Как нанимать и увольнять сотрудников с точки зрения информационной безопасности

Когда сотрудников принимают на работу, они получают доступ к корпоративным данным, системам и аккаунтам, а при увольнении — теряют его. Если выдача и отзыв прав настроены некорректно, легко допустить ошибку: новичку открыть лишние доступы, а уволенному — забыть отключить учётную запись. Разберём, какие угрозы связаны с наймом и увольнением и как бизнес может снизить риски.

Ольга Попова Ведущий юрист

Какие риски есть при найме

Новички на 44% чаще попадаются на уловки фишинга, чем опытные сотрудники. В первые недели они ещё не отличают нормальные письма от подозрительных, получают много приветственных сообщений и приглашений в сервисы, работают по незнакомым регламентам и легко могут перейти по фишинговым ссылкам. В результате есть риск, что злоумышленники получат учётные данные и начнут действовать от имени сотрудника.

Если бизнес хранит личные данные кандидатов, из-за недостаточных мер безопасности они могут утечь в сеть. Работодатель должен уведомить кандидатов о факте утечки, сообщить об инциденте регуляторам и объяснить, какие меры он принял. Одновременно придётся проверять, у кого именно был доступ, пересматривать порядок хранения документов и усиливать контроль. Репутация бизнеса будет испорчена, а соискатели перестанут ему доверять.

Сотруднику могут выдать слишком широкий доступ или забыть зафиксировать уровень прав. В результате он по ошибке или намеренно может получить доступ к тем данным, которые не нужны ему для работы, случайно удалить что-то важное, переслать конфиденциальные документы не туда. Если он работал в общем аккаунте, расследовать инцидент будет сложнее: непонятно, кто именно внёс изменения.

Новым ИП – год Эльбы в подарок

Год онлайн-бухгалтерии на тарифе Премиум для ИП младше 3 месяцев

Попробовать бесплатно

Что важно сделать при найме сотрудника

Разберём, за что отвечают HR-, IT- и ИБ-специалист при найме работника.

Что сделать HR-специалисту:

Проверить кандидата: оценить рекомендации, информацию о предыдущей работе. Это помогает убедиться, что соискатель не представляет угрозы для данных и систем бизнеса.

Получить и зафиксировать согласие на обработку персональных данных. Кандидат подписывает все необходимые документы о хранении и обработке личной информации, включая резюме, контакты и результаты проверок.

Организовать подписание NDA и правил работы с корпоративной информацией. В этих документах фиксируют ответственность сотрудника за конфиденциальную информацию и его согласие с внутренними правилами использования ресурсов компании.

Передать информацию о выходе сотрудника в IT и ИБ заранее. Уведомить о дате выхода, уровне доступа и необходимом оборудовании, чтобы IT- и ИБ-специалисты успели подготовить безопасные учётные записи.

Запланировать вводное обучение. Организовать мероприятия, где сотрудник знакомится с внутренними правилами, политикой безопасности и стандартами работы с корпоративной информацией.

Что сделать IT-специалисту:

Создать учётные записи с нужным уровнем прав. Важно назначать только те права, которые необходимы для выполнения обязанностей сотрудника.

Настроить безопасные доступы: включитьмногофакторную аутентификацию (MFA), дать доступ к корпоративной сети, рабочим папкам и сервисам.

Выдать оборудование с учётом требований ИБ. Это могут быть ноутбук, телефон, планшет или токены с включённым шифрованием, антивирусом и необходимыми настройками.

Задокументировать все созданные доступы. Зафиксировать, какие учётные записи, пароли и права выданы, чтобы можно было быстро проверить доступы и управлять ими при изменении роли или увольнении.

Что сделать ИБ-специалисту:

Проверить уровень доступа, убрать лишние права. Проконтролировать работу IT-отдела: действительно ли выданные права соответствуют должности и задачам сотрудника, нет ли лишнего доступа к конфиденциальным данным.

Согласовать исключения. Если сотруднику нужен нестандартный доступ к системам или данным, ИБ-специалист оценивает необходимость в нём и даёт разрешение.

Убедиться, что приняты все документы по ИБ. Проверить, что HR собрал и выдал сотруднику на подпись всё необходимое: NDA, согласие на обработку персданных, внутренние правила работы с корпоративной информацией.

Настроить мониторинг активности сотрудника. Включить отслеживание действий в системах, настроить систему для предотвращения утечек информации (DLP), чтобы своевременно заметить подозрительную активность и оперативно отреагировать на возможные инциденты.

