Если бывший сотрудник после увольнения скачал клиентскую базу, финансовые документы или другую конфиденциальную информацию, компании в первую очередь стоит провести внутреннюю проверку. Об этом «Клерку» рассказал аналитик информационной безопасности ИТ-компании УЦСБ Никита Туркин.

Нужно выяснить, каким образом бывший работник сохранил доступ к корпоративным системам, был ли он допущен к конкретным материалам и не помогал ли ему кто-либо из действующих сотрудников.

Отдельное значение имеет режим коммерческой тайны. Недостаточно только издать приказ о его введении: компании нужно определить порядок работы с защищенной информацией, ограничить доступ к ней и урегулировать обязанности сотрудников по ее использованию.

«Мало просто издать приказ о вводе режима коммерческой тайны и собрать со всех уведомления, надо выполнить все требования, указанные в законе», — отметил Туркин.

Если компания обнаружила скачивание информации, важно сразу сохранить цифровые следы. В частности, необходимо подтвердить, что конкретный компьютер или учетная запись были закреплены за сотрудником и посторонний человек не мог воспользоваться его доступом.

Набор доказательств зависит от способа копирования информации. При отправке документов на электронную почту стоит сохранить письмо с корпоративного сервера вместе с данными об отправителе, получателе и вложениях. При загрузке файлов в облако или отправке через мессенджер могут понадобиться сведения DLP-системы.

Если документы копировали на флешку, пригодятся журналы событий операционной системы. При работе с бумажными документами доказательством может стать история операций корпоративного МФУ.

Эксперт также советует запросить у бывшего сотрудника письменные объяснения и зафиксировать результаты внутреннего расследования в заключении служебной проверки. Это поможет компании собрать доказательства того, кто получил доступ к информации и каким способом она покинула корпоративные системы.