Rivalry2

HTML Diff

1 added 1 removed

Original 2026-01-01

Modified 2026-02-21

1 <a>#статьи</a>

2 <ul><li>12 май 2021</li>

3 <li>0</li>

4 </ul>Пока вы думаете, как сэкономить на информационной безопасности, кто-то из сотрудников, возможно, уже сливает данные ваших клиентов.

5 Филолог, полиглот, IT-гик. В прошлом - преподаватель английского и литературы и рецензент Rolling Stone Russia. Ныне переводит для РБК и пишет о программировании и образовании для Skillbox.

6 В феврале 2021 года Яндекс раскрыл внутреннее преступление: один из системных администраторов слил данные 4 887 почтовых ящиков. Это не первый случай внутренней утечки пользовательских данных в IT-корпорациях. В разное время похожие инциденты происходили в <a>Facebook</a>,<a>Snapchat</a>и <a>Yahoo</a>. Внутренняя утечка - потенциальная проблема всех IT-компаний, где есть работа с конфиденциальными данными.

7 Разбираемся, что можно сделать, чтобы обезопасить данные пользователей, и почему штатные психологи, регулярные тесты и инженерно-техническое усиление безопасности - не панацея.

8 IT-компании заботятся о здоровье сотрудников - в сфере разработки корпоративные фитнес-тренеры, терапевты и преподаватели йоги уже никого не удивляют. При этом большинство работодателей не торопится нанимать штатных психологов, которые могут проследить за эмоциональным и психическим состоянием работников. Хотя именно психологи снижают риск появления злоумышленников внутри организации - например, выявляют их с помощью тестов.

9 Передовые компании вроде Google практикуют тренинги с психологами. Их задача - увеличивать лояльность, мотивировать и настраивать людей на эффективную работу. Этот тренд особенно<a>возрос в пик пандемии в 2020-м</a>, когда сотрудники разных компаний начали массово выгорать и страдать депрессией.

10 - Мировая практика.В Adobeсотрудники могут обратиться<a>за психологической помощью по рабочим и личным вопросам</a>. А Лаборатория Касперскогопредлагает работникам<a>бесплатную линию психологической помощи 24/7</a>, которой также можно воспользоваться для решения личных проблем. Помимо этого, компания ведёт программу Fit@Work, в рамках которой людей учат справляться со стрессом и заботиться о здоровье.

10 + Мировая практика.В Adobeсотрудники могут обратиться<a>за психологической помощью по рабочим и личным вопросам</a>. А Лаборатория Касперского<a>предлагает</a>работникам бесплатную линию психологической помощи, которой также можно воспользоваться для решения личных проблем. Помимо этого, компания ведёт программу Fit@Work, в рамках которой людей учат справляться со стрессом и заботиться о здоровье.

11 Подводные камни.Одна из немногих потенциальных проблем - насторожённое отношение к подобным "членам команды" со стороны самих специалистов компании.<a>По данным опроса "АльфаСтрахования"</a>, около трети российских сотрудников испытывают постоянный стресс на рабочем месте, но при этом мало кто готов обращаться за помощью к корпоративному психологу. Люди не хотят, чтобы руководители и коллеги думали, что у них есть какие-то проблемы, которые могут восприниматься как потенциальные причины для увольнения.

12 На мой взгляд, разумно проводить регулярный мониторинг ситуации в компании. Обычно это делают с помощью опросников удовлетворённости работой и/или вовлечённости с замером динамики. Хотя очевидно, что мы не сможем таким образом выявить конкретных сотрудников, потому что опросы почти всегда проводят анонимно, а людям гарантируют, что их ответы не будут обращены против них.

13 Такие опросы помогают заметить, в каких подразделениях динамика лояльности падает. Обычно там возникают различные проблемы: снижение эффективности, внезапные увольнения или та же утечка данных. Почти все подобные опросники имеют шкалы, и мы видим, что влияет на ситуацию. Это помогает произвести необходимые управленческие действия, которые улучшат настроения и лояльность людей.

14 Дмитрий Котов

15 управлял HR-командами в Kia Motors Russia, Begun и Navicon Group, преподаватель курса "<a>Профессия IT-рекрутер</a>"

16 Что в итоге. Можно нанять штатного психолога для постоянного мониторинга ситуации в компании. Но нужно учитывать, что в организации должен быть здоровый рабочий климат, чтобы другие сотрудники чувствовали себя комфортно. Если идея окажется успешной, можно поэкспериментировать и создать целую систему психологической поддержки внутри компании.

