Konkurencja zna szczegóły oferty, której jeszcze nie opublikowałeś. Zanim oskarżysz pracownika, sprawdź, którędy mogły wypłynąć informacje.
Wyciek informacji z firmy może dotyczyć cen, warunków negocjacji, bazy klientów, projektu produktu lub planowanego przetargu. Dla przedsiębiorcy oznacza to konkretne pytania: co zostało ujawnione, kto miał dostęp do danych i jak ograniczyć dalsze szkody?
Punktem wyjścia powinien być dokument albo zdarzenie, które można sprawdzić. Podobna oferta konkurenta czy utrata klienta mogą wzbudzić podejrzenia, ale same nie przesądzają o nieuczciwości konkretnej osoby. Ustalenie drogi informacji wymaga zestawienia dat, wersji dokumentów, odbiorców i dostępnych zapisów.
Wyciek informacji z firmy: najpierw ustal, co rzeczywiście wyciekło
Stwierdzenie „konkurencja wie za dużo” jest zbyt ogólne, aby zaplanować działania. Wskaż szczegół, którego ujawnienie budzi wątpliwości. Może chodzić o indywidualny rabat, termin wdrożenia, wewnętrzną kalkulację lub warunek uzgodniony tylko z jednym klientem.
Zapisz trzy rzeczy:
- Treść informacji: co dokładnie miało pozostać poufne?
- Podstawę podejrzenia: skąd wiadomo, że informację poznała osoba spoza uprawnionego grona?
- Daty: kiedy informacja powstała, komu ją przekazano i kiedy zauważono jej ujawnienie?
Tak przygotowany opis pozwala zawęzić sprawdzenie. Łatwiej przeanalizować obieg jednej wersji oferty niż całą komunikację firmy z ostatnich kilku miesięcy.
Którędy poufne informacje mogły opuścić firmę?
Źródło wycieku informacji może znajdować się w kilku miejscach. Przed przyjęciem jednej hipotezy warto sprawdzić możliwe drogi ujawnienia:
- wiadomość wysłaną do niewłaściwego odbiorcy lub przekazaną dalej;
- link do dokumentu udostępniony zbyt szerokiemu gronu;
- dostęp byłego pracownika albo zewnętrznego wykonawcy, którego nie zakończono;
- materiały przekazane klientowi, partnerowi lub podwykonawcy;
- przejęcie konta pocztowego lub innego firmowego konta;
- rozmowę, wydruk lub świadome przekazanie dokumentu osobie trzeciej.
Uwzględnij również informacje dostępne publicznie. Część szczegółów można odtworzyć z ogłoszeń, prezentacji, wypowiedzi handlowców lub materiałów opublikowanych przez samą firmę.
Jeżeli podejrzenie dotyczy przede wszystkim poufnych rozmów, pomocny będzie również poradnik jak sprawdzić podsłuch. Kontrola pomieszczenia odpowiada jednak na inne pytania niż analiza obiegu dokumentów i dostępu do kont.
Jak ustalić źródło wycieku informacji? Pięć kroków
1. Zabezpiecz dostępny materiał
Zachowaj dokument w wersji, której dotyczy podejrzenie, korespondencję z odbiorcami oraz informacje o udostępnieniu. Przy każdym materiale odnotuj źródło i datę jego pozyskania. Pracuj na kopiach, a oryginalnych plików nie poprawiaj ani nie nadpisuj.
Zleć uprawnionemu administratorowi zabezpieczenie dostępnych dzienników zdarzeń, zanim zostaną usunięte lub nadpisane. CERT Polska przypomina o ryzyku nadpisania logów przy ich rotacji w swoich wskazówkach dotyczących incydentów. Jeżeli ujawnianie danych trwa, działania ograniczające szkodę i zabezpieczanie materiału należy skoordynować z osobą odpowiedzialną za IT.
2. Odtwórz chronologię zdarzeń
Ułóż zdarzenia w kolejności: przygotowanie pliku, zatwierdzenie warunków, wysłanie dokumentu, dalsze udostępnienia i moment zauważenia problemu. Oznacz luki w wiedzy. Oddziel daty potwierdzone wiadomością lub zapisem systemowym od tych, które ktoś podaje z pamięci.
