Spy business: what threatens those who steal trade secrets?
Posted: January 19 12:37
Commercial espionage is not a new phenomenon. how to resist in modern realities and not become a victim of a hacker attack and office scouts?
Spy sagas unfold not only in film studios. A recent example is another scandal surrounding Uber. A former employee accused her of industrial espionage - they say that the leaders of this Internet giant were instructed to conduct hacker attacks against competitors, to listen on phones and to recruit informants in other companies. The problem of leaks of valuable information is not new for our businessmen. But usually such stories are not made public, remaining a headache for the leader or security personnel. Only at the end of last year, for the first time, we were sentenced in the case of commercial espionage. And as this case showed, it is quite possible to punish negligent workers.
Easy money recipe
A precedent was created in Brest. In April, a friend from Russia made an unusual request to 41-year-old Minsker Maxim. He was interested in the technology for the production of resin and the formulation of paint for applying road marking, developed by the Brest enterprise, where Maxim had previously worked. The customer estimated the information at 1 million Russian rubles (about 17.5 thousand dollars). The unemployed Minsker had difficulties with money, so the proposal seemed interesting to him. From the former colleagues, only 48-year-old Brest citizen Asan remained in contact - he turned to him. He supported the idea and met with the technologist of the enterprise. But the woman flatly refused to help. But the deputy chief of one of the shops of the enterprise responded. We met and discussed the terms of cooperation - men promised to pay 5 thousand dollars for valuable information. That's just an honest employee reported the conversation to the director of the enterprise. The police intervened - Maxim and Asan were detained during the transfer of 2.5 thousand dollars.
At the trial, they fully pleaded guilty. They assured: they did not think that they were committing a crime. For example, Asan believed that the maximum punishment that shines on him is dismissal. The accomplices were sentenced to a two-year restriction of freedom, which they will serve at their place of residence, as well as a fine of 9.2 thousand rubles.
The story is a little like the plot of a Hollywood movie. No bugs, no computer hacks. However, espionage tinsel is completely optional in order to inflict very substantial damage on the company.
Informants from the network
Is it easy to find a scout who will get the secret of the company? For the answer I go to the Internet. The path was not an easy one - no one gives ads for help in revealing the secrets of competitors. But I find several contacts of private detectives. As a rule, they propose to check the fidelity of the second half, to track whether a child and the like got into bad company. Some do not disdain to “probe” a business partner - I need them! I am sending several emails, they say, you need to get information about the company. In less than an hour I get an answer: the detective asks to specify: what information is needed and where the victim is. I decide to throw a fishing rod on completely feasible tasks - information about the founders and terms of foreign trade contracts of a domestic company.
The answer comes quickly. About $ 500 - and the deal will be done. How? The detective does not disclose the secrets of work, but assures - the methods are exclusively legal.
One can approach the disclosure of company secrets from another flank: a lot of valuable information is stored on computers. No wonder that the Internet is full of ads from hackers. They offer hacking of corporate mail, the site of competitors, a database of the business of interest, and even remote access to the company’s server! I turn to one of the hacker companies - first you need to open the box, and in the future - quietly “dig into” the company's computers. The consultant answers me:
- Hacking mail - 5,000 Russian rubles. It will take 4-6 hours. The same thing is for access to a computer.
Somehow cheap, and the terms of the deal are very reminiscent of a divorce. It is necessary to make a full prepayment - through a guarantee service. This is supposedly an independent structure that receives money from the client and transfers to the contractor, but only after the completion of the order. However, how to make sure that the guarantor and cracker are not the same person?
- Do not want to - do not order. We work only on such conditions ...
I am looking for more accommodating offices. For example, for $ 150 they offer to “put” a competitor’s website, for $ 100-1,000 they are ready to get databases, and for $ 50-100 green ones they can crack mail. But everywhere - only by prepayment. Only from the seventh attempt can we find a craftsman who is ready to get down to business with a preliminary contribution of only 10%:
- I won’t say the terms. You can for a couple of hours, but you can wait a week. Keep in mind, after I send evidence, the rest of the payment should be received no more than 24 hours later.
