Διαρροή εμπιστευτικών πληροφοριών: από πού ξεκινάτε

Ο ανταγωνιστής κατέθεσε προσφορά που μοιάζει ύποπτα με τη δική σας. Ένα έγγραφο της διοίκησης εμφανίστηκε σε ένα άρθρο. Ένας πελάτης σας είπε ότι «άκουσε» για τη συγχώνευση πριν την ανακοινώσετε. Η διαρροή εμπιστευτικών πληροφοριών είναι μία από τις πιο αποσταθεροποιητικές εμπειρίες για μια επιχείρηση, γιατί ξαφνικά όλοι μοιάζουν ύποπτοι.

Η πρώτη αντίδραση, συνήθως, είναι η χειρότερη: μια σύσκεψη με όλο το προσωπικό, ένα αυστηρό email, ή μια κατηγορία προς τον προφανή ύποπτο. Αυτός ο οδηγός σας δείχνει από πού να ξεκινήσετε, με ποια σειρά, και πώς ένα γραφείο ιδιωτικών ερευνών εντοπίζει νόμιμα την πηγή.

Τις πρώτες 72 ώρες: τι κάνετε και τι όχι

Τι κάνετε

1. Καταγράψτε ακριβώς τι διέρρευσε. Όχι «οι τιμές μας», αλλά ποιο έγγραφο, ποια έκδοση, ποια συγκεκριμένη πληροφορία. Η ακρίβεια εδώ περιορίζει δραστικά τον κύκλο των πιθανών πηγών.
2. Χρονολογήστε. Πότε δημιουργήθηκε η πληροφορία, πότε μοιράστηκε, πότε εμφανίστηκε εκεί που δεν έπρεπε.
3. Φτιάξτε τη λίστα πρόσβασης. Ποιοι άνθρωποι, εσωτερικοί και εξωτερικοί, είχαν πρόσβαση σε αυτή τη συγκεκριμένη πληροφορία, σε ποια μορφή και μέσω ποιου καναλιού.
4. Εξασφαλίστε τα ψηφιακά ίχνη στα εταιρικά συστήματα, όπως αρχεία καταγραφής πρόσβασης, ιστορικό email, αντιγραφές σε εξωτερικά μέσα. Πολλά συστήματα διατηρούν αυτά τα αρχεία για περιορισμένο χρόνο.
5. Περιορίστε τον κύκλο ενημέρωσης σε δύο ή τρία πρόσωπα που σίγουρα δεν είχαν πρόσβαση ή που είναι πέρα από κάθε υποψία.

Τι δεν κάνετε

• Μην ανακοινώσετε τη διαρροή σε όλο το προσωπικό.
• Μην αντιμετωπίσετε κανέναν πριν υπάρξει τεκμηρίωση.
• Μην συζητήσετε την υπόθεση στο γραφείο ή μέσω των εταιρικών τηλεφώνων, αν δεν έχει αποκλειστεί η υποκλοπή.
• Μην μπείτε σε προσωπικά email ή κινητά εργαζομένων. Τέτοια στοιχεία είναι παράνομα, ανεπίδεκτα αξιοποίησης και μπορεί να στραφούν εναντίον σας.
• Μην απολύσετε βιαστικά. Αν ο άνθρωπος δεν ήταν η πηγή, η διαρροή θα συνεχιστεί και θα έχετε και μια εργατική διαφορά.

Από πού μπορεί να ήρθε η διαρροή

Οι πηγές μιας διαρροής εμπίπτουν σχεδόν πάντα σε μία από τέσσερις κατηγορίες. Είναι σημαντικό να τις εξετάσετε όλες με την ίδια σοβαρότητα, χωρίς να καταλήξετε από την αρχή στην πιο «προφανή». Η εμπειρία μας δείχνει ότι ο πρώτος ύποπτος της διοίκησης δεν είναι πάντα η πραγματική πηγή, και ότι μια βιαστική εστίαση σε ένα πρόσωπο αφήνει ανοιχτό το πραγματικό κενό.

