Сегодня службе безопасности важно держать под контролем множество факторов: от доступов сотрудников к корпоративным данным до обмена конфиденциальной информацией со внешними контактами – подрядчиками и клиентами. И чем больше становится организация, тем сложнее удержать в ней контроль над всеми данными.

Информационная безопасность перестала быть задачей исключительно ИТ-департамента – сегодня это элемент корпоративного управления и предотвращения рисков.

Во многих организациях первые проблемы начинаются на этапе базовой модели предоставления доступов. Общие почты, открытые к просмотру облачные папки, единые пароли от различных сервисов, обмен файлами в публичных мессенджерах – все это на первый взгляд создает иллюзию удобства, а на практике разрушает контур безопасности. Из-за таких действий невозможно отследить, кто именно скачал документ, переслал файл, добавил нового участника в чат или изменил настройки.

Современный подход к информационной безопасности предполагает разграничение доступов к информации в рамках ролей и групп, а также использование корпоративных платформ коммуникаций. Это позволяет оптимизировать рабочие процессы за счет быстрого доступа ко всем необходимым инструментам. Кроме того, вся корпоративная информация остается в рамках данных платформ и не выходит во внешний контур.

Даже при верно настроенных ролях компания не защищена от ошибок, злоупотребления доступами или человеческого фактора. Ключевым элементом взрослой модели информационной безопасности становится аудит действий: системная запись о том, кто и какие данные запрашивал, какие файлы скачивал, куда загружал, куда и каких участников приглашал.

Прозрачная история действий и изменений позволяет быстро разбирать инциденты и спорные ситуации. Например, было ли действительно сообщение отправлено с корпоративного аккаунта или безопасного мессенджера? Кто добавил внешнего контрагента во внутренний рабочий канал? В какой момент конфиденциальный документ переслали с личного аккаунта в публичном мессенджере?

Конечно, доступ к таким данным и действиям нередко воспринимается как тотальный контроль и микроменеджмент. Однако на практике такая платформа для бизнеса – это мощный инструмент защиты и для компании, и для самих сотрудников.

Следующий фактор – место хранения данных и технический контроль над ними. Так, публичные мессенджеры и массовые облачные сервисы привычны и удобны, но их инфраструктура, как правило, размещена за рубежом, а политика обработки данных меняется в зависимости от учета интересов конкретной компании. Это создает большие риски с точки зрения безопасности и доступов.

В то же время корпоративный мессенджер позволяет размещать данные в выбранном дата-центре или на собственных серверах заказчика, используют шифрование данных и обеспечивают информационный суверенитет компании. Локальное развертывание дополняется распределенными базами данных и отказоустойчивой архитектурой: даже при сбоях отдельных узлов или внешних ограничениях информация остается доступной, а бизнес-процессы не останавливаются. В результате компания сама определяет, где и как хранятся ее данные, а не полагается на универсальные условия публичных сервисов.

Одна из самых уязвимых зон в корпоративных коммуникациях – работа с внешними контактами. Нередко партнеров и подрядчиков добавляют в чаты, пересылают документы в личные, а не безопасные мессенджеры и используют личные почтовые ящики. Это удобно и привычно, однако с точки зрения безопасности равноценно полному отказу от контроля.

Грамотная модель должна предусматривать управляемое подключение внешних участников с четко заданными ограничениями: отдельные пространства, временные доступы, запрет на просмотр внутренней истории, разделение личной и корпоративной переписки, автоматическую деактивацию, когда проект завершен. Платформа коммуникаций при этом выступает как единая точка входа: администратор видит, каких внешних участников и к каким каналам добавили – и в любой момент может отозвать доступ без ручного поиска по чатам.

Информационная безопасность – это всегда сочетание технологий и соблюдения установленных регламентов. Даже самая защищенная платформа не поможет, если сотрудники по привычке продолжают обсуждать ключевые вопросы в публичных мессенджерах, пересылают файлы с личных аккаунтов и невнимательны к предоставляемым доступам. Поэтому рекомендуется дополнительно проводить лекции или вебинары об информационной безопасности внутри организации, а также обновить внутренние политики.

Необходимо закрепить в правилах, какие каналы считаются официальными для рабочих коммуникаций, обмена файлами и созвона с партнерами. Важно обеспечить и управляемость: единый каталог пользователей, централизованное управление ролями и группами, сквозной аудит действий и техническую возможность быстро изолировать инцидент, не парализуя работу всей компании.

Сегодня само понятие корпоративного мессенджера давно вышло за рамки простого чата с коллегами. Это можно оценить на примере Frisbee – полноценной экосистемы для управлениями коммуникациями и данными внутри госсектора и крупного бизнеса. Платформа разворачивается в инфраструктуре заказчика или в доверенном частном облаке, что обеспечивает полный контроль над местом хранения данных и их обработкой. Система входит в реестр отечественного ПО и соответствует требованиям законодательства о персональных данных.

Заказчик получает возможность гибко управлять аккаунтами и ролями: добавлять и деактивировать учетные записи сотрудников, распределять права доступа, создавать рабочие пространства и тематические чаты с четко заданными уровнем видимости и действиями. Вся история сообщений и действий сохраняется и доступна для поиска по всей глубине архива, что облегчает и ежедневную работу, и расследование инцидентов. Дополнительно поддерживается мультисерверность и физически изолированные кластеры для отдельных организаций, что повышает уровень защиты и позволяет кастомизировать решение под бренд заказчика.

Использование публичных мессенджеров и разрозненных сервисов работает, пока компания небольшая и объем обрабатываемых данных невелик. Но по мере роста масштаба и усложнения процессов такой подход превращается в набор неуправляемых рисков: данные разложены по десяткам независящих друг от друга каналов, история взаимодействия с клиентами и подрядчиками фрагментирована, права доступа не регламентированы и не связаны с кадровыми процессами.

Корпоративная платформа коммуникаций позволяет собрать все рабочие взаимодействия в единый управляемый контур: общаться в корпоративном мессенджере, фиксировать роли и уровни доступов, хранить данные на контролируемой инфраструктуре, обеспечивать юридически значимый аудит действий и цивилизованно подключать внешних участников. Таким образом, безопасность перестает быть “проблемой айтишников” и становится встроенной характеристикой повседневной работы компании: сотрудники общаются привычным способом, но внутри защищенной среды, где каждый доступ и каждое действие имеют понятные правила и владельца.