If the money does not come, the guy will contact the victim company and tell him that they ordered a hack and he got access to confidential information. The cracker does not explain the financial benefit, but, apparently, the company is waiting for blackmail, or for a fee it will receive information about the customer of the attack.
However, real pros in the cybercrime world do not leave their contacts to search on Google. They live in closed forums or on the Tor network, the hidden part of the Internet, which is not so easy to get to. There are specialized sites where hackers take orders. According to experts, services for organizing attacks on enterprises are now at the top.
Winding channels of information leakage
One can only guess how often our enterprises encounter information leakage. The official statistics are as follows: over the past 10 years, Brest history is the first criminal case involving commercial espionage. The head of the 6th Directorate (in the Brest region) of the Main Directorate for Combating Organized Crime and Corruption Alexander Lavrukovich says:
- We studied the practice of initiating criminal cases. Such situations have occurred both in Minsk and in regional centers. But decisions were made to refuse to institute criminal proceedings, since the enterprises did not observe the regime of commercial secrets. This question lies in the plane of legal illiteracy. In turn, the Brest company took care to properly protect its product.
Nevertheless, various cases are known in business circles. For example, a spy started up in a small Minsk company supplying engineering equipment. Employees worked in a special program, which brought a lot of valuable information. An unidentified subscriber appeared in the system - they noticed him only after three months. It turned out that the information was viewed by a former employee.
There was such a case. The company provided services to the corporate events business. A large customer base, where not only deals are valuable, but contact persons and notes about companies - birthdays, holidays, interests. An employee of a fairly high status, when he quit, unloaded the entire base, after which he tried to sell it on the market.
A separate topic is the protection of digital information. Alexander Sushko, an information security expert, says that every year we register about 100 cybercrimes, where the victims are legal entities. Attackers gain remote access to computers, scan them for vulnerabilities, and introduce malicious programs. The goal is to gain unauthorized access to the computer that interests them. Then they examine what is contained in it, select the necessary information. So, for example, you can read correspondence or steal information.
- There was a case when an attacker received data on the economic activities of the enterprise - contracts, agreements. He extorted money from the company so that the information was not made public, ”recalls Alexander Sushko. - Another example - a cybercriminal found vulnerabilities in the computer system of the enterprise and received logins and passwords. Then he asked me to give him a mobile phone so that he would not post this data anywhere.
Another story. A student at a Minsk university created a spy program that affected more than 400 individuals and about 10 enterprises. All data entered into the computer was sent to the guy on the remote server.
- A remarkable fact: they learned about espionage penetration in companies only after representatives of law enforcement agencies came to them. This is one of the features of such crimes: the fact that someone steals information can go unnoticed for a very long time, ”the expert says.
Behind the seven seals
Nevertheless, today we have very specific requirements of the legislation regarding the protection of information. While not all businessmen are observing them, they realize a mistake only after they are left with a nose. The lawyer of JSB “Sysuyev, Cooper, Khrapoutsky SBH” Vladimir Parakhnevich says:
- In my practice, there was a case when a competitor lured all the employees of the company, and they, leaving, took the database in addition. This is a real situation that brought the company to a pre-bankrupt state. In general, it is not uncommon for former employees to carry out a customer database. Then, the affected companies turn to us with the question - can we be held accountable for such actions? It is important here whether a trade secret regime has been established in relation to this database and whether it complies with the requirements that are set by law for such information.
- Judging by the number of criminal cases, holding to account for the disclosure of such information is a task with an asterisk. Why is that?
- Any trade secret must be adequately protected - at least as provided for in the Law on Trade Secret. Clients often turn to us with a request to develop a regulation on trade secrets. But in order for information to be protected from the point of view of the law and could be held accountable for its disclosure, not only “paper”, but real protection of this information should be provided. Even if the customer database is of commercial value, but the owner has not taken appropriate measures to protect it, it is useless to demand punishment for those responsible.
- Is it easy to determine what information needs to be protected?
- The main requirements for trade secrets are three.
