

Przy szczególnie wrażliwych projektach wykrywanie podsłuchów i profesjonalne badanie TSCM może być jednym z elementów szerszego systemu ochrony informacji.

Nie powinno jednak zastępować podstaw.

Nie ma sensu szukać zaawansowanego urządzenia podsłuchowego w sali, jeżeli prezentacja ze spotkania leży później przez tydzień na drukarce dostępnej dla całego biura.

Delegacje i podróże służbowe

Ryzyko informacyjne zmienia się również poza siedzibą firmy.

Hotel, konferencja, lotnisko, samochód, restauracja czy pociąg nie są kontrolowanym środowiskiem organizacji.

Podczas delegacji pracownicy i członkowie zarządu zabierają ze sobą urządzenia zawierające często ogromną ilość danych. Jednocześnie prowadzą rozmowy w miejscach publicznych, korzystają z obcych sieci i spotykają osoby, których wcześniej nie znali.

Przy wyjazdach związanych z bardzo wrażliwymi projektami warto zaplanować bezpieczeństwo informacyjne równie dokładnie jak logistykę podróży.

Testy bezpieczeństwa zamiast wiary w procedury

Procedura, której nikt nigdy nie sprawdził, daje tylko teoretyczne poczucie bezpieczeństwa.

Dlatego warto okresowo testować system.

Może to oznaczać kontrolowany test socjotechniczny, próbę przejścia przez procedurę osoby zewnętrznej, test bezpieczeństwa fizycznego albo audyt przepływu informacji.

W obszarze cyberbezpieczeństwa testy penetracyjne powinny być wykonywane przez specjalistów posiadających odpowiednie kompetencje i jednoznaczne upoważnienie do działania.

Celem nie jest „złapanie pracownika”.

Celem jest znalezienie miejsca, w którym system pozwala popełnić błąd.

Co zrobić, gdy podejrzewasz wyciek informacji?

Najgorszym pierwszym krokiem jest publiczne oskarżenie konkretnej osoby.

Wyobraźmy sobie, że konkurencja po raz trzeci składa ofertę minimalnie niższą od naszej.

Zarząd podejrzewa dyrektora handlowego.

Możliwe, że ma rację.

Ale równie dobrze źródłem może być:

inna osoba,

zewnętrzny doradca,

niewłaściwie zabezpieczony system,

wysłany błędnie e-mail,

dokument pozostawiony podczas spotkania.

Profesjonalne postępowanie powinno rozpocząć się od zabezpieczenia materiałów i stworzenia mapy informacji.

Kto znał ofertę?

Od kiedy?

Gdzie znajdował się dokument?

Kto go otwierał?

Komu go wysłano?

Czy istniały wydruki?

Czy informację otrzymały podmioty zewnętrzne?

Dopiero po ograniczeniu możliwych scenariuszy warto podejmować dalsze czynności.

Nie niszcz własnych dowodów

W pierwszych godzinach po wykryciu incydentu firma może nieświadomie zniszczyć część materiału.

Administrator resetuje komputer.

Przełożony odbiera telefon.

Pracownik zostaje natychmiast zwolniony.

Skrzynka pocztowa jest usuwana.

Logi są nadpisywane.

A po tygodniu prawnik albo biegły pyta:

„Czy zachowaliście stan systemu z dnia incydentu?”

Dlatego plan reagowania powinien powstać zanim wydarzy się problem.

Powinien określać, kto zabezpiecza dowody, kto podejmuje decyzje, kto komunikuje się z pracownikiem, kiedy angażowana jest kancelaria i kiedy potrzebne są zewnętrzne czynności.

Kiedy prywatny detektyw może pomóc firmie?

Nie każdy problem wymaga detektywa.

Jeżeli analiza logów jednoznacznie pokazuje, co się wydarzyło, wysyłanie zespołu terenowego nie zwiększy wartości materiału.

Rola detektywa pojawia się wtedy, gdy istnieją fakty wymagające legalnej weryfikacji poza systemami przedsiębiorstwa.

Może chodzić między innymi o ustalenie powiązań osobowych i gospodarczych, OSINT, weryfikację konkretnego konfliktu interesów, dokumentowanie określonych zachowań, analizę informacji o podmiotach zewnętrznych czy ustalenia potrzebne do sprawy związanej z naruszeniem tajemnicy przedsiębiorstwa.

Ustawa o usługach detektywistycznych pozwala wykonywać czynności polegające na uzyskiwaniu, przetwarzaniu i przekazywaniu informacji w zakresie niezastrzeżonym dla organów państwa. Jednocześnie detektyw nie może korzystać z metod i środków operacyjno-rozpoznawczych zastrzeżonych dla uprawnionych służb.

To granica, która powinna być jasna również dla klienta.

Kontrwywiad nie oznacza prywatnej służby specjalnej

Nie powinno się budować w przedsiębiorstwie kultury, w której dział bezpieczeństwa zaczyna uważać się za służbę posiadającą specjalne uprawnienia.

