Статьи

Человеческий фактор в безопасности компании

Проблема «человеческого фактора» стоит перед любой компанией независимо от того, чем она занимается, где находится и сколько людей в ней работает. В любой компании (за редким исключением виртуальных организаций) работают люди, а значит – существуют угрозы, от них исходящие. Кадровая безопасность, как правило, – самое слабое звено в системе корпоративной безопасности: подавляющее большинство проблем, возникающих в сфере безопасности бизнеса, в той или иной степени связаны с субъективными причинами.

Угрозы, исходящие от сотрудников компании, можно разделить на два типа: противоправные действия (воровство, мошенничество, злоупотребление служебным положением, разглашение информации и т.д.) и некомпетентные действия. Предотвращением действий первого типа обычно занимаются сотрудники служб безопасности компании или иных подразделений безопасности, а действий второго типа – владелец компании, ее руководство и служба персонала.

Что касается воровства или краж, то здесь, как правило, ясно, что надо делать. Защита выстраивается следующим образом: определяются возможные угрозы, варианты реализации этих угроз, после чего разрабатывается система противодействия.

К примеру, в супермаркете есть угроза воровства товара. Какие варианты для ее реализации есть? – Воровство посетителями или сотрудниками магазина – через бухгалтерию, кассовые аппараты, списание на порчу во время транспортировки, путем вывоза, выноса в карманах и т.п. Вариантов, как избежать таких угроз, очень много: можно установить системы видеонаблюдения, осуществлять досмотр, проводить инвентаризации и т.п.

С кражей информации – намного сложнее. Любая компания имеет закрытые информационные ресурсы или ресурсы ограниченного доступа, к которым относится коммерческая тайна, персональные данные, служебная информация или другие ресурсы, разглашение которых может повлечь негативные последствия, и проследить за их «утратой» – разглашением очень сложно. Ситуация осложняется тем, что информация вещь – нематериальная и возможно многообразие ее форм (материальные документы, электронные ресурсы, бездокументированная информация в головах у сотрудников и т.д.) Поэтому важно создать на предприятии систему корпоративной безопасности, упреждающую утрату информации, и предусмотреть множество факторов.

Как правило, разглашение сотрудниками конфиденциальной информации происходит не просто так, а по каким-то причинам. Либо из-за денег, получаемых от конкурентов, либо в результате шантажа сотрудников компании сторонними лицами, либо из-за страха за себя и своих близких. Часто это личная обида на компанию в целом или персональная обида на кого-то: не назначили на должность, не доплатили, нагрубили и т.п.. Причиной может быть обыкновенная болтливость. Последняя распространена достаточно широко.

Разглашение может происходить не специально, а посредством психологического воздействия на человека – от нейро-лингвистического программирования до элементов гипноза. Такие случаи встречаются не часто, но используются на практике. Причем гипноз может применяться как для получения информации, так и для убеждения человека совершить какие-либо действия или принять «нужные» решения.

Также разглашению могут способствовать национальные особенности: сотрудник одной организации вполне может использовать для знакомства и получения информации схожесть своей национальности с сотрудниками конкурирующей компании.

Причин и возможностей для разглашения информации много, и исчерпывающего перечня не существует, однако пресечь некоторые факторы можно. Например, проблему обыкновенной болтливости можно решить организационными мерами. Для этого не нужно запрещать разговоры в курилке или на рабочем месте, просто нужно так сформировать и направлять информационные потоки с конфиденциальной информации, чтобы минимизировать угрозу их разглашения, искажения или утери. Иногда, при достаточном уровне личной ответственности, достаточно объяснить людям, о чем говорить можно, а о чем – нет. Или разбить важную информацию на части таким образом, чтобы для получения картины в целом и нанесения реального ущерба, необходимо получение сведений от нескольких сотрудников.

Можно применить и кадровые меры, вычисляя людей, которые от природы болтливы, и не назначать их на должности, предполагающие доступ к важной для компании информации.

Создание корпоративной культуры и правильная мотивация также способствуют сохранению конфиденциальных данных. Если человек знает, что получает свою заработную плату, в частности, и за то, что сохраняет информацию в секрете, то, как правило, не оглашает ее попусту, тем более, если на предприятии действует метод «кнута и пряника» – когда за разглашение могут уволить, тем более что Трудовой кодекс предусматривает такую возможность. Желательно хотя бы раз применить это на практике – психологический эффект будет достаточно сильным и иных потенциальных правонарушителей остановит от совершения «необдуманных поступков». К полузаконным методам относится сбор компромата: когда за разглашением данных о компании может последовать разглашение негативной информации о сотруднике.

