Pilne wykrywanie podsłuchów po wycieku – co zrobić w pierwszych 24 godzinach?

Konkurent zna dokładną cenę, która padła podczas zamkniętego spotkania. Druga strona sporu cytuje zdanie wypowiedziane wyłącznie w gabinecie. Informacja o planowanej decyzji zarządu pojawia się poza firmą kilka godzin przed oficjalnym komunikatem.

Pierwsza reakcja jest zwykle gwałtowna. Zwołuje się spotkanie, informuje szerokie grono pracowników, przeszukuje pomieszczenie i zaczyna odłączać urządzenia. W ten sposób można jednak ostrzec źródło wycieku, zmienić środowisko techniczne i utracić informacje potrzebne do późniejszego wyjaśnienia zdarzenia.

Pierwsze 24 godziny powinny służyć dwóm celom: ograniczeniu dalszego ujawniania informacji oraz zachowaniu możliwie wiernego obrazu tego, co wydarzyło się przed incydentem.

Najpierw trzeba precyzyjnie nazwać informację

Nie wystarczy stwierdzenie, że „konkurencja wszystko wie”. Trzeba ustalić, jaka dokładnie informacja została ujawniona, kiedy powstała, gdzie była omawiana, w jakich dokumentach się znalazła i kto posiadał do niej dostęp.

Różnica pomiędzy znajomością terminu spotkania a znajomością pełnej treści rozmowy ma ogromne znaczenie. Pierwszy przypadek może prowadzić do kalendarza lub poczty. Drugi zwiększa znaczenie pomieszczenia, urządzeń audio i osób obecnych podczas rozmowy.

Ograniczenie obiegu informacji

O incydencie powinny wiedzieć wyłącznie osoby niezbędne do podjęcia decyzji: przedstawiciel zarządu, prawnik, osoba odpowiedzialna za bezpieczeństwo i zespół prowadzący kontrolę.

Nie chodzi o ukrywanie zagrożenia przed osobami, których dotyczy. Chodzi o uniknięcie sytuacji, w której wiadomość o planowanym badaniu w ciągu kilku minut dociera do osoby odpowiedzialnej za urządzenie, konto albo przekazywanie informacji.

Przeniesienie poufnych rozmów

Jeżeli istnieje realne podejrzenie, że konkretne pomieszczenie albo urządzenie mogło uczestniczyć w wycieku, kolejne wrażliwe rozmowy należy przenieść do innego, odpowiednio przygotowanego miejsca.

Nie trzeba natychmiast opróżniać całego biura. Ważne jest jednak, aby nie omawiać planu reakcji w tym samym środowisku, które ma zostać sprawdzone.

Zachowanie stanu pomieszczenia i urządzeń

Generalne porządki, przesuwanie mebli, wyrzucanie nieznanych przedmiotów i odłączanie całej instalacji mogą usunąć lub zmienić element istotny dla badania.

Pomieszczenie powinno pozostać możliwie zbliżone do stanu z chwili prowadzenia rozmów. Jeżeli ujawniono podejrzany przedmiot, należy udokumentować jego położenie i ograniczyć dostęp, zamiast przekazywać go kolejnym osobom.

Chronologia jest równie ważna jak sprzęt

W pierwszych godzinach warto sporządzić prostą oś czasu. Powinna obejmować moment powstania informacji, jej kolejne wersje, osoby mające dostęp, spotkania, wysyłkę dokumentów, serwisy, wejścia do pomieszczenia i chwilę, w której ujawniono wiedzę po stronie nieuprawnionej.

Chronologia pozwala zawęzić zakres kontroli. Może wskazać, że wyciek nastąpił przed spotkaniem, po wysłaniu dokumentu albo dopiero po rozmowie w określonej sali.

Kontrola musi obejmować kilka możliwych źródeł

Pilność nie uzasadnia ograniczenia badania do krótkiego pomiaru radiowego. Urządzenie może zapisywać materiał lokalnie, działać okresowo albo korzystać z legalnej infrastruktury.

Zakres powinien łączyć oględziny, analizę środowiska radiowego, wykrywanie ukrytej elektroniki, kontrolę urządzeń konferencyjnych i ocenę kont oraz dostępu do plików. W przeciwnym razie firma może otrzymać szybki, ale niepełny wynik.

Nie każdy wyciek oznacza podsłuch

Informacja może zostać przekazana przez uczestnika spotkania, skopiowana z dokumentu, ujawniona przez aktywne konto, wysłana do niewłaściwego adresata albo odczytana z kalendarza.

Profesjonalna kontrola nie powinna bronić jednej hipotezy za wszelką cenę. Jej zadaniem jest sprawdzenie, które kanały są możliwe i jakie fakty potwierdzają lub wykluczają każdy z nich.

Przykład modelowy

Po poufnym spotkaniu konkurent znał minimalną cenę oferty. Firma zażądała natychmiastowego sprawdzenia sali. Badanie nie ujawniło nieautoryzowanego urządzenia.

Chronologia wykazała, że kalkulacja została przed spotkaniem przesłana do wspólnego folderu, do którego nadal posiadał dostęp były konsultant. Dostęp był aktywny od kilku miesięcy i nie został usunięty po zakończeniu współpracy.

Szybkie zabezpieczenie chronologii i uprawnień pozwoliło znaleźć rzeczywisty kanał. Samo wielokrotne skanowanie sali nie rozwiązałoby problemu.

Co powinien zawierać pilny raport

Dokument powinien jasno wskazywać, co sprawdzono w trybie pilnym, jakie anomalie ujawniono, które kanały zostały wykluczone, a które nadal wymagają analizy. Powinien również zawierać zalecenia natychmiastowe i działania długoterminowe.

Wynik „nie znaleziono podsłuchu” jest niewystarczający, jeżeli nie wiadomo, jakie metody zastosowano i czy sprawdzono również urządzenia nieemitujące sygnału.

Komentarz Dawida Kuciela

W pierwszych 24 godzinach najważniejszy jest spokój. Firma ma ograniczyć dalszy wyciek, ale nie może przy okazji zniszczyć obrazu zdarzenia.

Zaczynam od informacji: co dokładnie wiedziała druga strona i kiedy mogła to poznać. Dopiero później ustawiam kolejność kontroli pomieszczeń, urządzeń i kont.

Pilna realizacja nie oznacza powierzchownej realizacji. Oznacza szybkie zorganizowanie pełnego procesu i skupienie zasobów na tych obszarach, które wynikają z faktów.

Podsumowanie

Po ujawnieniu wycieku należy ograniczyć krąg osób poinformowanych, przenieść poufne rozmowy, zachować stan pomieszczenia i przygotować chronologię dostępu do informacji.

Kontrola powinna objąć zarówno pomieszczenie, jak i urządzenia, konta, dokumenty oraz legalne systemy mogące przetwarzać dane.

Pierwsze 24 godziny nie służą znalezieniu winnego za wszelką cenę. Służą zabezpieczeniu faktów, zatrzymaniu dalszego ryzyka i stworzeniu warunków do rzetelnego wyjaśnienia źródła wycieku.