Kontrwywiadem gospodarczym nie jest zbieranie „haków” na pracowników, prowadzenie nieograniczonej inwigilacji ich życia prywatnego, włamywanie się do urządzeń, podsłuchiwanie prywatnych rozmów czy wykorzystywanie bezpieczeństwa jako pretekstu do działań niezgodnych z prawem.

Bezpieczeństwo nie daje immunitetu od prawa.

Najlepszy system jest skuteczny właśnie dlatego, że działa w jasno określonych ramach.

Jak zbudować kontrwywiad gospodarczy w firmie?

Nie zaczynałbym od zatrudnienia dziesięciu osób do nowego działu.

Zacząłbym od audytu.

Pierwszym krokiem jest określenie najważniejszych aktywów informacyjnych firmy. Następnie trzeba zmapować osoby i procesy mające do nich dostęp. Kolejnym etapem jest analiza realistycznych scenariuszy utraty informacji oraz istniejących zabezpieczeń.

Dopiero wtedy wiadomo, czego naprawdę potrzeba.

Dla jednego przedsiębiorstwa problemem będzie kontrola dostępu do danych.

Dla drugiego bezpieczeństwo zarządu.

Dla trzeciego dostawcy zewnętrzni.

Dla czwartego wycieki informacji handlowych.

Dla piątego brak jakiejkolwiek kontroli nad tym, co dzieje się z urządzeniami i dostępami pracowników po zakończeniu współpracy.

System powinien być budowany pod realne ryzyko firmy, a nie pod katalog modnych usług bezpieczeństwa.

Trzy poziomy dojrzałości kontrwywiadowczej

Można przyjąć prosty model praktyczny.

Poziom podstawowy – wiemy, co chronimy

Firma posiada klasyfikację informacji, określone dostępy, zasady poufności, procedury onboardingu i offboardingu oraz podstawowe szkolenia bezpieczeństwa.

Poziom rozwinięty – wiemy, gdzie może pojawić się wyciek

Organizacja posiada mapę przepływu informacji, analizuje konflikty interesów, monitoruje określone systemy zgodnie z prawem, kontroluje dostawców i posiada procedurę reakcji na incydenty.

Poziom strategiczny – potrafimy wykrywać i analizować zagrożenia

Przedsiębiorstwo prowadzi regularne audyty, korzysta z OSINT, analizuje otoczenie biznesowe, wykonuje ćwiczenia bezpieczeństwa, okresowe TSCM w obszarach wysokiego ryzyka i posiada możliwość szybkiego uruchomienia zespołu reagowania przy konkretnym incydencie.

To nie jest klasyfikacja ustawowa.

To praktyczny sposób odpowiedzi na pytanie:

gdzie znajduje się moja firma i czego brakuje jej do kolejnego poziomu bezpieczeństwa?

Kontrwywiad gospodarczy nie powinien być działem „nie”

Dobrze zorganizowane bezpieczeństwo nie blokuje biznesu.

Jeżeli każda decyzja kończy się odpowiedzią:

„nie wolno, bo bezpieczeństwo”

pracownicy zaczynają omijać procedury.

Rolą kontrwywiadu jest umożliwienie biznesowi działania przy akceptowalnym poziomie ryzyka.

Zarząd może świadomie zdecydować:

tego ryzyka nie akceptujemy,

to możemy ograniczyć,

to ubezpieczamy,

to świadomie pozostawiamy.

Bezpieczeństwo nie polega na eliminacji każdego zagrożenia.

To byłoby niemożliwe i ekonomicznie absurdalne.

Polega na świadomym zarządzaniu ryzykiem.

Komentarz Dawida Kuciela

W firmach bardzo często spotykam dwa skrajne podejścia.

Pierwsze brzmi:

„U nas nie ma czego kraść.”

Drugie:

„Musimy kontrolować wszystkich.”

Oba są błędne.

Prawie każda firma posiada informacje, które dla kogoś mają wartość. Nie musi to być tajna technologia. Czasami największą wartością jest lista klientów z informacją, jakie rabaty są gotowi zaakceptować.

Jednocześnie nie da się budować przedsiębiorstwa, zakładając, że każdy pracownik jest potencjalnym szpiegiem.

Dlatego zaczynam od zupełnie innego pytania:

„Co musiałaby wiedzieć konkurencja, żeby naprawdę wam zaszkodzić?”

Jeżeli odpowiedź brzmi:

„nasze ceny w przetargach”,

to sprawdzamy drogę tych cen.

Jeżeli:

„listę klientów”,

to analizujemy, kto posiada do niej dostęp i gdzie występują kopie.

Jeżeli:

„plan przejęcia spółki”,

to patrzymy, ile osób wie o projekcie i w jaki sposób komunikują się między sobą.

Dopiero później zastanawiam się, czy potrzebny jest audyt, OSINT, TSCM, analiza powiązań czy konkretne działania detektywistyczne.

Najdroższy system bezpieczeństwa nie zawsze jest najlepszy.

Najlepszy jest ten, który chroni właściwą informację przed właściwym zagrożeniem.

I jeszcze jedna rzecz.

Jeżeli konkurencja poznała Twoją ofertę pięć minut po jej złożeniu, nie zaczynaj od pytania:

„Kto jest kretem?”

