Wykrywanie podsłuchów w biurze – co powinno zostać dokładnie sprawdzone?

Klient zleca kontrolę sali konferencyjnej.

To właśnie tam zarząd omawia ceny, spory, przejęcia, redukcje zatrudnienia i najważniejsze decyzje biznesowe.

Po rozmowie okazuje się jednak, że dokumenty są przygotowywane w gabinecie obok. Spotkania hybrydowe odbywają się przez system konferencyjny zarządzany przez zewnętrzną firmę. Po posiedzeniu uczestnicy omawiają wnioski w korytarzu, windzie i samochodzie.

Sprawdzenie wyłącznie stołu oraz ścian jednego pomieszczenia może więc nie odpowiedzieć na rzeczywiste zagrożenie.

Profesjonalna kontrola biura powinna rozpocząć się od ustalenia, gdzie poufne informacje powstają, gdzie są omawiane, w jakich urządzeniach się znajdują i kto posiada dostęp do tych miejsc.

Dopiero później można określić, co dokładnie należy zbadać.

Kontrola zaczyna się od mapy informacji

Nie każde pomieszczenie ma taki sam poziom ryzyka.

Recepcja, magazyn materiałów biurowych i gabinet zarządu pełnią zupełnie inne funkcje. Jeżeli firma dysponuje ograniczonym czasem albo budżetem, priorytet powinny otrzymać miejsca, w których omawia się informacje o największej wartości.

Najczęściej są to:

· gabinety zarządu;

· sale konferencyjne;

· pomieszczenia wykorzystywane przez kancelarię lub doradców;

· pokoje, w których przygotowuje się oferty i dokumenty strategiczne;

· strefy przechowywania poufnej dokumentacji;

· samochody używane podczas rozmów biznesowych.

Mapa powinna uwzględniać również drogę pomiędzy tymi miejscami.

Jeżeli uczestnicy po spotkaniu nadal rozmawiają w korytarzu, kuchni albo przy recepcji, formalnie sprawdzona sala nie zapewni pełnej poufności.

Sala konferencyjna

Sala konferencyjna jest jednym z najbardziej oczywistych obszarów kontroli.

Znajdują się w niej jednak nie tylko ściany, stół i krzesła. Współczesne pomieszczenie może posiadać kamerę, mikrofony, głośniki, ekran, komputer, system sterowania, ładowarki, punkty sieciowe, automatykę i elementy zasilania.

Każdy z tych przedmiotów może być legalny i potrzebny.

Kontrola powinna ustalić, czy jego budowa, konfiguracja i sposób komunikacji odpowiadają deklarowanej funkcji.

Szczególne znaczenie mają urządzenia konferencyjne. Mikrofon nie musi być ukryty, jeżeli legalny system pozostaje połączony z nieaktualnym kontem, usługą chmurową albo zdalnym administratorem.

Trzeba sprawdzić, kto zarządza sprzętem, jakie konta są aktywne, czy urządzenie może automatycznie inicjować połączenia oraz czy po zakończeniu spotkania nadal pozostaje aktywne.

Gabinety zarządu

Gabinety często zawierają więcej wyposażenia niż sale spotkań.

Znajdują się w nich telefony, komputery, drukarki, ładowarki, elementy dekoracyjne, urządzenia inteligentne, meble z zabudowanym zasilaniem i prywatne przedmioty.

Kontrola powinna objąć zarówno elementy stałe, jak i te, które pojawiły się niedawno albo których pochodzenia nikt nie potrafi wyjaśnić.

Szczególnej uwagi wymagają przedmioty pozostawione przez osoby zewnętrzne, dostarczone jako prezent, wymienione podczas serwisu albo wniesione w czasie remontu.

Nie oznacza to, że każdy prezent czy ładowarka stanowią zagrożenie.

Trzeba jednak potwierdzić, że konstrukcja przedmiotu odpowiada jego funkcji i nie zawiera nieuzasadnionej elektroniki.

Meble i przestrzenie konstrukcyjne

Urządzenie może zostać umieszczone w miejscu zapewniającym dostęp do zasilania, dobry odbiór dźwięku albo możliwość obserwacji dokumentów.

Dlatego sprawdza się między innymi meble, zabudowę, sufity podwieszane, kanały instalacyjne i przestrzenie techniczne związane z kontrolowanym pomieszczeniem.

Kontrola nie powinna jednak prowadzić do bezpodstawnego niszczenia wyposażenia.

Jeżeli dostęp wymaga demontażu lub ingerencji w instalację, należy uzgodnić go z klientem i administratorem obiektu. W części miejsc konieczna może być obecność elektryka, serwisanta albo osoby odpowiedzialnej za budynek.

Każde ograniczenie dostępu powinno zostać odnotowane w końcowym raporcie.

Gniazda, zasilacze i listwy

Elementy podłączone do zasilania wymagają szczególnej uwagi, ponieważ mogą zapewniać urządzeniu długotrwałą pracę bez konieczności wymiany baterii.

Sprawdzenie powinno obejmować identyfikację wyposażenia, ocenę jego stanu oraz porównanie z dokumentacją i informacjami przekazanymi przez klienta.

Nie należy otwierać instalacji elektrycznej bez odpowiednich kompetencji.

Celem zespołu jest ujawnienie anomalii i określenie elementów wymagających dalszej kontroli, a nie wykonywanie nieuprawnionych prac technicznych.

Podejrzana nie jest sama obecność elektroniki.

Podejrzana może być elektronika znajdująca się w miejscu, w którym nie posiada uzasadnionej funkcji.

Urządzenia biurowe

Drukarka, telefon, monitor, stacja dokująca, ładowarka i urządzenie konferencyjne posiadają legalną elektronikę i mogą komunikować się bezprzewodowo.

Z tego powodu nie wystarczy stwierdzić, że dany przedmiot generuje sygnał.

Trzeba ustalić, jaki to sygnał, kiedy występuje i czy odpowiada normalnej pracy urządzenia.

Warto również sprawdzić, kto instalował sprzęt, kto nim administruje, kiedy był serwisowany i czy jego konfiguracja została zmieniona.

Urządzenie należące formalnie do firmy może stanowić zagrożenie, jeżeli zarządza nim nieuprawniona osoba albo pozostawiono w nim dawne konta.

Środowisko radiowe

W biurze działa wiele legalnych emisji.

Sieci Wi-Fi, telefony, słuchawki, zegarki, alarmy, systemy dostępu, automatyka i urządzenia sąsiednich firm tworzą złożone środowisko.

Analiza widma nie polega więc na znalezieniu pierwszego sygnału.

Każda emisja wymagająca uwagi powinna zostać zidentyfikowana i powiązana z określonym urządzeniem albo źródłem. Należy również uwzględniać sygnały pojawiające się okresowo.

Brak aktywnej transmisji nie wyklucza rejestratora zapisującego materiał lokalnie. Dlatego analiza radiowa powinna być połączona z oględzinami i poszukiwaniem ukrytej elektroniki.

Sieć i urządzenia podłączone do infrastruktury

Kontrola biura powinna uwzględniać urządzenia znajdujące się w sieci.

Nieznana pozycja może być prywatnym telefonem, drukarką, elementem automatyki albo urządzeniem, które nie zostało prawidłowo zinwentaryzowane.

Sama obecność nieznanego adresu nie potwierdza podsłuchu.

Wymaga jednak wyjaśnienia, zwłaszcza gdy urządzenie znajduje się w strefie poufnej, pojawiło się niedawno albo komunikuje się w nietypowy sposób.

Znaczenie ma również konfiguracja legalnych urządzeń: konta administratorów, zdalny dostęp, aktualność uprawnień i sposób połączenia z usługami zewnętrznymi.

Pełna analiza bezpieczeństwa sieci może wykraczać poza standardową kontrolę pomieszczenia i wymagać osobnego udziału specjalisty IT.

Zakres powinien zostać określony przed rozpoczęciem realizacji.

Ukryte kamery i urządzenia optyczne

W niektórych sprawach zagrożeniem jest nie tylko dźwięk.

Kamera może rejestrować ekran, dokumenty, klawiaturę albo osoby uczestniczące w spotkaniu.

Kontrola powinna objąć miejsca posiadające właściwy kierunek obserwacji, przedmioty z otworami optycznymi oraz urządzenia znajdujące się naprzeciwko stołu lub ekranu.

Trzeba również zweryfikować legalne kamery oraz ustalić, kto posiada do nich dostęp i gdzie trafiają nagrania.

Monitoring pracowniczy podlega określonym celom i obowiązkom informacyjnym. UODO wskazuje również, że monitoring wizyjny służy rejestracji obrazu i nie powinien obejmować nagrywania dźwięku. Źródło: UODO

Legalnie zainstalowana kamera nie może być zatem automatycznie traktowana jako neutralny element bez sprawdzenia jej konfiguracji, zakresu i faktycznej funkcji.

Systemy alarmowe, kontroli dostępu i automatyki

Czujki, panele, domofony i elementy automatyki zawierają elektronikę oraz często komunikują się radiowo lub sieciowo.

Nie oznacza to, że są urządzeniami szpiegującymi.

Powinny jednak zostać rozpoznane, ponieważ wpływają na środowisko pomiarowe i mogą utrudniać identyfikację innych emisji.

Warto ustalić, kto instalował system, kiedy był serwisowany i czy jego elementy odpowiadają dokumentacji.

Jeżeli w pomieszczeniu znajduje się czujka, której nie potrafi rozpoznać administrator ani firma ochroniarska, wymaga ona dalszej weryfikacji.

Przedmioty wniesione przez gości i wykonawców

Ryzyko pojawia się także podczas remontów, serwisów, wydarzeń i spotkań z osobami zewnętrznymi.

W biurze mogą pozostać ładowarki, adaptery, urządzenia demonstracyjne, prezenty, materiały reklamowe i elementy techniczne należące do wykonawcy.

Nie należy zakładać, że zostały pozostawione celowo.

Firma powinna jednak wiedzieć, jakie przedmioty znajdują się w strefach poufnych i do kogo należą.

Kontrola może zostać połączona z wprowadzeniem prostej ewidencji sprzętu, zasad wnoszenia urządzeń oraz procedury odbioru pomieszczenia po serwisie lub remoncie.

Dostęp fizyczny do biura

Badanie techniczne powinno zostać uzupełnione analizą dostępu.

Trzeba ustalić, kto posiada klucze, karty i kody, jak ewidencjonowani są goście, czy serwis pracuje pod nadzorem oraz co dzieje się z uprawnieniami osób odchodzących z firmy.

Znalezienie urządzenia nie wyjaśni jego pochodzenia, jeżeli firma nie potrafi odtworzyć, kto wchodził do pomieszczenia.

Warto zabezpieczyć legalnie dostępne rejestry wejść, zgłoszenia serwisowe, harmonogramy sprzątania i nagrania z monitoringu.

Dostęp wskazuje możliwość.

Nie stanowi automatycznie dowodu odpowiedzialności.

Czy należy sprawdzać każde pomieszczenie

Nie zawsze.

Zakres powinien wynikać z mapy informacji i poziomu ryzyka.

Jeżeli poufne rozmowy odbywają się w dwóch gabinetach i jednej sali, powierzchowne sprawdzenie całego piętra może być mniej wartościowe niż dokładna kontrola tych trzech stref wraz z urządzeniami i przyległą infrastrukturą.

Jednocześnie nie należy ograniczać badania wyłącznie do miejsca wskazanego przez klienta, jeżeli analiza pokazuje, że informacja mogła zostać przejęta również w sąsiednim pomieszczeniu, przez system konferencyjny albo podczas rozmów w samochodzie.

Ostateczny zakres powinien zostać uzasadniony, a nie dobrany wyłącznie według powierzchni.

Co powinien zawierać raport

Raport powinien wskazywać:

· kontrolowane pomieszczenia i elementy wyposażenia;

· zastosowane klasy metod;

· ujawnione sygnały i sposób ich identyfikacji;

· sprawdzone anomalie;

· elementy, do których dostęp był ograniczony;

· dokumentację fotograficzną i techniczną;

· zalecenia dotyczące dalszego bezpieczeństwa.

