Rynek kradzionych informacji

Z Robertem Horszczarukiem, właścicielem agencji detektywistycznej i ochrony Protector, rozmawia Michał Kreczmar.

Z Robertem Horszczarukiem, właścicielem agencji detektywistycznej i ochrony Protector, rozmawia Michał Kreczmar.

Czy w Polsce istnieją już tak cenne zasoby informacji, że warto je kraść?

Mimo braku danych pochodzących z oficjalnych źródeł możemy przyjąć, iż kradzież ważnych informacji ma miejsce w Polsce od dawna. Oczywiście w ostatnich latach nastąpiły znaczne zmiany. Dawniej kradzież informacji polegała na przechwyceniu dokumentów papierowych, dziś coraz częściej kradnie się dane na nośnikach elektronicznych.

Co może być przedmiotem kradzieży?

W większości wypadków kradzież rzeczywiście ważnych danych dotyczy przechwycenia przez konkurencyjną firmę wypracowanych innowacji technicznych, kosztownych ekspertyz, dokumentacji pomysłów na rozwiązywanie nietypowych problemów. Tego typu trudno dostępne informacje są warte miliony złotych. Inną formą kradzieży know-how jest podkupywanie przez konkurencję pracowników, którzy często wnoszą do nowego miejsca pracy znajomość konkretnych ludzi, firm, procesów biznesowych czy informacji handlowych. Najprostszą i najczęściej spotykaną formą kradzieży danych jest kopiowanie baz adresowych, katalogów klientów, informacji o kontrahentach.

Czy w związku ze zmianą nośnika zmieniły się metody kradzieży?

Metoda kradzieży danych uległa niewielkim zmianom. Zamiast wynosić pliki papierów, kopiuje się dyskietki, wynosi dyski twarde. Podstawowym problemem jest już termin "kradzież danych". O ile istnieje on w terminologii prawnej, o tyle nie przyjął się w świadomości ludzi, którym "kradzież" kojarzy się z aktem fizycznego odebrania komuś przedmiotu. Kradzież danych komputerowych tylko czasami związana jest z zabraniem nośnika, czasem jest to proste przegranie informacji na własny nośnik czy rozpowszechnianie poufnych danych w formie elektronicznej. Kradzież danych komputerowych zazwyczaj nie pociąga za sobą zniknięcia obiektu kradzieży, toteż wartość informacji uzyskanych tą drogą jest niepoliczalna. Specyfika danych dostępnych w formie elektronicznej powoduje, że duża grupa przedsiębiorstw może nie zdawać sobie sprawy z faktu, iż jest okradana.

Czy podłączenie firmowej sieci komputerowej np. do Internetu zwiększa zagrożenie kradzieżą?

W pewnym stopniu tak. Internet dopiero wtedy stanie się bezpieczny, gdy przestanie gwarantować użytkownikom anonimowość, która w efekcie daje poczucie bezkarności. Jako cel ataków hakerzy amatorzy najczęściej wybierają ogólnoświatowe korporacje, posługujące się agresywną reklamą. To prowokuje sfrustrowanych samotników, dla których łamanie zabezpieczeń, jako forma walki z systemem, stanowi wyzwanie. Profesjonaliści podejmujący się prac na zlecenie są trudni do zlokalizowania. Jedyna metoda kontrolowania fachowych komputerowych "łowców informacji" to rejestrowanie ich i prowadzenie ciągłej obserwacji.

Zazwyczaj jednak dane przechwytywane są w prosty sposób. Większość firm nie wdraża kompleksowej strategii ochrony danych, nie określa jasno pracownikom, które informacje są objęte tajemnicą. Część informacji ginie w wyniku zwykłego niedbalstwa, pracownicy biorą niektóre dokumenty na nośnikach elektronicznych, uznając je po prostu za niczyje. Najczęściej okazja umożliwiająca sprzedaż uzyskanych tą drogą informacji pojawia się znacznie później.

Jeśli to okazja czyni złodzieja, to jak się przed nim możemy zabezpieczyć?

Przede wszystkim firmy w sytuacji rozwoju własnej organizacji, np. w sieć obejmującą większy region, powinny stworzyć nowe stanowisko. Niezbędne jest więc zatrudnienie pracownika odpowiedzialnego wyłącznie za wywiad i kontrwywiad firmowy. Na stanowisko takie, najlepiej wiceprezesa, trzeba przyjąć uważnego obserwatora, znawcę psychiki ludzkiej, który zajmowałby się legalnymi metodami badań konkurencji (wycinki prasowe, raporty biznesowe) oraz kontrolą lojalności pracowników. Nie wszystkie duże krajowe przedsiębiorstwa zdają sobie sprawę, że w kapitalistycznym świecie od dawna istnieje coś takiego jak wojna technologiczna.

W Polsce nie ma wielu specjalistów ds. ochrony, prawie żadna firma nie prowadzi także badań pozafirmowych związków i relacji zachodzących między pracownikami. Często takie kontakty, jak wcześniejsza wspólna praca czy edukacja, zbliżają ludzi. W większości przypadków próba kradzieży może zostać dostrzeżona przez współpracowników. Ci nie zawsze decydują się na ujawnienie złodzieja, często są po prostu jego znajomymi, czasami zostają przez niego zastraszeni. Mniejsze firmy, w których ludzie lepiej się znają i panują tam mniej formalne zależności, są na ogół znacznie bezpieczniejsze.

Zatem to wprowadzenie szczegółowego, prawie policyjnego systemu kontroli ma zapewnić bezpieczeństwo danych?

Nie. Po prostu, moim zdaniem, 60-90% problemów związanych z kradzieżą danych komputerowych można rozwiązać z pominięciem komputera. Najważniejszy jest tzw. czynnik ludzki - zapewnienie pracownikom poczucia przynależności do firmy, odpowiednia edukacja oraz informowanie ludzi o planach przedsiębiorstwa. Pracownik, który będzie czuł związek z zespołem, nie będzie tylko anonimową osobą w grupie, nie pomyśli o kradzieży. W większości wypadków anonimowe środowisko pracy sprzyja kradzieży. Ta zaszłość stosunków pracy z poprzedniego systemu, w jakim wyrosła większość Polaków, może być rozwiązana przez tworzenie nowych, nieformalnych kontaktów wewnątrzfirmowych, które ułatwiają porozumiewanie. Oczywiście, muszą one wspierać zwykłe kontakty formalne.

Trzeba zdawać sobie również sprawę, że są na świecie ludzie, którzy charakteryzują się permanentną nielojalnością. Aby wyeliminować zatrudnianie tego typu osób, należy przed przyjęciem do pracy przeprowadzać testy psychologiczne. Fachowi "łowcy danych" polują na osoby, które źle czują się w grupie, uważają się za zagrożone czy nie identyfikują się z polityką firmy. W takim wypadku, aby nastąpił przeciek, nie są nawet konieczne pokusy finansowe, może wystarczy tylko przekonanie ludzi o ich wartości, delikatne schlebianie, kilka słów w stylu "jest pan geniuszem". A niejednokrotnie zdarza się, że największy zasób informacji o przedsiębiorstwie jest w stanie zgromadzić np. woźny.

W celu komercyjnej reprodukcji treści Computerworld należy zakupić licencję. Skontaktuj się z naszym partnerem, YGS Group, pod adresem [email protected]

TOP 200