First, this information cannot be well-known and accessible to other persons who deal with this kind of information. The question is often asked: are such information about the size of wages? I guess not. You can, for example, open a job site - many employers indicate the proposed salary.
The second - the information must have commercial value due to the unknown to third parties. For example, information about release plans and the launch of goods, works, services on the market.
Third, information should bring commercial benefits: increase revenues, reduce costs, maintain market position.
- What are the main mistakes of our enterprises here? Where are the flaws?
- The first mistake, the biggest - many do not even have a provision on trade secrets, other documentation. Sorry then! You have not even approved a document, why should the law protect you?
It is necessary to keep records of persons who have gained access to trade secrets. If the computer contains valuable information, and 8 people work on it, what kind of information protection are we talking about? Further - in labor contracts, job descriptions, you must indicate that the duties of the employee also include work with commercial secrets. An obligation to not disclose trade secrets is signed. This moment is also often not fulfilled - staff turnover. It is still important in the obligation to provide not only compensation for losses caused by the disclosure of secrets, but also a fixed amount of the fine. After all, the main thing is to compensate for losses. And here there is a problem - their size needs to be proved, but it is often almost impossible to calculate losses.
It is also necessary to identify the employees responsible for taking measures to preserve the confidentiality of this information. A small business does not have to organize a whole service, but at least one such specialist is needed.
- Suppose all this is observed. The employee has signed everything and is familiar with everything, but in the end reveals a trade secret. What threatens him?
- Firstly, this is the basis for termination of labor relations with this employee. Secondly, either administrative or criminal liability may arise for the disclosure of trade secrets, and it should not be confused with commercial espionage. For example, an employee in a restaurant in an informal conversation with competitors consciously reveals the secrets of the company, knowing that the employer did not give consent to this. This is the disclosure of trade secrets, and if there is no damage to the owner or he is up to 250 basic units - an administrative offense. But if the damage is more than 250 basic units - a crime with a punishment of up to 3 years in prison.
In the case of commercial espionage, either the abduction or illegal collection of information that constitutes a commercial secret occurs, and this happens for the specific purpose of disclosing or illegally using this secret, for example, by the same competitor. So far, this is a rare case in advocate practice, but now that a broad legal education of employers has begun, their number may increase, because such a phenomenon exists objectively.
Accept as data
Going to a conversation with the head of the Information Security Department of BSUIR, Professor Timofei Borbotko, I expect to hear a story about the latest developments that allow you to protect yourself from spies and overly talkative employees. But Timofey Valentinovich cools my ardor - technology does not always provide the proper level of protection:
- In any technical system there is always a person. Even the most reliable systems still pull information. Recall the Manhattan Project, the US 1940s nuclear weapons program. The object was taken to a place where there are no people at all. The control system is very serious. And still, in the end, the human factor played. Information was stolen by the employees who worked there. So here we are talking about a system of measures. You need to know who can be admitted to the information and who is not. Necessary organizational measures, work with staff.
The expert explains - today we have accumulated a lot of issues related to the proper protection of information. However, there are similar problems around the world:
- For example, several years ago, in London, a study was conducted, during which it turned out that 44% of commercial structures throw away documents containing confidential information without taking precautions. As a result, firms were fined $ 790 thousand. In other words, until the leak of information leads to losses, its protection is often not taken seriously.
Meanwhile, there are fewer threats. And as the bright digital future approaches, more and more new ones appear. Alexander Sushko gives a figure: every year the number of cybercrimes in our country increases by 20-30%:
- Each company should develop a digital security policy. Moreover, it is important to raise this issue at the state level. Today we are interested in creating a unified country’s information security strategy. And companies that provide digital security are already participating in its development.
It is impossible to provide 100% information security. But to reduce risks is quite real. And this is important, because only honest competition can move the economy forward. And this is beneficial to everyone.
