Lahkuvad töötajad on hakanud rohkem ärisaladusi varastama

Näeme oma klientide pealt, et infoühiskond on toonud meile olukorra, kus on hakatud väärtustama infot. Seetõttu on sagenenud ka juhtumid, kus töölt lahkunud inimene on kaasa võtnud ärikriitilisi andmeid või kliente, kopeerinud äriprotsesse ning sellega ettevõttele märkimisväärselt kahju tekitanud. Kuidas taolisi juhtumeid juba eos lihtsate tehniliste lahendustega vältida, arutlevad Piret Essenson ja tugiteenuste juht Lennart Võhovanets.

Koroonaviirus tõi meile tõsise vajaduse kodutöö lahenduste järele, mistõttu elu ise sundis viima pilvekeskkondadesse oluliselt rohkem ärikriitilisi andmeid, et uue hübriidse töökorraldusega toime tulla. See aga omakorda viis mõned töökohta vahetavad inimesed riukalikule mõttele, et ei tasu senise tööandja juurest lahkuda n-ö tühjade kätega. Nii ongi meie poole pöördunud mitu ettevõtet, kellele ühel hetkel on hakanud tunduma, et nende tundlik äriinfo on jalutama läinud. Kahetsusväärne on aga see, et kui ennetavaid meetmeid pole kasutusele võetud, on tagantjärgi tehniliselt juba keeruline tuvastada, kes konkreetselt ja milliste andmetega ettevõttest lahkus. Sellest, et kahtlus pole üksnes ettevõtja paranoia, on aga andnud märku ridamisi konkurendi juurde lahkunud võtmekliendid või ligi viiendiku võrra kukkunud käive.

Juriidilised ja tehnoloogilised meetmed ärisaladuse kaitsmiseks

Mida ette võtta, et end sellise ebaeetilise käitumisega kaasnevate riskide eest kaitsta? Meetmed jagunevad juriidilisteks ja tehnoloogilisteks. Juriidika poole pealt on tänapäeval üsna tavaline, et töölepingutes on koos sanktsioonidega sätestatud ärisaladuse kaitse kohustus ja konkurentsipiirang, juhtkonna liikmete ja võtmeisikute puhul vahel ka samas valdkonnas töötamise ning ettevõtte klientide teenindamise keeld mingi ajaperioodi jooksul pärast töösuhte lõppemist. Need juriidilised kohustused on küll head ja vajalikud, ent ilma tehnoloogiliste meetmetega kooskõlastamata on nende kasutegur küsitav. Tihti on märkamata jäänud ka tehnoloogilisi lahendusi toetav juriidiline pool – näiteks et töötaja loodud andmed ning töötaja meilboks on samuti tööandja vara või on jäänud üle vaatamata riistvara kasutamisega seotud väljakutsed ning sätestamata kasutuskord.

Kui näiteks töötaja peaks lahkuma klientide andmebaasiga, võib kahju sissenõudmine olla väga keeruline. Esiteks võib ilma tehniliste lahendusteta olla keerukas tõendada, et konkreetne inimene ärikriitilisi andmeid üldse varastas. Isegi tõendite olemasolul tuleb järgnevalt tõendada põhjuslik seos tekkinud kahjuga, sest alati võib ju väita, et võtmekliendid lahkusid rahulolematuse tõttu senise teenusepakkuja kvaliteediga või osutus määravaks liiga kõrge teenuse hind.

Kui kahju tekitaja ennast ise süüdi ei tunnista, võib suure tõenäosusega ees oodata pikk ja kulukas kohtuvaidlus. Isegi kui lõpuks saavutatakse kohtus võit, võib suuremate äride puhul juhtuda, et kogu tekkinud kahju ei ole võimalik inimeselt kätte saada, sest see käib talle rahaliselt üle jõu isegi mitme eluea vältel. Seetõttu on mõistlik võtta kohe kasutusele ka tehnilisi lahendusi, et töötajal üldse puuduks võimalus oma lepingulisi kohustusi rikkuda ja andmeid varastada.

Azure Information Protectioni võimalused

Kuna suurem osa Datafoxi kliente kasutab nii kui nii Microsofti tooteid, eelistame kogu infohalduse ja kaitse hoida ühes lahenduses. Kindlasti aitame oma kiente ka teiste lahenduste kasutamise korral. Kui ettevõttes või asutuses on kasutusel Microsofti tooted, sobib andmete kaitsmiseks kõige paremini Azure Information Protection nimeline tarkvara. See võimaldab võtta täieliku kontrolli oma andmete üle, määrata lihtsalt hiireklikiga iga dokumendi või faililiigi turvapoliitika ning jälgida reaalajas sensitiivse infoga toimuvat. Azure Information Protection võimaldab näiteks:

