W czwartek o jedenastej Tomasz oddał firmowego laptopa. Chwilę później położył na biurku kartę dostępową. Podpisał obiegówkę, uścisnął dłoń przełożonego i po czterech i pół roku zamknął za sobą drzwi. Jedenaście minut. Każda procedura zrealizowana bezbłędnie.
Tego samego wieczoru na jego prywatnym telefonie znajdowało się: dziewięć grup projektowych, z których nikt go nie usunął. Osiem umów zapisanych automatycznie w pamięci urządzenia. Zdjęcia cenników, które kolega z zespołu przesłał dwa miesiące temu. Kompletny wątek negocjacji z klientem, który wciąż nie podpisał kontraktu. I trzy notatki głosowe z poufnego spotkania zarządu, które nigdy nie powinno było zostać nagrane.
Tomasz niczego nie ukradł. Miał to na telefonie od pierwszego dnia, bo dokładnie tam organizacja kazała mu pracować.
01Co organizacja faktycznie odzyskała?
Karta obiegowa służy do ewidencji tego, co fizyczne i policzalne: sprzętu, identyfikatora, klucza do biura, samochodu służbowego i konta pocztowego. Widoczne aktywa. Wiadomo, ile ich jest i kto je posiada.
W czwartek nikt nie odzyskał jednak tego, co przez ponad cztery lata przeszło przez prywatny komunikator. Nikt nie zna skali tych danych. I nikt nie jest w stanie tego ustalić. Brak logów, brak rejestru, brak jakiegokolwiek ekranu, na którym dyrektor ds. bezpieczeństwa mógłby zobaczyć: oto pliki, które Tomasz ma w tej chwili w kieszeni.
Konto w domenie zablokowano, zanim Tomasz doszedł do parkingu. Dziewięć grup na prywatnym komunikatorze działa nadal, a jego telefon wciąż w nich jest.
02Problem nie leży w pracowniku
W tym miejscu większość organizacji stawia błędną diagnozę.
Tomasz nie złamał regulaminu. Niczego nie wyniósł potajemnie. Korzystał z kanału, który zastał pierwszego dnia pracy — tego samego, którego używał jego przełożony i przez który otrzymał pierwsze wytyczne. Kiedy nieoficjalny kanał jest jedynym narzędziem działającym wystarczająco szybko, w praktyce staje się kanałem oficjalnym. Korzystanie z niego oznacza przestrzeganie zasad, a nie uchybienie.
Kolega, który wysłał zdjęcie cennika, też nie chciał źle. Próbował po prostu zamknąć temat przed końcem zmiany.
Błąd nie leży w zachowaniu ludzi. Problem w tym, że organizacja nie dysponuje jednym punktem, z którego mogłaby odciąć dostęp do danych operacyjnych. Ma przełącznik do poczty, przełącznik do sieci i przełącznik do systemu ERP. Nie ma natomiast żadnej kontroli nad grupą dyskusyjną żyjącą na prywatnym telefonie.
03Kim właściwie jest użytkownik?
W komunikatorach konsumenckich tożsamością użytkownika jest jego prywatny numer telefonu. To logiczne w życiu prywatnym, ale niemożliwe do objęcia nadzorem w strukturze instytucjonalnej.
Numer należy do pracownika, nie do firmy. Idzie z nim do kolejnej pracy — także wtedy, gdy przechodzi do bezpośredniej konkurencji. Aplikacja nie wie, że Tomasz przestał być pracownikiem, i nie ma żadnego technicznego sposobu, by ją o tym powiadomić.
W Tawasol to organizacja definiuje tożsamość. Pracownik loguje się poświadczeniami firmowymi. Pola logowania można dostosować do własnej nomenklatury: numeru pracownika, numeru legitymacji czy numeru PESEL. Tożsamość integruje się bezpośrednio z Active Directory, dzięki czemu uwierzytelnianie jest scentralizowane. Każdy użytkownik ma precyzyjne uprawnienia wynikające bezpośrednio z pełnionej roli.
Różnica operacyjna jest bezdyskusyjna. Obecność Tomasza w systemie to nie dziewięć niezależnych czatów, lecz jeden rekord w strukturze organizacyjnej. Kiedy odchodzi, administrator usuwa go z listy członków w panelu: jedno kliknięcie, jedno potwierdzenie. A jeśli w danym miesiącu odchodzi dziesięć osób, sprawę załatwia jeden plik importu zbiorczego.
Nikt nie musi pamiętać o dziewięciu grupach. Trzeba pamiętać tylko o jednej tożsamości.
04Gdzie faktycznie trafiają pliki?
05Drugie pytanie, które zwykle pada zbyt późno: gdzie znajdują się dokumenty przesyłane w trakcie tych rozmów?
W komunikatorach konsumenckich pliki leżą na serwerach zewnętrznego dostawcy, poza Państwa perymetrem bezpieczeństwa. Rozmowy mogą być szyfrowane, ale same dane opuściły firmę — a wraz z nimi możliwość egzekwowania procedur bezpieczeństwa.