Zacznij od:

„Kto znał tę informację i którędy mogła wyjść?”

To znacznie mniej efektowne pytanie.

Ale zwykle znacznie skuteczniejsze.

Kontrwywiad gospodarczy – najczęstsze pytania

Czym jest kontrwywiad gospodarczy?
To zespół legalnych działań służących ochronie przedsiębiorstwa przed nieuprawnionym pozyskiwaniem, wykorzystywaniem i ujawnianiem informacji oraz wykrywaniu zagrożeń skierowanych przeciwko firmie.

Czym różni się kontrwywiad gospodarczy od wywiadu gospodarczego?
Wywiad gospodarczy pozyskuje i analizuje informacje potrzebne firmie o jej otoczeniu. Kontrwywiad koncentruje się na ochronie własnych informacji, ludzi i procesów przed działaniami zewnętrznymi oraz wewnętrznymi.

Czy kontrwywiad gospodarczy jest legalny?
Tak, jeżeli wykonywane działania mieszczą się w granicach obowiązującego prawa. Sama nazwa nie daje przedsiębiorstwu ani detektywowi dodatkowych uprawnień do ingerowania w prywatność ludzi.

Co jest tajemnicą przedsiębiorstwa?
W uproszczeniu są to informacje posiadające wartość gospodarczą, które nie są powszechnie znane ani łatwo dostępne dla właściwego kręgu osób, a przedsiębiorca podejmuje odpowiednie działania w celu utrzymania ich poufności.

Czy samo podpisanie NDA wystarczy do ochrony tajemnicy przedsiębiorstwa?
Nie zawsze. Umowa o poufności jest ważnym elementem, ale znaczenie mają również rzeczywiste środki organizacyjne i techniczne służące ochronie informacji.

Czy pracodawca może monitorować pracowników?
Prawo przewiduje określone formy monitoringu i konkretne warunki ich stosowania. Nie istnieje ogólne prawo do nieograniczonego monitorowania całego życia pracownika.

Czy można obserwować byłego pracownika po odejściu z firmy?
Nie powinno się prowadzić działań wyłącznie dlatego, że osoba zakończyła zatrudnienie. Inaczej może wyglądać sytuacja, gdy pojawiają się konkretne informacje wskazujące na naruszenie prawa lub zobowiązań i istnieje legalnie uzasadniony przedmiot czynności.

Czy kontrwywiad gospodarczy zajmuje się wykrywaniem podsłuchów?
TSCM może być jednym z elementów ochrony informacji w obszarach wysokiego ryzyka, szczególnie w pomieszczeniach, w których omawiane są szczególnie wrażliwe sprawy.

Czy prywatny detektyw może pomóc przy wycieku informacji z firmy?
Tak, jeżeli istnieją konkretne fakty możliwe do legalnej weryfikacji. Zakres może obejmować między innymi OSINT, analizę powiązań, ustalenia dotyczące określonych osób lub podmiotów i dokumentowanie konkretnych zdarzeń.

Czy detektyw może włamać się do telefonu pracownika albo sprawdzić jego prywatną pocztę?
Nie. Detektyw nie posiada takich uprawnień.

Czy firma potrzebuje własnego działu kontrwywiadu?
Nie zawsze. W wielu przedsiębiorstwach funkcję można zorganizować poprzez współpracę zarządu, działu prawnego, IT, bezpieczeństwa i zewnętrznych specjalistów.

Od czego rozpocząć budowę kontrwywiadu gospodarczego?
Od identyfikacji informacji najważniejszych dla firmy, mapy dostępu do nich, analizy możliwych dróg utraty oraz oceny istniejących zabezpieczeń.

Podsumowanie

Kontrwywiad gospodarczy nie jest firmową wersją służby specjalnej i nie powinien kojarzyć się z inwigilacją pracowników. W nowoczesnym przedsiębiorstwie jest przede wszystkim elementem zarządzania ryzykiem.

Jego zadaniem jest odpowiedzieć na kilka fundamentalnych pytań: jakie informacje są dla firmy najcenniejsze, kto posiada do nich dostęp, jak mogą zostać utracone, czy przedsiębiorstwo jest w stanie zauważyć wyciek oraz co zrobi w pierwszych godzinach po jego wykryciu.

Dopiero na tej podstawie dobiera się narzędzia. Czasami wystarczy zmiana uprawnień w systemie. Czasami potrzebne jest szkolenie. Innym razem audyt bezpieczeństwa, analiza OSINT, sprawdzenie konkretnego konfliktu interesów, wywiad gospodarczy, kontrola TSCM albo profesjonalne działania detektywistyczne.

Najważniejsza zasada pozostaje jednak prosta:

nie próbuj chronić wszystkiego jednakowo. Najpierw ustal, które informacje naprawdę mogą kosztować Twoją firmę pieniądze, klientów albo przewagę konkurencyjną.

Dopiero wtedy można zbudować system, który będzie nie tylko wyglądał na bezpieczny, ale rzeczywiście będzie chronił przedsiębiorstwo.