Провести инструктаж по информационной безопасности. Организовать специализированное обучение, объяснить, как безопасно работать с системами, защищать данные и предотвращать инциденты.

Какие риски есть при увольнении

76% IT-специалистов считают, что увольнение сотрудников — высокий риск для информационной безопасности: бывший работник может сохранить доступ к сервисам, скачать конфиденциальные данные и использовать их во вред бизнесу.

У уволенного сотрудника может остаться доступ к почте, облачным хранилищам или корпоративным сервисам. Он случайно может переслать важную информацию не туда, изменить или удалить важные данные, получить информацию о текущих проектах.

Сотрудник, недовольный увольнением, может специально навредить бизнесу. Например, удалить файлы, скопировать клиентскую базу или передать её конкурентам, изменить или удалить ключевую информацию.

Могут остаться «висячие» учётные записи, которые никто не контролирует. Злоумышленники часто используют такие учётки для доступа к корпоративным системам, что повышает риск утечки конфиденциальной информации. Такие записи усложняют аудит и расследование инцидентов, потому что нельзя точно определить, кто выполнял действия в системах — сотрудник или мошенник.

Что важно сделать при увольнении сотрудника

Как и при найме, во время увольнения есть ряд задач, за которые отвечают HR-, IT- и ИБ-специалисты. 

Что сделать HR-специалисту:

Предупредить IT- и ИБ-специалистов о дате увольнения заранее. Это нужно, чтобы они успели отключить учётные записи, отозвать доступы и проверить связанные сервисы. Так уволенный сотрудник не сохранит активный доступ к корпоративным системам.

Зафиксировать факт увольнения и подписание обязательств о неразглашении. Оформить документы, которые подтверждают прекращение трудовых отношений, и получить подпись сотрудника под обязательством о сохранении конфиденциальности. Такая процедура закрепляет юридическую ответственность бывшего сотрудника за работу с корпоративной информацией.

Проследить, чтобы сотрудник сдал технику, ключи, пропуск. Так меньше шансов, что после увольнения бывший работник несанкционированно попадёт в офис или использует имущество компании.

Актуализировать кадровые документы. Внести изменения в кадровые системы, архивировать личное дело и скорректировать записи в базе сотрудников. Это исключает ситуации, когда уволенный сотрудник числится действующим и по ошибке получает доступ к командным рассылкам или внутренним сервисам.

Что сделать IT-специалисту:

Отключить или удалить все учётные записи и доступы. Важно сделать это в день увольнения сотрудника. Так меньше вероятность, что он получит доступ к корпоративной информации, а хакеры взломают «висячие» учётные записи.

Обновить пароли, если сотрудник пользовался общими учётными записями. Например, работник мог использовать их для сервисов без индивидуальных аккаунтов. Это гарантирует, что доступа к сервисам у уволенного больше не будет.

Заблокировать корпоративные мессенджеры, облачные сервисы и почту. Тогда бывший сотрудник не сможет подключиться к внутренней сети и получать корпоративную информацию.

Принять и проверить технику, удалить корпоративные данные. Если нужно — полностью переустановить систему, чтобы конфиденциальная информация не сохранилась.

Убедиться, что сотрудник не сохранил доступ через сторонние устройства. Если к корпоративным сервисам подключались личные телефоны или домашние компьютеры, важно удалить эти устройства из систем и отозвать доступ.

Что сделать ИБ-специалисту:

Проверить журналы активности за последние недели. Проанализировать действия сотрудника перед увольнением: какие файлы он скачивал, какие системы использовал, не пытался ли копировать большие массивы данных. Это поможет выявить подозрительные действия до того, как они нанесут ущерб.

Убедиться, что нет забытых учётных записей. Дополнительно проконтролировать, не остались ли активные учётки в отдельных сервисах или облаках.

Задокументировать увольнение и передать в архив. Зафиксировать отключение доступа и результаты проверок. Сохранить данные в архиве, чтобы при необходимости можно было восстановить картину увольнения.

Обновить списки актуальных доступов и отчёты по системам, чтобы нигде не числились уволенные работники. Так легче поддерживать корректность базы сотрудников и быстро находить лишние учётные записи в будущем.

Реклама 16+

Информационная безопасность бизнеса

Контур.Эгида — сервисы информационной безопасности: уменьшение рисков внутренних угроз и утечек конфиденциальных данных, предотвращение атак злоумышленников.

Оставить заявку

Если все работники действуют по чётким и понятным процедурам, вероятность утечек и злоупотреблений сводится к минимуму. Новый сотрудник быстро включается в работу, а уходящий — не сохраняет доступа к корпоративным ресурсам.