Από άνθρωπο με νόμιμη πρόσβαση

Ένας εργαζόμενος, ένα στέλεχος, ένας σύμβουλος. Τα κίνητρα ποικίλλουν: οικονομικό όφελος, δυσαρέσκεια, προετοιμασία για μετακίνηση σε ανταγωνιστή, ή απλή απροσεξία, όπως μια συζήτηση σε καφετέρια ή ένα προωθημένο email.

Από συνεργάτη

Λογιστικά γραφεία, εξωτερικοί σύμβουλοι, εκτυπωτικές εταιρείες, πάροχοι πληροφορικής, διανομείς. Συχνά έχουν πρόσβαση σε περισσότερα από όσα χρειάζονται και δεσμεύονται με γενικούς όρους εμπιστευτικότητας.

Από τεχνική υποκλοπή

Συσκευές υποκλοπής σε αίθουσες συσκέψεων ή γραφεία διοίκησης, κακόβουλο λογισμικό σε υπολογιστές, παραβιασμένα κινητά. Είναι λιγότερο συχνή από όσο φοβούνται πολλοί, αλλά πρέπει να αποκλειστεί όταν η πληροφορία ειπώθηκε μόνο προφορικά. Ο έλεγχος χώρου και ο έλεγχος κινητού τηλεφώνου δίνουν σαφή απάντηση.

Από αδύναμο σύστημα

Κοινόχρηστοι φάκελοι χωρίς δικαιώματα πρόσβασης, κωδικοί που μοιράζονται, παλιοί λογαριασμοί πρώην εργαζομένων που δεν απενεργοποιήθηκαν, έγγραφα που πετιούνται χωρίς καταστροφή. Εδώ δεν υπάρχει απαραίτητα «ένοχος», υπάρχει ένα κενό.

Πώς εντοπίζεται νόμιμα η πηγή

Μια έρευνα για διαρροή πληροφοριών συνδυάζει τεχνικά, ψηφιακά και επιτόπια εργαλεία, πάντα με σεβασμό στο άρθρο 19 του Συντάγματος, στο άρθρο 370Α ΠΚ, στον GDPR και στον ν. 4624/2019.

• Ανάλυση της πληροφορίας. Συγκρίνουμε την εκδοχή που διέρρευσε με τις εσωτερικές εκδόσεις. Μια διαφορά στη διατύπωση, μια ημερομηνία ή ένα τυπογραφικό λάθος μπορεί να δείξει ποιο αντίγραφο ήταν η πηγή.
• Τεχνικός έλεγχος (TSCM) των χώρων και των εταιρικών συσκευών για συσκευές υποκλοπής και κακόβουλο λογισμικό.
• Ψηφιακή ανάλυση εταιρικών συστημάτων, όπου υπάρχει γραπτή πολιτική χρήσης γνωστή στους εργαζομένους, για να φανεί ποιος άνοιξε, αντέγραψε ή έστειλε τι και πότε.
• Έρευνα σε δημόσιες πηγές για συνδέσεις μεταξύ προσώπων με πρόσβαση και του αποδέκτη της πληροφορίας, όπως κοινές εταιρείες, πρόσφατες συνεργασίες, επαγγελματικά προφίλ.
• Παρατήρηση σε δημόσιους χώρους, όταν υπάρχει συγκεκριμένη ένδειξη, για παράδειγμα ότι ένα πρόσωπο συναντά εκπροσώπους του ανταγωνιστή.

Όλα καταλήγουν σε γραπτή αναφορά με χρονολόγιο, τεχνικά ευρήματα και υλικό από δημόσιους χώρους, που μπορεί να αξιοποιήσει ο δικηγόρος σας.

Πώς διαχειρίζεστε την ομάδα σας κατά τη διάρκεια της έρευνας

Μια διαρροή δοκιμάζει τις σχέσεις μέσα στην επιχείρηση. Αν η καχυποψία γίνει ορατή, οι έντιμοι εργαζόμενοι νιώθουν ότι κατηγορούνται, και οι καλύτεροι από αυτούς μπορεί να αρχίσουν να ψάχνουν άλλη δουλειά. Ταυτόχρονα, η πηγή της διαρροής, αν είναι εσωτερική, γίνεται πιο προσεκτική.