Nie wystarczy zdanie:

„Nie znaleziono podsłuchu.”

Klient musi wiedzieć, jaki obszar objęto kontrolą i na czym opiera się końcowy wniosek.

Ustawa o usługach detektywistycznych przewiduje pisemną umowę i końcowe sprawozdanie opisujące zakres, przebieg czynności oraz ustalony stan faktyczny. Nakłada również obowiązek zachowania w tajemnicy źródeł informacji i okoliczności sprawy. Źródło: ustawa o usługach detektywistycznych

Modelowy przypadek

Firma zleciła kontrolę gabinetu prezesa, ponieważ konkurencja znała szczegóły planowanego kontraktu.

Podczas konsultacji ustalono, że większość rozmów odbywała się w gabinecie, ale prezentacje były wyświetlane w sąsiedniej sali konferencyjnej. Dokumenty drukowano na wspólnej drukarce znajdującej się na korytarzu.

Kontrola gabinetu nie ujawniła nieautoryzowanych urządzeń.

W sali konferencyjnej stwierdzono jednak system wyposażony w mikrofony i kamerę, który nadal był przypisany do konta byłego administratora.

Nie potwierdzono zdalnego połączenia w czasie badanych spotkań.

Sama nieaktualna konfiguracja tworzyła jednak realną podatność.

Dodatkowo ustalono, że wydruki z kalkulacjami regularnie pozostawały w ogólnodostępnej drukarce.

Uczciwy wniosek brzmiał:

Nie ujawniono ukrytego urządzenia przeznaczonego do przechwytywania rozmów. Ustalono natomiast nieaktualne uprawnienia w systemie konferencyjnym oraz niezabezpieczony obieg wydruków. Oba elementy umożliwiały dostęp do poufnych informacji osobom spoza właściwego zespołu.

Komentarz Dawida Kuciela

Kontrola biura nie polega na sprawdzeniu czterech ścian i powiedzeniu klientowi, że wszystko jest w porządku.

Najpierw ustalam, gdzie naprawdę powstają poufne informacje.

Czasami jest to sala konferencyjna. Czasami gabinet, samochód, wspólna drukarka albo urządzenie, którym nikt od miesięcy nie zarządza.

Sprawdzamy nie tylko przedmioty ukryte.

Sprawdzamy także legalne urządzenia, które mogą działać w sposób nieznany właścicielowi.

Najważniejsze jest połączenie kontroli technicznej z wiedzą o tym, kto ma dostęp do biura, co zostało ostatnio wymienione i jak informacje przemieszczają się po zakończeniu spotkania.

Dopiero taki obraz pozwala powiedzieć, gdzie rzeczywiście znajduje się ryzyko.

Podsumowanie

Profesjonalne wykrywanie podsłuchów w biurze powinno objąć nie tylko salę konferencyjną, lecz również gabinety, urządzenia, wyposażenie, sieć, systemy konferencyjne, przestrzenie techniczne i zasady dostępu do obiektu.

Zakres trzeba dopasować do miejsc, w których powstają i są omawiane najważniejsze informacje.

Samo znalezienie sygnału nie oznacza wykrycia podsłuchu. Brak sygnału nie wyklucza urządzenia zapisującego materiał lokalnie.

Największą wartość ma połączenie kilku metod, dokładnej dokumentacji i analizy sposobu funkcjonowania firmy.

Dopiero wtedy klient otrzymuje odpowiedź nie tylko na pytanie:

„Czy w biurze znaleziono urządzenie?”

ale również:

„Czy sposób organizacji tego biura rzeczywiście chroni prowadzone w nim rozmowy?”

Powiązane materiały

Jeżeli ten temat dotyczy Twojej sytuacji, zobacz również:

• Wykrywanie podsłuchów
• Wykrywanie podsłuchów w firmie. Dlaczego to ważne
• Wykrywanie podsłuchów i ukrytych kamer