Tawasol wdraża się w całości w centrum danych organizacji lub w dedykowanej chmurze prywatnej. Działa przez internet lub wyłącznie w zamkniętej sieci lokalnej. Dane są szyfrowane w transmisji (TLS) i w spoczynku (AES-256), a pliki pozostają na serwerach instytucji — pod Państwa kluczami szyfrującymi i bez udziału pośredników.
To nie jest zwykła pozycja w tabeli porównawczej. To punkt, który jako pierwszy weryfikują audytorzy danych osobowych i bezpieczeństwa informacji.
Prosty test do wykonania w organizacji: Poproś dział HR o nazwiska trzech ostatnich pracowników, którzy opuścili firmę. Następnie zapytać dział IT: co dokładnie zablokowano w dniu ich odejścia, a do czego nadal mogą mieć dostęp? Wystarczy otworzyć dowolną dawną grupę roboczą i sprawdzić obecność ich numerów. Pół godziny pracy, bez pomocy z zewnątrz. Wynik pokaże Państwu rzeczywistą skalę ekspozycji na ryzyko.
06Prawo do pobierania nie powinno być bezterminowe
To różnica, która ujawnia się miesiące po odejściu pracownika.
W zwykłej grupie dyskusyjnej każdy załącznik można swobodnie zapisać. Każdy plik trafia na każde urządzenie. Kiedy pracownik odchodzi, zachowuje wszystko, co kiedykolwiek pobrał. Nie ma drugiego etapu ani mechanizmu cofnięcia tej operacji.
W Tawasol pobranie załącznika wymaga uprawnień. Biblioteka dokumentów jest scentralizowana, a każdy plik ma przypisany status bezpieczeństwa określający, czy wolno go zapisać na dysku, czy wyłącznie wyświetlić w bezpiecznym podglądzie. Uprawnienia wynikają z roli: dokument trafia do osób, które rzeczywiście go potrzebują, a nie do każdego, kto przypadkowo znalazł się w wątku.
Co najważniejsze: w dniu odejścia pracownika uprawnienia wygasają natychmiast, a wraz z nimi dostęp do dokumentacji.
Dokument przestaje być kopią krążącą bez kontroli. Pozostaje zasobem zarządzanym centralnie.
07Co w sytuacji, gdy ktoś zrobi zdjęcie ekranu?
To uzasadniona wątpliwość: skoro ekran można sfotografować innym telefonem, jaki jest sens powyższych zabezpieczeń?
Dlatego kontrola dostępu to tylko jeden z elementów perymetru.
W aplikacji Tawasol można zablokować wykonywanie zrzutów ekranu i nagrywanie obrazu, a na dokumenty wrażliwe nakładany jest dynamiczny znak wodny (identyfikator użytkownika i znacznik czasu). Daje to dwa efekty: nieautoryzowane kopiowanie przestaje być bezkarne, a w razie wycieku dokument jednoznacznie wskazuje swoje źródło.
Różnica między wyciekiem o znanym źródle a wyciekiem anonimowym to różnica między incydentem, który można formalnie zamknąć, a sprawą otwartą w nieskończoność.
08Odegrajmy ten czwartek ponownie
09Ta sama sytuacja, ale w środowisku Tawasol:
Tomasz podpisuje obiegówkę o jedenastej. O 11:05 administrator otwiera panel i usuwa go ze struktury. Jedno działanie, w jednym miejscu. Jego obecność we wszystkich dziewięciu grupach wygasa, a uprawnienia do biblioteki dokumentów zostają natychmiast cofnięte.
Osiem umów nigdy nie trafiło do pamięci jego telefonu. Były dokumentami w centralnej bibliotece, do których miał wgląd wyłącznie z racji pełnionej funkcji, część z nich w trybie tylko do odczytu. Rola wygasła — dostęp wygasł razem z nią.
Cennik nie został sfotografowany, bo aplikacja blokowała zrzuty ekranu. A jedyny dokument, który rzeczywiście wydrukowano nosi cyfrowy znak wodny wskazujący, kto i kiedy go otworzył.
Tomasz oddał laptopa i kartę. Tym razem oddał również dostęp do informacji.
Dostęp przestał być czymś, co żyje poza kontrolą na prywatnym urządzeniu. Stał się zasobem, który należy do organizacji i podlega pełnemu nadzorowi.
010Brakujący punkt na Państwa karcie obiegowej
W tym miesiącu z Państwa firmy odejdzie kolejny pracownik. Podpisana przez niego obiegówka obejmie laptop, identyfikator i klucz do szafki, milcząc na temat lat rozmów i dokumentów operacyjnych. Powstała w czasach, gdy majątek firmy mieścił się w rękach.
Problem nigdy nie leżał w pracowniku. Problem polega na tym, że tradycyjne procedury nie pytają o to, co najważniejsze.
Zamów bezpłatny audyt procedury odejść: Prześlij nam do nas aktualną ścieżkę obiegówki pracowniczej, a my odeślemy ją w formie Raportu Ekspozycji Danych przy Offboardingu: ze wskazaniem, które kanały realnie się zamykają, co pozostaje otwarte i kto ponosi odpowiedzialność za odcięcie dostępów. Gotowy dokument dla komitetu ds. ryzyka. Kontakt: contactus@tawasolapp.com (Tytuł: Raport Ekspozycji Danych przy Offboardingu).