Пытаться избежать материальных потерь посредством заключения с сотрудниками договоров ответственности, как правило, неэффективно. Если строить отношения на правовой основе, разбираться придется через суд, однако доказать факт упущенной выгоды от разглашения тайны в судебном порядке очень сложно. Законом предусмотрена уголовная ответственность за разглашение коммерческой тайны, но, вероятнее всего, разбирательство сведется к стоимости одного листка бумаги, на котором она была записана.

Защита информации должна строиться на упреждение. Если же речь идет о материальных утратах, то лучше назначить материально ответственных лиц, с которых в дальнейшем можно будет спросить. С ними должны заключаться соответствующие договора. Но лучшее средство — создание корпоративной культуры. Как говорил Дейл Карнеги: «Чтобы человек что-то совершил, нужно сделать так, чтобы он захотел это сделать». Высказывание также касается и кадровой безопасности — руководителю нужно сделать так, чтобы человеку было выгодно не поступать во вред своей компании. Правильно мотивировать персонал, делать так, чтобы люди держались за рабочие места. А для этого работодателю, принимая на работу специалистов, нужно понять, по каким причинам они идут на эту работу. Или она недалеко от дома, или есть вероятность повышения в должности, или это хорошая зарплата, или все вместе.

Разгласить информацию может любой человек, имеющий доступ к данным, но в группу риска попадают в первую очередь те, кто непосредственно может владеть важной информацией: руководители проектов, уборщики, системные администраторы, секретари и иные лица. Хотя в процессе персонального изучения этих работников можно вычленить наиболее опасную группу: болтливых, нуждающихся в деньгах, склонных к воровству и т.п.

Таких людей можно выявить еще на этапе приема на работу посредством тестирования, проверки по различным базам данным, официального сбора информации (поговорить с руководителем и сотрудниками на последнем месте работы), прибегнуть к услугам психолога, которые изучат тип личности и особенности каждого сотрудника. В отдельных случаях при приеме на работу можно использовать детектор лжи.

Многие вредные действия персонала можно предвидеть. Если начальник склада является мужем или хорошим другом главного бухгалтера — есть возможность их сговора против компании в своих целях. Или семейная чета работает в конкурирующих компаниях — семейные отношения гарантированно окажутся сильнее корпоративных.

В любом случае руководителю, желающему выявить потенциально опасных людей, придется обращаться к специалистам или создавать на предприятии отдельную службу, потому что обычные кадровики не занимаются проверкой сотрудников на лояльность и безопасность — они изучают профессионализм и оформляют документы.

Также встречаются случаи, когда менеджеры уводят с собой клиентов, хотя клиентские базы и контакты принадлежат компании. Бороться с этим явлением сложно, однако возможно — посредством разбивания функций и полномочий между несколькими людьми. Когда один человек ведет какой-то процесс своими силами от начала до конца, то возникает угроза зависимости и возможных злоупотреблений, но если клиента будет обслуживать не один менеджер, а два или три (они могут чередоваться) — его уже не «уведут». Клиенты должны работать не с конкретными менеджерами, а с компанией. Точно так же можно разбить на части практически любой бизнес-процесс и не допустить сговора или «откатов».

Свести к нулю опасность, исходящую от кадров, невозможно. Речь можно вести только о минимизации потерь, и, по возможности, заложить их в стоимость продукции (услуг) компании. В супермаркетах, например, потери от воровства заложены в себестоимость (в некоторых случаях, чем покупать дорогостоящее охранное оборудование, магазины предпочитают поднять цены на товар), банки закладывают угрозы от невозврата кредитных средств в кредитные ставки (и утраты, по сути, оплачивают остальные кредитополучатели).

Однако наиболее эффективными считаются комплексные меры, предполагающие качественный отбор при приеме сотрудников (легче недопустить проблемных людей в компанию, чем в дальнейшем с ними бороться), превентивные меры в текущей работе сотрудников (мотивация, формирование корпоративной культуры и т.д.), проведение служебных расследований по фактам противоправных действий (с обязательным привлечением к ответственности), осуществление мероприятий при увольнении сотрудников, представляющих угрозу для компании.

Панкратьев Вячеслав

Читайте также:

• Обеспечение безопасности предприятия
• Экономическая безопасность коммерческих предприятий и деловая разведка
• Основные методы мошенничества, а так же меры безопасности при использовании кредитных карт.