Jedna precyzyjna oś czasu może wskazać, które wersje dokumentu i których odbiorców warto sprawdzić w pierwszej kolejności.
3. Ustal rzeczywisty krąg dostępu
Uwzględnij pracowników, przełożonych, dostawców usług oraz zewnętrznych odbiorców dokumentu. Sprawdź, czy uprawnienia odpowiadały aktualnym zadaniom i czy istniały wspólne konta. Samo umieszczenie osoby na liście uprawnionych nie oznacza, że otworzyła plik lub go przekazała.
Zakres przeglądu powinien być uzasadniony konkretną sprawą i prowadzony przez osoby mające odpowiednie uprawnienia. Zbieranie przypadkowych informacji o całej załodze utrudnia analizę i może naruszać prywatność.
4. Sprawdź zapisy techniczne w ich kontekście
Administrator może ustalić, jakie zapisy są dostępne w używanych systemach: logowania, zmiany uprawnień, udostępnienia czy pobrania plików. Możliwości zależą od konfiguracji, rodzaju usługi i okresu przechowywania danych.
Takie zapisy wymagają interpretacji. Pobranie pliku mogło wynikać ze zwykłej pracy, a użycie konta nie zawsze przesądza, kto faktycznie z niego korzystał. Powiąż zdarzenia techniczne z chronologią i informacjami o obowiązkach danej osoby.
5. Porównaj ustalenia z alternatywnymi wyjaśnieniami
Sprawdź, czy dokument mógł przekazać klient, czy podobne warunki pojawiły się w innej ofercie i czy informacja rzeczywiście była wcześniej niedostępna. Wnioski powinny wynikać z materiału, także wtedy, gdy pierwotne podejrzenie się nie potwierdzi.
Przykład hipotetyczny: ten sam rabat w dwóch ofertach
Firma przygotowała dla klienta indywidualną ofertę z rabatem 7,5% i nietypowym terminem realizacji. Kilka dni później klient przedstawił propozycję konkurenta z bardzo podobnymi warunkami. Właściciel podejrzewa handlowca, który prowadził negocjacje.
Sprawdzenie warto rozpocząć od ustalenia, kto otrzymał konkretną wersję dokumentu. Mogli to być również przełożony, klient i jego doradca. Istotne będzie też to, czy klient ujawnił konkurentowi warunki w ramach negocjacji.
Zbieżność ofert uzasadnia zadanie pytań. Aby przypisać komuś konkretne działanie, potrzebne są dalsze ustalenia. Taki sposób pracy pomaga ograniczyć ryzyko pochopnego oskarżenia i skupić się na rzeczywistej drodze informacji.
Poufna informacja a tajemnica przedsiębiorstwa
Oznaczenie pliku jako „poufny” jest istotnym sygnałem organizacyjnym, ale samo nie rozstrzyga o jego statusie prawnym. Artykuł 11 ustawy o zwalczaniu nieuczciwej konkurencji wiąże tajemnicę przedsiębiorstwa między innymi z wartością gospodarczą informacji, jej niejawnością wobec osób zwykle zajmujących się takim rodzajem informacji oraz działaniami podjętymi z należytą starannością w celu zachowania poufności.
Dlatego warto sprawdzić również sposób ochrony: zasady dostępu, umowy, obieg dokumentów i stosowane zabezpieczenia. Prawnik oceni, czy w konkretnym przypadku doszło do naruszenia oraz jakie dalsze działania są uzasadnione.
Kiedy w sprawie wycieku może pomóc detektyw?
Przy podejrzeniu celowego przekazywania informacji znaczenie może mieć ustalenie okoliczności zdarzeń i udokumentowanie faktów. Oferta NIKITA obejmuje ustalanie źródeł wycieków informacji w ramach usług dla biznesu.
Zakres zlecenia warto powiązać z konkretnymi pytaniami. Informatyk zajmuje się technicznym sprawdzeniem systemów, prawnik ocenia podstawy i skutki prawne działań, a detektyw realizuje uzgodnione czynności w granicach swoich uprawnień. Dobór specjalistów zależy od okoliczności sprawy.
Przed rozpoczęciem współpracy ustal sposób dokumentowania wyników. Raport detektywistyczny powinien czytelnie rozdzielać ustalone fakty, zgromadzony materiał i ograniczenia przeprowadzonych czynności.