Intelligence - not yet espionage
The phrase “competitive intelligence” is confusing for many. Is it not the same thing as industrial espionage? There are similar features, but at the same time, there is a striking difference - “scouts” obtain information about competitors only by legal methods. That's just the secrets sometimes lie on the surface, says a member of the Society of Practitioners of Competitive Intelligence Savely Semerkin:
- Problems in the spirit of “someone has copied the customer base” is a tax on sloppiness. You can’t steal such a thing from a good owner. We have a kindergarten in this regard. But in serious companies everything is organized at the proper level and this does not happen there. In general, you need to understand: it is one thing if we kidnap something, criminal responsibility is laid for this. And another thing - if we opened a competitor's website, and there you can find Word and Excel documents with a whole bunch of secrets - sorry, you yourself gave access.
- Do we have a demand for competitive intelligence services?
- There is a demand, but it is somehow wrong. It all comes down to “could you get me a client base of my competitor”. For many, the concepts of “competitive intelligence” and “industrial espionage” are one and the same. Yes, and our proposal is small. There are people who work in large firms, but they do not advertise it. Such departments are usually classified - nobody needs extra interest here.
Top 3 high-profile cases of corporate “bondiana”
Tire scandal
In June 2016, Finnish tire manufacturer Nokian Tires accused 10 former employees of industrial espionage and disclosure of trade secrets. Corporate secrets were associated with the production of tires at a factory in Russian Vsevolozhsk in 2011-2012. The concern estimated the damage at 6 million euros.
Military secrets
Last year, a Chinese citizen was tried in the United States, having worked for seven years at United Technologies Research Center as a senior engineer. He was involved in projects related to engines for US Air Force fighter jets, and in 2014 returned to China, capturing a stolen external hard drive with valuable information.
Technology race
Last year, Tesla Motors sued one of its former top managers, who led the program to create an autopilot system. He was suspected of trying to lure more than ten employees into a rival firm. In addition, the ex-worker was accused of stealing technological secrets - hundreds of gigabytes of confidential and official information.
gavrusheva@sb.by
Spy business: what threatens those who steal trade secrets?
Posted: January 19 12:37
Commercial espionage is not a new phenomenon. how to resist in modern realities and not become a victim of a hacker attack and office scouts?
Spy sagas unfold not only in film studios. A recent example is another scandal surrounding Uber. A former employee accused her of industrial espionage - they say that the leaders of this Internet giant were instructed to conduct hacker attacks against competitors, to listen on phones and to recruit informants in other companies. The problem of leaks of valuable information is not new for our businessmen. But usually such stories are not made public, remaining a headache for the leader or security personnel. Only at the end of last year, for the first time, we were sentenced in the case of commercial espionage. And as this case showed, it is quite possible to punish negligent workers.
Easy money recipe
A precedent was created in Brest. In April, a friend from Russia made an unusual request to 41-year-old Minsker Maxim. He was interested in the technology for the production of resin and the formulation of paint for applying road marking, developed by the Brest enterprise, where Maxim had previously worked. The customer estimated the information at 1 million Russian rubles (about 17.5 thousand dollars). The unemployed Minsker had difficulties with money, so the proposal seemed interesting to him. From the former colleagues, only 48-year-old Brest citizen Asan remained in contact - he turned to him. He supported the idea and met with the technologist of the enterprise. But the woman flatly refused to help. But the deputy chief of one of the shops of the enterprise responded. We met and discussed the terms of cooperation - men promised to pay 5 thousand dollars for valuable information. That's just an honest employee reported the conversation to the director of the enterprise. The police intervened - Maxim and Asan were detained during the transfer of 2.5 thousand dollars.
At the trial, they fully pleaded guilty. They assured: they did not think that they were committing a crime. For example, Asan believed that the maximum punishment that shines on him is dismissal. The accomplices were sentenced to a two-year restriction of freedom, which they will serve at their place of residence, as well as a fine of 9.2 thousand rubles.
The story is a little like the plot of a Hollywood movie. No bugs, no computer hacks. However, espionage tinsel is completely optional in order to inflict very substantial damage on the company.
