Откуда на самом деле берутся утечки данных в компании

«У нас всё под контролем, база клиентов никуда не денется» — так обычно говорят перед тем, как менеджер по продажам увольняется и через месяц открывает похожий бизнес с той же клиентской базой, аккуратно выгруженной из CRM в последнюю неделю работы.

Когда в компании слышат словосочетание «утечка данных», в голове чаще всего рисуется хакер в капюшоне и взломанный сервер. Реальность прозаичнее: в большинстве случаев данные не крадут — их просто выносят люди, у которых был к ним законный доступ, или теряют по невнимательности те, кто вообще не думал о рисках.

Уходящие сотрудники и чужие клиентские базы

Внешняя атака в списке причин утечки на самом деле стоит далеко не на первом месте. Чаще всё начинается с обычного увольнения. Сотрудник, который уходит к конкуренту или открывает своё дело, забирает с собой то, что считает своим по праву: контакты клиентов, историю переговоров, шаблоны коммерческих предложений.

Формально это чужая интеллектуальная собственность компании. На практике редко кто заранее прописывает, что именно нельзя выносить, и почти никогда не проверяет, что именно скачивалось с рабочего аккаунта в последние недели перед увольнением — а сама выгрузка часто занимает у уходящего сотрудника не больше получаса.

Похожая история — сотрудники, которые пока остаются в компании, но подрабатывают на стороне тем же клиентам напрямую. Формально нарушения нет: данные не покидали компанию физически. По сути это тоже утечка — просто растянутая во времени и без явного момента, в который можно было бы её заметить.

Проверить это заранее почти невозможно, но снизить риск — вполне реально. Разговор о том, что именно считается клиентской базой компании и что нельзя забирать при увольнении, обычно снимает часть случаев ещё до того, как человек соберётся уходить. Недобросовестного сотрудника такой разговор вряд ли остановит. Для добросовестного он делает границу явной, вместо того чтобы оставлять её на догадки задним числом.

Каналы, через которые данные утекают чаще всего

Кроме увольнений, у утечки обычно есть более скучные и бытовые причины. Файл с базой клиентов отправляют через личную почту, потому что корпоративная временно не работает. Таблицу с ценами для партнёра выкладывают в общий доступ по ссылке и забывают закрыть доступ через полгода.

Подрядчики — отдельная зона риска. Агентству, которое настраивало рекламу, выдали доступ к CRM для аналитики и не отозвали его после завершения работ. Бухгалтерская фирма на аутсорсе хранит выгрузки с персональными данными сотрудников на личном ноутбуке специалиста, который потом теряется в такси.

Договор с подрядчиком в такой ситуации редко помогает постфактум. Пункт про конфиденциальность данных в нём чаще всего формальный — переписан из шаблона и ни разу не обсуждался предметно: какие именно данные передаются, что подрядчик обязан удалить после завершения работ, кто несёт ответственность, если утечка произошла на его стороне.

Ни один из этих сценариев не выглядит злым умыслом. Каждый — это удобство или спешка в моменте, о цене которых задумываются только постфактум, когда выясняется, куда именно утекли данные.

Личные мессенджеры — отдельная тема, о которой в компании обычно не задумываются вовсе. Рабочий чат в мессенджере на личном телефоне сотрудника хранит переписку с клиентами годами, переживает несколько смен должностей и в какой-то момент оказывается на телефоне, который просто потеряли в такси или продали без сброса данных.

Когда утечка становится заметна не сразу

Файл с публичной ссылкой может провисеть в открытом доступе месяцами, прежде чем кто-то случайно на него наткнётся. Уволившийся сотрудник тоже редко пускает базу клиентов в ход сразу — чаще это происходит спустя полгода, когда прошлое место работы уже никто не связывает с новым бизнесом.

Именно этот разрыв во времени и делает утечки особенно неприятными. Компания долго считает, что всё в порядке, а к моменту, когда проблема всплывает, отследить источник и масштаб уже почти невозможно — слишком много времени прошло и слишком много рук успело коснуться данных.

К этому моменту разбирательство превращается в гадание: кто из пятерых бывших сотрудников с доступом к базе мог её вынести, был ли это подрядчик с забытым доступом или обычная случайность вроде забытой открытой ссылки. Юридически доказать конкретный источник утечки задним числом почти нереально. Куда полезнее сокращать число таких потенциальных источников заранее — вычислить виновного постфактум получается редко.