17 Раньше рекрутеры в IT-индустрииделали всю ставку на опыт и профессиональные навыки кандидата. В 2021-м <a>soft skills</a>стали важны так же, как умение решать специализированные задачи. Однако тесты по "софтам" не обнаруживают людей, которые склонны вредить компании изнутри. Нередко злоумышленники имеют отличные гибкие навыки: они легко втираются в доверие и способны манипулировать людьми. Теоретически проблема решается, если грамотно проработать отбор и предложить психологические тесты и опросники уже на входе.

18 Мировая практика.<a>Apple, Microsoft, Amazon и многие другие мастодонты IT-рынка</a>уже давно всерьёз практикуют поведенческие вопросы. Этот метод позволяет не только тщательно оценить профессионализм кандидатов, но и более детально изучить их личность. IT-корпорации часто уделяют особое внимание тому, насколько соискатель соответствует корпоративной культуре и заинтересован работать в конкретной компании. Конфликт ценностей - первый сигнал о том, что в будущем такой сотрудник может оказаться злоумышленником.

19 Подводные камни.Можно подготовиться к поведенческим вопросам заранее и уверенно соврать на собеседовании. Также<a>существует мнение</a>, что большинство других "бесплатных" тестов устарело, а недостаточно проработанные методики приводят к ложным или неполным выводам о кандидатах.

20 Предположим, корпоративная психологическая служба проводит тестирование кандидатов на входе и потом занимается их переаттестацией. Здесь возникаетпервая проблема:почти все ненавидят психологические тесты, и большую часть соискателей мы отпугнём одним упоминанием специализированных опросников.

21 Вторая проблема:не вполне понятно, что конкретно нужно оценивать. Нет опросников, которые напрямую обнаруживают склонность человека к сливу персональных данных. Вывод о том, что потенциальный сотрудник склонен к асоциальному поведению, можно сделать только косвенно - по ряду других шкал. И это будет лишь предположение, потому что опросники обычно проектируют с другой целью - например, чтобы посмотреть, как человек работает в команде или принимает решения.

22 Третья проблема:даже если на этапе тестов обнаружилось, что некий соискатель потенциально склонен разглашать персональные данные, это вряд ли повлияет на решение о найме. Я почти уверен, что сила этого фактора будет очень низкой. Максимум, что можно сделать, - поставить пометку, что кандидат склонен к асоциальным действиям. В результате такого отбора мы потеряем хороших соискателей, пытаясь отсеять людей с подобной склонностью.

23 Дмитрий Котов

24 управлял HR-командами в Kia Motors Russia, Begun и Navicon Group, преподаватель курса "<a>Профессия IT-рекрутер</a>"

25 Что в итоге. В целом учитывать и оценивать личностные навыки кандидата стоит, но выявить склонность к вредительству через них невозможно - таких тестов просто не существует. В этой области нет крупных научных исследований, поэтому любые опросники опираются на предположения.

26 Согласно<a>исследованию</a>банка "Открытие" и Московской школы управления "Сколково", российские представители малого и среднего бизнеса "по-прежнему уделяют недостаточно внимания вопросам информационной безопасности". И это при том, что данные из отчёта InfoWatch по первым девяти месяцам 2020 года показывают:<a>число утечек в России выросло на 5,6%, более 79% утечек - внутренние</a>.

27 Мировая практика.Авторы<a>анализа Cisco "Security Outcomes Study"</a>рекомендуют в первую очередьграмотно внедрятьи чаще обновлятьоборудование. Именно эти действия ощутимо улучшают общую информационную безопасность компаний.<a>Другое исследование Cisco</a>утверждает, что в среднем компании окупают затраты на инфобезопасность на 270%: организации возвращают каждый потраченный на этот сектор доллар и увеличивают прибыль за счёт сокращения расходов на устранение последствий хакерских атак и внутренних утечек.

28 Подводные камни.Эксперт RTM Group считает, что<a>основной причиной возникновения утечек информации является социальный фактор</a>. Проблему всё равно придётся решать комплексно: технические меры безопасности снизят риски утечки, но человеческий фактор всё ещё будет играть огромную роль.

29 Полностью ограничить доступ не получится, потому что те, кто ограничивает доступ внутри компании, - сисадмины, IT-директор, - в любом случае будут его иметь. На самом деле основную угрозу для безопасности данных представляют именно сотрудники IT-подразделений, так как они имеют нужную квалификацию и права доступа, а их самих контролировать обычно некому.

30 Ограничивать доступ нужно юридическими мерами: подпиской, формой секретности, подписанием соглашений о неразглашении. Ну и воспитательными мерами: разъяснениями, тренингами, рассказами о случаях наказания за утечку.