Czego unikać, gdy podejrzewasz wyciek?
Nie rozpowszechniaj w zespole oskarżeń, których nie potrafisz poprzeć materiałem. Ogranicz informacje o sprawdzeniu do osób, które uczestniczą w wyjaśnianiu sprawy. Nie kasuj korespondencji i nie zlecaj przypadkowych zmian w systemach bez uzgodnienia sposobu zachowania potrzebnych zapisów.
Podejrzenie wycieku nie daje swobody przeglądania prywatnych wiadomości. Jak wyjaśnia Państwowa Inspekcja Pracy w materiale o monitoringu, kontrola służbowej poczty podlega ograniczeniom i nie może naruszać tajemnicy korespondencji ani innych dóbr osobistych pracownika. Sposób sprawdzenia uzgodnij z prawnikiem i osobą odpowiedzialną za ochronę danych.
Jak ograniczyć ryzyko kolejnego wycieku informacji z firmy?
Wnioski ze sprawdzenia przełóż na konkretne zmiany. Uporządkuj listy osób mających dostęp do poufnych materiałów, zasady udostępniania plików oraz odbierania uprawnień po zakończeniu współpracy. Zadbaj o jednoznaczne wersje ofert i odpowiedzialność za ich wysyłkę.
Omów z zespołem, jakie informacje wymagają ochrony i jak zgłaszać pomyłki. Ustal także, kto koordynuje reakcję na incydent. Procedura powinna pomagać szybko ograniczyć ujawnianie danych i zachować materiał potrzebny do wyjaśnienia zdarzenia.
Wyciek informacji z firmy — najczęstsze pytania
Czy podobna oferta konkurenta jest dowodem wycieku?
Sama zbieżność nie przesądza, skąd konkurent znał warunki. Sprawdzenia wymagają konkretne szczegóły, ich wcześniejsza dostępność i krąg odbiorców. Uwzględnij również możliwość ujawnienia warunków przez klienta.
Czy wyciek zawsze oznacza włamanie do systemu?
Nie. Informacja może zostać ujawniona także przez pomyłkę w adresie, przekazany dalej dokument, zbyt szerokie udostępnienie lub rozmowę. Drogę wycieku trzeba ustalić na podstawie okoliczności.
Czy każdy wyciek trzeba zgłosić do UODO?
Nie każdy wyciek informacji biznesowych dotyczy danych osobowych. Jeśli jednak doszło do naruszenia ich ochrony, administrator powinien ocenić obowiązki wynikające z RODO. Artykuł 33 RODO przewiduje zgłoszenie organowi nadzorczemu bez zbędnej zwłoki, w miarę możliwości w ciągu 72 godzin od stwierdzenia naruszenia, z wyjątkiem sytuacji, gdy jest mało prawdopodobne, by skutkowało ono ryzykiem naruszenia praw lub wolności osób. Taką ocenę warto niezwłocznie przeprowadzić z osobą odpowiedzialną za ochronę danych; nie należy uzależniać jej od zakończenia ustalania sprawcy.
Czy zawsze da się wskazać osobę odpowiedzialną?
Nie można tego zagwarantować. Znaczenie mają dostępny materiał, liczba odbiorców informacji i możliwość odtworzenia zdarzeń. Wynik sprawdzenia może wskazać drogę ujawnienia, zawęzić hipotezy albo pozostawić część pytań bez odpowiedzi.
Podejrzewasz wyciek? Przygotuj konkrety do rozmowy
Zbierz opis ujawnionej informacji, daty zdarzeń, listę znanych odbiorców i materiał, który posiadasz. Zapisz również działania już podjęte przez firmę. W przygotowaniu pomoże poradnik dotyczący pierwszej rozmowy z detektywem.
Jeżeli potrzebujesz pomocy w wyjaśnieniu sytuacji w firmie, skontaktuj się z biurem NIKITA w Słupsku. Opisz, co zostało ujawnione i na jakiej podstawie podejrzewasz wyciek. Pozwoli to ustalić możliwy zakres współpracy i pytania wymagające sprawdzenia.
Część prawna ma charakter ogólny. Ocenę konkretnego zdarzenia i zakres dopuszczalnej kontroli warto uzgodnić z prawnikiem.
