Διαρροή πληροφοριών: εντοπισμός της πηγής χωρίς αναστάτωση

Η διαρροή πληροφοριών είναι από τα πιο δυσάρεστα προβλήματα που μπορεί να αντιμετωπίσει μια διοίκηση. Δεν απειλεί μόνο ένα έγγραφο ή μια διαπραγμάτευση. Απειλεί την εμπιστοσύνη ανάμεσα στους ανθρώπους μιας ομάδας. Μόλις γίνει γνωστό ότι «κάποιος μιλάει», όλοι γίνονται ύποπτοι, και αυτό από μόνο του μπορεί να κάνει μεγαλύτερη ζημιά από την ίδια τη διαρροή.

Γι' αυτό η έρευνα που κάνει το γραφείο του Πέτρου Δρόλια έχει δύο στόχους ταυτόχρονα: να εντοπίσει την πηγή και να το κάνει με τρόπο που προστατεύει όσους δεν έχουν καμία σχέση. Με πάνω από 30 χρόνια εμπειρίας, έχουμε μάθει ότι η ησυχία είναι μέρος της μεθόδου.

Τι εννοούμε όταν λέμε διαρροή

Η διαρροή είναι η μεταφορά εμπιστευτικής πληροφορίας εκτός του κύκλου που έπρεπε να τη γνωρίζει. Μπορεί να είναι σκόπιμη, για οικονομικό όφελος, εκδίκηση ή ιδεολογικούς λόγους, ή αμελής, όπως ένα συνημμένο σε λάθος παραλήπτη ή ένα έγγραφο ξεχασμένο σε κοινόχρηστο εκτυπωτή. Σε σχέση με τη βιομηχανική κατασκοπεία, που αφορά στοχευμένη απόσπαση τεχνογνωσίας από τρίτους, η διαρροή συχνά ξεκινά από μέσα και αφορά πολύ ευρύτερο φάσμα πληροφοριών: οικονομικά στοιχεία, μισθολόγια, σχέδια αναδιάρθρωσης, δεδομένα πελατών.

Η διάκριση έχει σημασία, γιατί αλλάζει τον τρόπο που ερευνάμε και τα μέτρα που θα ακολουθήσουν.

Οι πρώτες κινήσεις, πριν από κάθε έρευνα

Τις πρώτες ώρες μετά τη διαπίστωση μιας διαρροής, οι αποφάσεις της διοίκησης καθορίζουν πολλά. Από την εμπειρία μας, σας συνιστούμε:

1. Καταγράψτε, μη διαγράφετε. Κρατήστε αντίγραφο του υλικού που διέρρευσε, όπως εμφανίστηκε έξω, με ημερομηνία και πηγή.
2. Περιορίστε τον κύκλο. Μόνο δύο ή τρία πρόσωπα πρέπει να γνωρίζουν ότι θα γίνει έρευνα.
3. Μην κάνετε ανακοινώσεις. Ένα γενικό email που προειδοποιεί «ξέρουμε ότι κάποιος διαρρέει» συνήθως οδηγεί την πηγή να εξαφανίσει τα ίχνη της.
4. Ελέγξτε αν πρόκειται για προσωπικά δεδομένα. Αν ναι, ο GDPR (Κανονισμός 2016/679) προβλέπει υποχρεώσεις γνωστοποίησης με αυστηρή προθεσμία. Ενημερώστε αμέσως τον υπεύθυνο προστασίας δεδομένων ή τον νομικό σας σύμβουλο.
5. Μην ξεκινήσετε μόνοι σας ψηφιακή έρευνα. Η αυτοσχέδια αναζήτηση σε υπολογιστές αλλοιώνει στοιχεία και μπορεί να παραβιάζει τον νόμο.

Πώς στενεύουμε τον κύκλο

Ο χάρτης πρόσβασης

Το πρώτο εργαλείο μας είναι απλό και ισχυρό: ποιος είχε την πληροφορία, σε ποια μορφή και πότε. Αν το υλικό που διέρρευσε είναι μια συγκεκριμένη έκδοση εγγράφου, με συγκεκριμένη διατύπωση ή συγκεκριμένους αριθμούς, συνήθως μπορούμε να προσδιορίσουμε σε ποια φάση και σε ποιον κύκλο κυκλοφορούσε. Σε πολλές υποθέσεις, οι πιθανές πηγές περιορίζονται έτσι σε ελάχιστα πρόσωπα.

Ανάλυση του ίδιου του υλικού

Το υλικό που διέρρευσε μιλά. Η μορφοποίηση, τα μεταδεδομένα ενός αρχείου όταν είναι διαθέσιμα, ένα στιγμιότυπο οθόνης που δείχνει συγκεκριμένη εφαρμογή ή ρυθμίσεις, η χρονική στιγμή που εμφανίστηκε έξω. Όταν η διαρροή γίνεται δημόσια σε μέσα ή στα κοινωνικά δίκτυα, αναλύουμε επίσης τη δημόσια δραστηριότητα των λογαριασμών που τη διέδωσαν.