Informants from the network
Is it easy to find a scout who will get the secret of the company? For the answer I go to the Internet. The path was not an easy one - no one gives ads for help in revealing the secrets of competitors. But I find several contacts of private detectives. As a rule, they propose to check the fidelity of the second half, to track whether a child and the like got into bad company. Some do not disdain to “probe” a business partner - I need them! I am sending several emails, they say, you need to get information about the company. In less than an hour I get an answer: the detective asks to specify: what information is needed and where the victim is. I decide to throw a fishing rod on completely feasible tasks - information about the founders and terms of foreign trade contracts of a domestic company.
The answer comes quickly. About $ 500 - and the deal will be done. How? The detective does not disclose the secrets of work, but assures - the methods are exclusively legal.
One can approach the disclosure of company secrets from another flank: a lot of valuable information is stored on computers. No wonder that the Internet is full of ads from hackers. They offer hacking of corporate mail, the site of competitors, a database of the business of interest, and even remote access to the company’s server! I turn to one of the hacker companies - first you need to open the box, and in the future - quietly “dig into” the company's computers. The consultant answers me:
- Hacking mail - 5,000 Russian rubles. It will take 4-6 hours. The same thing is for access to a computer.
Somehow cheap, and the terms of the deal are very reminiscent of a divorce. It is necessary to make a full prepayment - through a guarantee service. This is supposedly an independent structure that receives money from the client and transfers to the contractor, but only after the completion of the order. However, how to make sure that the guarantor and cracker are not the same person?
- Do not want to - do not order. We work only on such conditions ...
I am looking for more accommodating offices. For example, for $ 150 they offer to “put” a competitor’s website, for $ 100-1,000 they are ready to get databases, and for $ 50-100 green ones they can crack mail. But everywhere - only by prepayment. Only from the seventh attempt can we find a craftsman who is ready to get down to business with a preliminary contribution of only 10%:
- I won’t say the terms. You can for a couple of hours, but you can wait a week. Keep in mind, after I send evidence, the rest of the payment should be received no more than 24 hours later.
If the money does not come, the guy will contact the victim company and tell him that they ordered a hack and he got access to confidential information. The cracker does not explain the financial benefit, but, apparently, the company is waiting for blackmail, or for a fee it will receive information about the customer of the attack.
However, real pros in the cybercrime world do not leave their contacts to search on Google. They live in closed forums or on the Tor network, the hidden part of the Internet, which is not so easy to get to. There are specialized sites where hackers take orders. According to experts, services for organizing attacks on enterprises are now at the top.
Winding channels of information leakage
One can only guess how often our enterprises encounter information leakage. The official statistics are as follows: over the past 10 years, Brest history is the first criminal case involving commercial espionage. The head of the 6th Directorate (in the Brest region) of the Main Directorate for Combating Organized Crime and Corruption Alexander Lavrukovich says:
- We studied the practice of initiating criminal cases. Such situations have occurred both in Minsk and in regional centers. But decisions were made to refuse to institute criminal proceedings, since the enterprises did not observe the regime of commercial secrets. This question lies in the plane of legal illiteracy. In turn, the Brest company took care to properly protect its product.
Nevertheless, various cases are known in business circles. For example, a spy started up in a small Minsk company supplying engineering equipment. Employees worked in a special program, which brought a lot of valuable information. An unidentified subscriber appeared in the system - they noticed him only after three months. It turned out that the information was viewed by a former employee.
There was such a case. The company provided services to the corporate events business. A large customer base, where not only deals are valuable, but contact persons and notes about companies - birthdays, holidays, interests. An employee of a fairly high status, when he quit, unloaded the entire base, after which he tried to sell it on the market.
A separate topic is the protection of digital information. Alexander Sushko, an information security expert, says that every year we register about 100 cybercrimes, where the victims are legal entities. Attackers gain remote access to computers, scan them for vulnerabilities, and introduce malicious programs. The goal is to gain unauthorized access to the computer that interests them. Then they examine what is contained in it, select the necessary information. So, for example, you can read correspondence or steal information.
- There was a case when an attacker received data on the economic activities of the enterprise - contracts, agreements. He extorted money from the company so that the information was not made public, ”recalls Alexander Sushko. - Another example - a cybercriminal found vulnerabilities in the computer system of the enterprise and received logins and passwords. Then he asked me to give him a mobile phone so that he would not post this data anywhere.