Η καλύτερη πρακτική είναι να διατηρηθεί η καθημερινότητα όσο το δυνατόν πιο κανονική. Οι τεχνικοί έλεγχοι προγραμματίζονται εκτός ωραρίου ή παρουσιάζονται ως συνήθης συντήρηση. Οι αλλαγές σε δικαιώματα πρόσβασης γίνονται σταδιακά, ως μέρος μιας γενικότερης αναβάθμισης ασφάλειας. Οι αποφάσεις για πρόσωπα λαμβάνονται μόνο όταν υπάρχει γραπτή τεκμηρίωση.

Όταν η έρευνα ολοκληρωθεί, μια σύντομη και ήρεμη ενημέρωση του προσωπικού για τα νέα μέτρα προστασίας, χωρίς ονόματα και λεπτομέρειες, συνήθως αποκαθιστά το κλίμα και στέλνει ένα σαφές μήνυμα για το μέλλον.

Ένα υποθετικό παράδειγμα

Για παράδειγμα, μια τεχνική εταιρεία που χάνει διαδοχικά τρεις διαγωνισμούς από τον ίδιο ανταγωνιστή, με προσφορές λίγο χαμηλότερες από τις δικές της, θα μπορούσε να ξεκινήσει από το ποιοι είχαν πρόσβαση και στις τρεις τελικές τιμές. Αν ο κύκλος περιορίζεται σε τέσσερα πρόσωπα και έναν εξωτερικό σύμβουλο, η έρευνα εστιάζει εκεί, αντί να στρέψει την υποψία σε όλη την εταιρεία.

Όταν η διαρροή αφορά προσωπικά δεδομένα

Αν μαζί με τις επιχειρηματικές πληροφορίες διέρρευσαν προσωπικά δεδομένα, όπως στοιχεία πελατών ή εργαζομένων, η κατάσταση αποκτά και κανονιστική διάσταση. Ο GDPR προβλέπει υποχρεώσεις γνωστοποίησης παραβίασης σε σύντομη προθεσμία. Ενημερώστε αμέσως τον υπεύθυνο προστασίας δεδομένων ή τον δικηγόρο σας, παράλληλα με την έρευνα.

Κλείνοντας τα κενά για το μέλλον

Η έρευνα δεν τελειώνει με τον εντοπισμό της πηγής. Τελειώνει όταν η ίδια διαρροή δεν μπορεί να επαναληφθεί.

• Πρόσβαση με βάση την ανάγκη. Κάθε κρίσιμο έγγραφο να είναι προσβάσιμο μόνο από όσους το χρειάζονται.
• Σήμανση εκδόσεων. Σε ιδιαίτερα ευαίσθητα έγγραφα, μικρές διαφοροποιήσεις ανά παραλήπτη βοηθούν να εντοπιστεί η πηγή μιας μελλοντικής διαρροής.
• Διαδικασία αποχώρησης με άμεση απενεργοποίηση λογαριασμών και επιστροφή εξοπλισμού.
• Γραπτή πολιτική χρήσης εταιρικών συσκευών και λογαριασμών, γνωστή σε όλους.
• Συμβάσεις με συνεργάτες που περιλαμβάνουν συγκεκριμένες ρήτρες εμπιστευτικότητας.
• Περιοδικοί έλεγχοι χώρων, ιδίως πριν από κρίσιμες διαπραγματεύσεις. Για το πώς γίνεται ένας τέτοιος έλεγχος, δείτε το άρθρο μας για τους κοριούς στο γραφείο.

Πώς ξεκινάμε

Αν υποψιάζεστε ή έχετε διαπιστώσει διαρροή, επικοινωνήστε μαζί μας από ένα τηλέφωνο που θεωρείτε ασφαλές, ιδανικά όχι από το γραφείο. Η πρώτη συζήτηση είναι δωρεάν, εμπιστευτική και χωρίς δέσμευση, και μπορεί να γίνει στο γραφείο μας στην Αιόλου 104 ή σε ουδέτερο χώρο.

Θα σας προτείνουμε τη σωστή σειρά ενεργειών και θα λάβετε γραπτή εκτίμηση κόστους πριν από την έναρξη. Καλέστε μας οποιαδήποτε ώρα, 24 ώρες το 24ωρο, στο 210 321 2200 ή στο 699 321 2200.