Εξέταση εταιρικών μέσων, όπου επιτρέπεται

Όταν οι συσκευές και οι λογαριασμοί ανήκουν στην εταιρεία, υπάρχει γραπτή πολιτική χρήσης γνωστή στους εργαζομένους και ο νομικός σας σύμβουλος έχει εγκρίνει τη διαδικασία, μπορεί να γίνει ψηφιακή εξέταση εταιρικών υπολογιστών για ίχνη αντιγραφής, εκτύπωσης ή αποστολής του συγκεκριμένου υλικού. Η εξέταση είναι στοχευμένη, αναλογική και τεκμηριωμένη βήμα προς βήμα.

Έλεγχος του φυσικού χώρου

Αν η πληροφορία ειπώθηκε μόνο προφορικά, σε συγκεκριμένη αίθουσα, ο τεχνικός έλεγχος για συσκευές παρακολούθησης αποκλείει ή επιβεβαιώνει ένα ενδεχόμενο που αλλιώς θα σας απασχολούσε.

Ένα υποθετικό παράδειγμα

Για παράδειγμα, μια επιχείρηση που ετοιμάζει αναδιάρθρωση διαπιστώνει ότι το σχέδιο κυκλοφορεί σε ομάδα εργαζομένων πριν από την ανακοίνωση. Ο χάρτης πρόσβασης δείχνει ότι το σχέδιο υπήρξε σε τρεις διαδοχικές εκδόσεις, και ότι το κείμενο που κυκλοφορεί περιλαμβάνει έναν αριθμό που άλλαξε μετά την πρώτη. Αυτή η λεπτομέρεια περιορίζει αμέσως την αναζήτηση στους παραλήπτες της δεύτερης έκδοσης. Από εκεί και πέρα, η έρευνα συνεχίζεται στοχευμένα, χωρίς να χρειαστεί να τεθεί υπό αμφισβήτηση όλο το προσωπικό.

Τι δεν θα κάνουμε για να βρούμε την πηγή

Δεν θα διαβάσουμε προσωπικά μηνύματα εργαζομένων, δεν θα μπούμε σε προσωπικούς λογαριασμούς ή κινητά και δεν θα καταγράψουμε κρυφά συνομιλίες. Το άρθρο 19 του Συντάγματος και το άρθρο 370Α του Ποινικού Κώδικα το απαγορεύουν ρητά, και ο ν. 4624/2019 θέτει πρόσθετα όρια στην επεξεργασία δεδομένων εργαζομένων. Πέρα από τη νομική έκθεση, ένα παράνομα αποκτημένο στοιχείο δεν μπορεί να στηρίξει ούτε απόλυση ούτε αγωγή, σύμφωνα με το άρθρο 19 παρ. 3 του Συντάγματος.

Μετά τον εντοπισμό

Όταν η πηγή εντοπιστεί, η διοίκηση έχει επιλογές: πειθαρχική διαδικασία, νομικά μέτρα, ή απλώς αλλαγή πρόσβασης και διαδικασιών αν η διαρροή ήταν αμελής. Η αναφορά μας είναι γραμμένη ώστε να στηρίζει όποια από αυτές επιλέξετε με τον νομικό σας σύμβουλο.

Εξίσου σημαντικό είναι το «μετά»: ποιος πρέπει να έχει πρόσβαση σε τι, πώς διακινούνται τα ευαίσθητα έγγραφα, πώς προστατεύονται οι αίθουσες όπου λαμβάνονται αποφάσεις. Σας παραδίδουμε συγκεκριμένες συστάσεις, προσαρμοσμένες στο μέγεθος και τη λειτουργία της επιχείρησής σας. Σε ορισμένες περιπτώσεις προτείνουμε και περιοδικό επανέλεγχο, ώστε να διαπιστωθεί ότι τα νέα μέτρα εφαρμόζονται στην πράξη και όχι μόνο στο χαρτί.

Επόμενα βήματα

Αν αντιμετωπίζετε διαρροή πληροφοριών, μιλήστε μαζί μας πριν κάνετε οτιδήποτε μέσα στην εταιρεία. Καλέστε από προσωπικό τηλέφωνο στο 210 321 2200 ή στο 699 321 2200, όλο το 24ωρο, ή γράψτε μας από προσωπικό λογαριασμό στο contact@ldi.gr.

Η πρώτη συνάντηση είναι δωρεάν, εμπιστευτική και χωρίς δέσμευση, και μπορεί να γίνει εκτός των εγκαταστάσεών σας. Θα λάβετε σχέδιο έρευνας και γραπτή εκτίμηση κόστους πριν από οποιαδήποτε εργασία.