Automaatseid hoiatusi administraatoritele või juhtidele, kui mõni töötaja hakkab massiliselt andmeid SharePointi teekidest või mujalt võrguressurssidest oma arvutisse kopeerima.
Keelata failide massiline allalaadimine.
Keelata konkreetse dokumendi või dokumendiliigi allalaadmine, jagamine ja edasisaatmine.
Keelata koostööpartnerile lingiga jagatud faili allalaadimine ja printimine.
Anda dokumendi avamise õiguse konkreetsetele isikutele. Isegi kui andmed jõuavad ettevõttest välja, pole nendega midagi peale hakata, sest failid lihtsalt ei avane, kui konkreetsel isikul pole õigust selle sisu näha. Kontroll toimub reaalajas pilveteenusest, tänu millele ei avane dokument isegi, kui varem volitatud isikult on andmete nägemise õigus hiljem ära võetud. Nii et isegi USB-pulga peal internetiühenduseta arvutisse kopeeritud faile ei ole võimalik lahti saada.
Kui inimene on dokumendi alla laadinud ja hiljem sellega töötamise õiguse kaotanud, kuid püüab sellegipoolest faili avada, siis saab lisada dokumendile automaatselt vesimärgi, et tegemist on teise ettevõtte omandiga ning puuduvad õigused sellega tutvumiseks.

Nutiseadmete kaitse Intune’ga

Kuna järjest enam kasutatakse tööasjadeks ka nutitelefone, on soovitav kasutada ka Microsoft Intune’i, mis hoiab ära andmelekke nutiseadme kaotuse korral. Kaduma läinud või varastatud nutiseade võimaldab pahalastel saada hea tahtmise korral ligi pääseda ärikriitilistele andmetele, kui töötaja luges selle kaudu ettevõtte e-posti ning omas ligipääsu OneDrivele, Teamsile, SharePointile või teistele rakendustele. Intune’i abil on võimalik kaotatud nutitelefonile anda üle võrgu korraldus taastada tehaseseaded ning kustutada kõik seadmes olnud ligipääsud ja failid. Selle meetme kasutamise eelduseks on nutiseadme kuulumine tööandjale või isikliku telefoni korral tööandmetele ligipääsu andmiseks seatud eeltingimus, et seadme kaotamise järel kõik andmed kustutakse.

Palju lihtsamini on andmevargust kahtlustavate ettevõtete käsi käinud siis, kui neil on juba olnud kasutusele Azure Information Protection. Tänu sellele oleme saanud üle vaadata, mis faile lahkunud töötaja oma arvutis, postkastis, SharePointis ja OneDrive kettal alla laadinud, muutnud või kustutanud. Kõik kustutatud andmed saavad taastatud, tegevused on dokumenteeritud ning ohud tuvastatud. Oleme leidnud end ka põnevusfilmilikest stsenaariumitest, kus kahe kuu jooksul kõvasti siseinfot kopeerinud uus töötaja osutuski tegelikult konkureeriva ettevõtte „spiooniks“ või kus lahkunud töötaja proovis kaasa võtta kogu kliendibaasi, meelitada kaasa kolleege, kopeerida tööprotsesse ning luua konkureerivat ettevõtet.

Kontrolli tegemise võimalus peab olema töölepingus

Kindlasti on oluline juba töölepingus kokku leppida taolise kontrolli tegemise õigus. Tuleb selgelt ära määrata, et postkast ja võrguressursides sisalduv info kuulub ettevõttele, mitte inimesele endale, vältimaks juriidilisi probleeme isikuandmete kaitse aspektist lähtuvalt. Kontrolli tuleb teha ka kiiresti töötaja lahkumise järel, kuna Microsoft säilitab lõppkasutaja andmeid vaid 30 päeva, keskseid andmeid nagu SharePointi failid, Teamsi vestlused ning suletud kontod maksimaalset 90 päeva. Võimalik on kasutada eraldi varundusteenust, kui on soov vajadusel taastada kustutatud andmeid pikema perioodi vältel – selleks pakume näiteks Microsofti ametliku koostööpartneri Veeami varunduslahendust.

Enne Azure Information Protectioni ja Intune’i litsentside ostmist on mõistlik meiega nõu pidada, et teha selgeks, mis andmeid on vaja kaitsta ja milline on ettevõtte töökorraldus. Nii on võimalik leida optimaalne litsentseerimislahendus: vahel on näiteks kasulikum osta üks suuremate võimalustega kallim litsents kui iga funktsionaalsuse jaoks eraldi kasutusõigused. Mõnikord on lisalitsentside soetamise vajadus minimaalne, kuna näiteks Microsoft 365 Business Premium pakett sisaldab muude turvatoodete kõrval juba nii Azure Information Protection’it kui ka Intune’i. Siiski tuleb arvestada seda, et litsentsid ainuüksi sensitiivse info kaitset ei taga, vaid peab olema ka turvapoliitika ning tegevusplaan selle elluviimiseks.

Kui soovid rohkem kuulda oma äriandmete kaitsmise võimalustest, siis kirjuta meile: