Утечка данных через поддержку: как защитить клиентов и компанию?

Первый и самый ощутимый удар приходится по бюджету компании. Государственные штрафы рассчитываются, исходя из объема утекшей информации, ее категории и истории предыдущих нарушений. Отдельные санкции ждут компании, которые пропустят 72-часовой срок уведомления Роскомнадзора об инциденте.

Падение доверия к компании – одно из самых разрушительных последствий утечки информации. Попавшие к мошенникам данные открывают возможности для манипуляций от имени вашей компании:

• Рассылка клиентам фишинговых сообщения под видом официальных уведомлений.
• Использование клиентской базы для несанкционированного спама и холодных звонков.
• Заключение фиктивных сделок с невыполнением обязательств и т.д.

Такие действия не только разрушают годами выстроенные отношения с клиентами, но и создают волну негативных отзывов в соцсетях и СМИ. Дополнительный риск – судебные иски от клиентов, ставших жертвами мошеннических схем. Даже если компания не несет прямой ответственности за действия злоумышленников, судебные разбирательства наносят удар по имиджу компании и отнимают ресурсы на продолжительное время.

Утечки часто сопровождаются кибератаками, способными парализовать большую часть бизнес-процессов.

Например, в мае 2024 года хакерская атака на сервисы СДЭК остановила работу компании на трое суток. Финансовый урон от сбоя в работе логистического оператора, по разным оценкам, достиг от 300 млн до 1 млрд рублей – без учета репутационного ущерба и упущенной выгоды.

При утечке внутренней информации конкуренты могут получить доступ к ключевым бизнес-процессам, стратегиям развития и ноу-хау компании. В результате она теряет уникальность на рынке, а конкуренты получают возможность стать первыми без значительных инвестиций в разработку и исследования. Особенно опасна утечка информации о планах развития, ценовой политике и клиентской базе.

Например, оператор по ошибке отправляет паспортные или банковские данные одного клиента другому, перепутав окна в почте или чате.

Сотрудники могут загрузить рабочие файлы в личное облачное хранилище (например, Яндекс.Диск или Google Диск), не задумываясь о рисках.

Например, человек готовит отчет и для удобства копирует базу клиентов с контактами на свою личную флешку, чтобы доделать работу дома. По дороге флешка теряется. В итоге копия клиентской базы оказывается в свободном доступе. Компания не может оценить масштаб утечки и даже не знает, куда именно ушли данные.

Типичный сценарий: сотрудник саппорта в спешке создает простой пароль для быстрого доступа («qwerty») и использует его же для почты и рабочих сервисов. Такой подход сводит на нет всю многоуровневую защиту – злоумышленники взламывают аккаунт за секунды, получая ключи ко внутренним системам компании.

Например, возникает сложный вопрос по клиенту. Чтобы быстро решить проблему, два сотрудника начинают обсуждать его в личном Telegram-чате, пересылая скриншоты из CRM с персональными данными.

Конфиденциальная информация компании оказывается на серверах стороннего мессенджера, не защищенная корпоративным шифрованием. При потере телефона или взломе аккаунта Telegram эти данные становятся достоянием общественности.

Работа на ноутбуке без пароля, оставление устройства разблокированным или потеря телефона с рабочими данными – все это прямая угроза безопасности компании.

Основой защиты является «принцип минимальных привилегий» – каждый сотрудник получает доступ исключительно к тем данным и функциям, которые необходимы для его непосредственных рабочих задач.

Также своевременно отзывайте доступы у уволенных сотрудников – это базовое правило часто игнорируется.

Сотрудники саппорта ежедневно обрабатывают множество запросов. В таком потоке легко упустить важную деталь, что может привести к ошибке и утечке данных. Решение – внедрение систем автоматизации, таких как сервис-дески.

Например, Admin24 – Service Desk возьмет на себя рутинные задачи:

• Учет и обработка заявок.
• Отслеживание статусов обращений.
• Уведомления клиентов.
• Автоматические отчеты.

Это позволит команде техподдержки сосредоточиться на качестве обслуживания, внимательно работать с каждым клиентом и минимизировать риски, связанные с человеческим фактором.

Это специальная программа, которая постоянно отслеживает и контролирует перемещение данных внутри компании и за ее пределы.
Как она работает:

• Сканирует все исходящие emails, сообщения и файлы.
• Блокирует попытки переслать конфиденциальные данные на личные почты или внешние носители.
• Контролирует копирование файлов на флешки и в облачные хранилища.
• Предупреждает администратора о подозрительных действиях.

DLP – это своего рода умный фильтр, который не дает сотрудникам (случайно или намеренно) вынести за пределы компании важную информацию: базы клиентов, финансовые отчеты, коммерческие тайны.

Для безопасного обмена данными используйте защищенные каналы связи – корпоративную почту и мессенджеры с шифрованием.

Дополнительным решением может стать сервис-деск Админ24, который служит единой защищенной платформой для сбора обращений из любого канала. Вся переписка остается внутри системы, что исключает утечки через сторонние приложения.

Сервис-деск можно развернуть на облаке (облачная версия), а для компаний с повышенными требованиями к безопасности – на собственных серверах (коробочная версия).

Пиратские версии ПО могут содержать уязвимости или скрытые функции для сбора данных. Инвестируйте в легальное программное обеспечение с регулярными обновлениями безопасности.

Подписание сотрудником такого соглашения означает принятие им конкретных обязательств по защите информации компании. Документ четко определяет перечень конфиденциальных данных и  устанавливает меры ответственности за нарушения.

Однако важно учитывать, что одного NDA недостаточно для полноценной защиты данных. Чтобы документ имел юридическую силу, компания должна ввести режим коммерческой тайны и утвердить Положение о персональных данных – особенно при работе с информацией клиентов поддержки.

Только вместе эти три элемента (NDA, режим коммерческой тайны и Положение о персональных данных) создают надежную систему защиты. Каждый сотрудник, имеющий доступ к конфиденциальным данным, должен быть ознакомлен с этими документами под личную подпись до начала работы с соответствующей информацией.

Для предотвращения критических инцидентов программа обучения должна включать:

• Разбор реальных примеров фишинговых писем и мошеннических сайтов.
• Практические руководства по созданию и хранению надежных паролей.
• Четкие инструкции по работе с конфиденциальными данными.
• Простые алгоритмы действий при обнаружении подозрительных ситуаций.

Это метод аутентификации пользователя с использованием двух различных типов данных (факторов).

Например, пароль + код из приложения, SMS или биометрические данные (отпечаток пальца, сканер лица).

или Управление состоянием безопасности облака. Такие решения сканируют конфигурации облачных сервисов и автоматически реагируют на потенциальные угрозы и уязвимости.

или Управление событиями и информацией о безопасности. SIEM-системы обеспечивают мониторинг и оперативное реагирование на угрозы безопасности, поступающие от сетевых устройств и приложений.

Последнее время кибератаки становятся все изощреннее, и обычный антивирус может их просто не заметить. Здесь помогут EDR – системы класса Endpoint Detection and Response.

EDR позволяет не только нейтрализовать текущую угрозу, но и проанализировать всю цепочку атаки – какие уязвимости были использованы, какие данные могли пострадать, как усилить защиту в будущем.

Пользователям он также известен как Firewall. Решение представляет собой защитный барьер между корпоративной сетью и интернетом. Он постоянно анализирует входящий и исходящий трафик, пропуская только безопасные данные и блокируя подозрительные соединения.

Вместо простых комбинаций создавайте сложные пароли, которые содержат заглавные и строчные буквы, а также цифры и специальные символы (@, !, ?, %).

Никогда не храните пароли в браузере или в файле на компьютере. Лучше записать их в надежный менеджер паролей или хранить в зашифрованном виде.

Помните: чем сложнее пароль, тем дольше злоумышленники будут его подбирать. Часто они просто переходят к более легкой цели.