Коммерческий шпионаж

Одна из основных целей организаций в области кибербезопасности – обеспечить защиту конфиденциальной информации от утечки и хищения. Одним из способов хищения данных является коммерческий шпионаж. В этой статье мы раскроем суть этого незаконного вида деятельности и расскажем о мерах действенной защиты от него.

Коммерческий шпионаж: понятие, субъекты и объекты

Суть коммерческого шпионажа заключается в незаконных действиях, цель которых – завладеть коммерческой информацией. Утечка таких данных может привести к упущенной выгоде, финансовым и репутационным потерям.

Фигуранты (участники) шпионажа:

• Субъект – тот, кто осуществляет шпионаж (злоумышленник – внутренний или внешний).

• Жертва – организация, на конфиденциальную информацию которой покушаются злоумышленники.

• Объект – конфиденциальная информация организации.

Объектами коммерческого шпионажа могут стать персональные данные первых лиц компании, ее клиентов, партнеров и поставщиков, промышленные разработки, базы данных, информация о новых товарах и услугах. Конкуренты часто пытаются разузнать особенности ценовой политики, стратегические планы компании, уровень ее рентабельности, получить аналитические и бухгалтерские сведения.

Также интерес могут представлять другие категории данных, подпадающие под понятие коммерческой тайны (они описаны в ФЗ № 98 в редакции от 29 июля 2004 года). Сюда можно отнести конфиденциальные сведения, которые позволяют компаниям удерживать свои позиции на рынке, получать доход или еще какую-либо выгоду. Если кратко, это недоступные третьим лицам данные, представляющие коммерческую ценность.

Где используется коммерческий шпионаж

Коммерческий шпионаж используется практически в любой сфере деятельности. Жертвой может стать даже небольшая организация, имеющая сведения, которые подходят под категорию коммерческой тайны.

Часто шпионаж является двусторонним, то есть организации защищают свою корпоративную информацию и одновременно занимаются коммерческим шпионажем в отношении конкурентов. Особенно часто такой подход применяется на крупных предприятиях.

Методы шпионажа

Коммерческий шпионаж может проводиться с использованием разных методов – начиная с кибератаки на информационную инфраструктуру организации, социальной инженерии и заканчивая использованием технических средств для считывания данных. К последним относятся:

• «Прослушки» – устройства для получения данных из телефонных разговоров.

• Звукозаписывающие устройства и радиозакладки («жучки»).

• Скрытые системы наблюдения.

Субъекты шпионажа могут проводить «фальшивые» переговоры от имени партнеров и внедрять в штат агентов. Эти меры нацелены на то, чтобы войти в доверие к сотрудникам организации-жертвы и усыпить их бдительность.

Еще один распространенный метод – коммерческий подкуп. В рамках шпионажа он заключается в выдаче сотруднику компании-жертвы взятки с целью получить в ответ ценные сведения.

Ответственность за коммерческий шпионаж

Согласно статье № 183 УК РФ (в редакции от 7 августа 2001 года), незаконное получение коммерческой информации и ее разглашение влечет наказание в виде крупного штрафа, исправительных или принудительных работ, лишения свободы. Самые серьезные санкции предусмотрены для организованных групп шпионов, действующих по предварительному сговору. 

Коммерческий подкуп наказывается штрафами, принудительными работами или арестом. Конкретные меры наказания регламентирует статья № 204 УК РФ (в редакции от 3 июля 2016 года). 

Сотрудников, которые разглашают полученные в ходе работы коммерческие сведения, увольняют по статье № 81 ТК РФ.

Как защититься от шпионажа

Защита подразумевает комплекс организационных и технических мер. Ключевые из них следующие:

• Создание политики безопасности, в которой будут учтены нюансы работы с данными из категории коммерческой тайны. Она должна предусматривать четкий алгоритм взаимодействия всех сотрудников с информацией, не допускающий ее непреднамеренной утечки. Важно включить в регламент положения об ответственности за нецелевое использование данных.

• Формирование собственной службы безопасности, которая будет заниматься всеми вопросами защиты корпоративных данных. В обязанности такого подразделения входит превентивное распознавание угроз, расследование инцидентов, контроль передачи данных по каналам коммуникаций и контроль соблюдения политик безопасности.

• Ограничение доступа к важной информации и системам, в которых она обрабатывается и хранится. В идеале придерживаться концепции Zero Trust, избегать ситуаций, когда конфиденциальные данные доступны всем сотрудникам компании. Общедоступные файлы – это широко используемая лазейка для коммерческого шпионажа как со стороны внутренних злоумышленников, так и киберпреступников. Гранулированное управление правами доступа к данным и информационным системам возможно с помощью современных IdM/IGA-систем.

• Продуманная кадровая политика. Принимая специалистов на работу, необходимо обязательно проверять их репутацию и послужной список. Если кандидат вызывает сомнения, можно прибегнуть к тестированию с помощью технических методов, например полиграфа.

• Обучение и инструктаж персонала. Во-первых, следует подписать договор о неразглашении коммерческих сведений. Во-вторых, провести инструктаж по основам кибербезопасности и донести до сотрудников алгоритм работы с конфиденциальными данными. В-третьих, нужно обозначить последствия за нарушение политики безопасности.

• Физический контроль при входе в здание организации. Недобросовестные сотрудники могут попытаться пронести в офис технические средства для шпионажа (например, для прослушки). Иногда в неконтролируемое здание проникают посторонние под видом клиентов или потенциальных партнеров.

• Контроль за привилегированными учетными записями. Решение этой задачи автоматизируется благодаря применению PAM-cистем. PAM-система находит, регистрирует учетные записи высокого ранга, допускает к ним исключительно уполномоченных сотрудников, создает отчеты по использованию привилегированного доступа.

• Грамотная парольная политика. Очень важно регулярно менять пароли, использовать менеджер паролей, двухфакторную аутентификацию и не допускать использования одного и того же пароля в разных приложениях. Немаловажным является контроль т. н. «мертвых душ» – неактивных учетных записей, например, уволившихся сотрудников.

• Использование технических средств защиты информации. Конкретный набор этих средств защиты зависит от специфики и масштабов организации, алгоритма работы и хранения данных. Очень важно следить за актуальностью используемых программных и программно-аппаратных средств защиты, поскольку без своевременных обновлений они не смогут в полном объеме выполнять свои функции.

Одним из ключевых инструментов защиты корпоративных данных являются DLP-системы. Они предотвращают утечки чувствительных данных, выявляют нарушения правил безопасности, анализируют поведение сотрудников, позволяют проводить расследования инцидентов и т. д. Одним из таких инструментов является DLP-система Solar Dozor. Это продуманное отечественное решение, которое поддерживает не только платформы Windows, но и GNU/Linux и Apple macOS.

DLP-система базируется на комплексе технологий, в том числе запатентованных, позволяющих выявлять аномалии поведения сотрудников и блокировать утечку коммерческой информации в реальном времени.

Резюмируя озвученные в статье тезисы, можно сделать вывод, что коммерческий шпионаж процветает в тех компаниях, где есть возможность получить легкий доступ к конфиденциальным сведениям организации. Это потенциально грозит финансовыми потерями (упущенная выгода), репутационным ударом и снижением конкурентоспособности на рынке. Поэтому очень важно обеспечить безопасный информационный периметр. Он создается при условии применения комплексного подхода: организационных и технических мер защиты. Одним из немаловажных компонентов технической защиты является DLP-система Solar Dozor, которая впишется в защитный арсенал организации любого направления деятельности.