Цена утечки без учёта штрафов

Штрафы за нарушение закона о персональных данных — это то, что обычно всплывает первым в разговоре про утечки, и суммы там реальные. Но для большинства компаний куда болезненнее последствия, которые не выражаются напрямую в протоколе Роскомнадзора.

Клиент, чьи контакты оказались у конкурента вместе с ушедшим менеджером, обычно не разбирается, была ли это утечка данных в юридическом смысле. Он просто уходит туда, где ему звонит знакомый голос с тем же коммерческим предложением, только теперь от другой компании.

Похожая логика работает и с партнёрами по бизнесу. Если выясняется, что условия договора или расчёт скидки оказались у конкурента раньше, чем компания успела сама сделать встречное предложение, доверие партнёра к конфиденциальности всей будущей переписки падает резко и надолго — даже если конкретный случай был единичным и больше не повторялся.

Отдельная статья — репутация в узкой профессиональной среде. B2B-рынок обычно тесный: слух о том, что у компании «текут» клиентские базы или переписка, распространяется среди партнёров быстрее, чем успевает сработать любая официальная пресс-служба.

Что закон требует от бизнеса, если данные всё же утекли?

Компания, которая работает с персональными данными клиентов или сотрудников, обязана быть зарегистрирована как оператор персональных данных в Роскомнадзоре и уведомлять его об утечках в установленные сроки. Формально это касается почти любого бизнеса — даже небольшого интернет-магазина с базой покупателей в CRM.

На практике многие компании узнают об этой обязанности только тогда, когда утечка уже произошла. Разбираться с регулятором приходится в разгар кризиса, под давлением сроков, вместо спокойного разговора заранее. Штраф за саму утечку — это одна история, а отдельный штраф за то, что о ней вовремя не уведомили, — совсем другая. На фоне общей суммы возможных санкций стоимость заранее оформленных документов и понятного внутреннего порядка выглядит уже не такой пугающей.

Практический минимум на ближайший месяц

Первый шаг — понять, какие именно данные в компании считаются чувствительными и где они физически хранятся: клиентская база, договоры, персональные данные сотрудников, финансовая информация. Без этой карты сложно понять, что вообще нужно защищать в первую очередь.

Второй — свести доступ к этим данным к тем, кому он действительно нужен для работы, и завести привычку отзывать его сразу при увольнении или завершении проекта с подрядчиком. На практике этот шаг обычно откладывают на месяцы и вспоминают о нём только по случаю. Отдельно стоит проверить все публичные ссылки на файлы и таблицы, которые когда-либо создавались для разового доступа.

Третий шаг — договориться с ключевыми сотрудниками на берегу, что именно считается коммерческой тайной и какая ответственность предусмотрена за её разглашение. Это не гарантирует, что никто не попробует забрать базу при увольнении, но заметно меняет расчёт того, стоит ли рисковать.

Четвёртый — свериться с обязанностями по 152-ФЗ отдельно, если этого не делали ни разу за последние пару лет: актуальна ли регистрация в Роскомнадзоре, соответствует ли она реальному набору обрабатываемых данных, знает ли кто-то в компании порядок действий на случай утечки. Разбираться с этим в момент кризиса намного дороже и медленнее, чем один раз спокойно свериться заранее.

Регулярность важнее галочки

Утечка данных редко случается из-за одного катастрофического решения. Гораздо чаще она складывается из десятков мелких допущений, каждое из которых в моменте казалось разумным компромиссом между удобством и осторожностью.

Проверка доступов и каналов передачи данных, сделанная один раз, снимает проблему только на текущий момент. Через полгода появляются новые подрядчики, новые сотрудники и новые сервисы — и без регулярного возврата к этому вопросу список слабых мест снова начинает расти незаметно для всех, кто в компании считает его закрытым.

Разумный ориентир — сверяться с этим списком примерно раз в квартал, привязав проверку к чему-то конкретному: увольнению, завершению крупного проекта, смене подрядчика. Тогда вопрос перестаёт зависеть от того, вспомнит ли о нём кто-то в суете текущих дел, и превращается в обычную процедуру, как проверка бухгалтерской отчётности.