31 Конечно, должна работать внутренняя служба безопасности, но она должна либо полагаться на собственное IT-подразделение, что обычно очень сложно организовать и вызывает острый конфликт с общей IT-службой, либо опираться на ту же общую IT-службу в части инструментального контроля утечек и хранения данных, что создаёт конфликт интересов.

32 В общем, технически и административно можно делать что-то - писать регламенты и ставить следящий софт типа DLP, - но правильнее создавать осознание ответственности и риска у сотрудников.

33 Есть ещё возможность нанимать внешних аудиторов и сотрудников безопасности, но тогда возникает не менее сложный вопрос: "Кто сторожит этих внешних сторожей?"

34 Игорь Ашмановгенеральный директор компании "Ашманов и партнёры"

35 Что в итоге. Инженерно-технические меры существенно улучшают информационную безопасность в целом, но не решают проблему внутренней утечки. Следящий софт или ограничение каналов передачи информации усложнят задачу злоумышленнику, но в итоге вряд ли его остановят, особенно если это высококвалифицированный специалист. Более эффективно подкреплять это усиление юридически - прописывать в договорах строгие санкции.

36 В России,<a>по заявлению ТАСС</a>, число киберпреступлений увеличилось в 11 раз за последние пять лет. Мы охотно интегрируем гаджеты в личную жизнь, не задумываясь о рисках, которым себя подвергаем.

37 Как следствие, всё чаще всплывает информация о продаже персональных данных. В середине 2020 года даже был<a>небольшой международный скандал</a>из-за вероятной продажи данных российских туристов. А если верить Cybercrime Magazine, то к 2025 году преступления, связанные с безопасностью данных, могут<a>стоить миру 10,5 трлн долларов ежегодно</a>.

38 Рост киберпреступности закономерен, потому что цифровое пространство пока недостаточно защищено на законодательном и техническом уровнях. С другой стороны, этому способствует и само отношение общества к проблеме: мы слишком просто относимся к личным данным, а ещё редко и мало говорим<a>о компьютерной этике</a> - области практической философии, которая исследует действия IT-профессионалов с точки зрения социальных норм.

39 Первый официальный код IT-этики -<a>Кодекс справедливого использования информации</a> - ввело Министерство здравоохранения и социальных служб США ещё в 1973 году.

40 Позднее IT-кодексы выдвигали Совет по архитектуре Интернета и (ISC)², а Институт компьютерной этики, некоммерческая организация, даже составил свод правил с претенциозным названием "10 заповедей компьютерной этики". Эти инициативы так и не продвинулись в массы, а во многих странах саму идею о важности информационной безопасности начали закреплять на законодательном уровне лишь в 2010-х.

41 Другая проблема заключается в том, что специалисты по безопасности мало общаются между собой, а сами взломы или утечки редко разбирают с учётом всех деталей. Например, в России<a>две трети аналитиков не могут поделиться данными</a>о киберугрозах из-за ограничений, установленных работодателями. Компании не хотят афишировать, что у них есть проблемы с информационной безопасностью, - это вредит репутации и отпугивает инвесторов. Иными словами, IT-бизнес предпочитает говорить о проблеме тихо или не говорить вообще.

42 Метод"если я закрою глаза, то оно исчезнет"хорош только как мем. Игнорировать или замалчивать проблему утечек и взломов не стоит - цифровой мир расширяется, и со временем это может превратиться в снежный ком, который будет очень сложно остановить.

43 Возможно, стоит пересмотреть принципы работы безопасников и дать им больше свободы в обмене опытом. Пригодятся и новые законы - или даже полноценный кодекс по цифровому праву. Например, в Великобритании с 2011 года существует Государственная цифровая служба, которая<a>в 2018 году разработала руководство по дата-этике</a>.

44 Но похоже, что без повсеместного внедрения IT-этики эти изменения так и останутся принудительными мерами, которые никак не повлияют на само восприятие цифровых данных. Для программистов они так и останутся всего лишькодом, а остальные всё так же будут пожимать плечами:"ну, взломали и взломали".

45 Внедрение тестов и опросов, повышение лояльности сотрудников, организация отлаженной рекрутерской работы, принятие технических и законодательных мер - всё этоправильныеинужныешаги. Но чтобы они сработали, их следует выполнять комплексно и последовательно. И опираться на IT-этику.

46 * Решением суда запрещена "деятельность компании Meta Platforms Inc. по реализации продуктов - социальных сетей Facebook и Instagram на территории Российской Федерации по основаниям осуществления экстремистской деятельности.

47 <a>Бесплатный курс по Python ➞Мини-курс для новичков и для опытных кодеров. 4 крутых проекта в портфолио, живое общение со спикером. Кликните и узнайте, чему можно научиться на курсе. Смотреть программу</a>