Another story. A student at a Minsk university created a spy program that affected more than 400 individuals and about 10 enterprises. All data entered into the computer was sent to the guy on the remote server.
- A remarkable fact: they learned about espionage penetration in companies only after representatives of law enforcement agencies came to them. This is one of the features of such crimes: the fact that someone steals information can go unnoticed for a very long time, ”the expert says.
Behind the seven seals
Nevertheless, today we have very specific requirements of the legislation regarding the protection of information. While not all businessmen are observing them, they realize a mistake only after they are left with a nose. The lawyer of JSB “Sysuyev, Cooper, Khrapoutsky SBH” Vladimir Parakhnevich says:
- In my practice, there was a case when a competitor lured all the employees of the company, and they, leaving, took the database in addition. This is a real situation that brought the company to a pre-bankrupt state. In general, it is not uncommon for former employees to carry out a customer database. Then, the affected companies turn to us with the question - can we be held accountable for such actions? It is important here whether a trade secret regime has been established in relation to this database and whether it complies with the requirements that are set by law for such information.
- Judging by the number of criminal cases, holding to account for the disclosure of such information is a task with an asterisk. Why is that?
- Any trade secret must be adequately protected - at least as provided for in the Law on Trade Secret. Clients often turn to us with a request to develop a regulation on trade secrets. But in order for information to be protected from the point of view of the law and could be held accountable for its disclosure, not only “paper”, but real protection of this information should be provided. Even if the customer database is of commercial value, but the owner has not taken appropriate measures to protect it, it is useless to demand punishment for those responsible.
- Is it easy to determine what information needs to be protected?
- The main requirements for trade secrets are three.
First, this information cannot be well-known and accessible to other persons who deal with this kind of information. The question is often asked: are such information about the size of wages? I guess not. You can, for example, open a job site - many employers indicate the proposed salary.
The second - the information must have commercial value due to the unknown to third parties. For example, information about release plans and the launch of goods, works, services on the market.
Third, information should bring commercial benefits: increase revenues, reduce costs, maintain market position.
- What are the main mistakes of our enterprises here? Where are the flaws?
- The first mistake, the biggest - many do not even have a provision on trade secrets, other documentation. Sorry then! You have not even approved a document, why should the law protect you?
It is necessary to keep records of persons who have gained access to trade secrets. If the computer contains valuable information, and 8 people work on it, what kind of information protection are we talking about? Further - in labor contracts, job descriptions, you must indicate that the duties of the employee also include work with commercial secrets. An obligation to not disclose trade secrets is signed. This moment is also often not fulfilled - staff turnover. It is still important in the obligation to provide not only compensation for losses caused by the disclosure of secrets, but also a fixed amount of the fine. After all, the main thing is to compensate for losses. And here there is a problem - their size needs to be proved, but it is often almost impossible to calculate losses.
It is also necessary to identify the employees responsible for taking measures to preserve the confidentiality of this information. A small business does not have to organize a whole service, but at least one such specialist is needed.
- Suppose all this is observed. The employee has signed everything and is familiar with everything, but in the end reveals a trade secret. What threatens him?
- Firstly, this is the basis for termination of labor relations with this employee. Secondly, either administrative or criminal liability may arise for the disclosure of trade secrets, and it should not be confused with commercial espionage. For example, an employee in a restaurant in an informal conversation with competitors consciously reveals the secrets of the company, knowing that the employer did not give consent to this. This is the disclosure of trade secrets, and if there is no damage to the owner or he is up to 250 basic units - an administrative offense. But if the damage is more than 250 basic units - a crime with a punishment of up to 3 years in prison.
In the case of commercial espionage, either the abduction or illegal collection of information that constitutes a commercial secret occurs, and this happens for the specific purpose of disclosing or illegally using this secret, for example, by the same competitor. So far, this is a rare case in advocate practice, but now that a broad legal education of employers has begun, their number may increase, because such a phenomenon exists objectively.
Accept as data
Going to a conversation with the head of the Information Security Department of BSUIR, Professor Timofei Borbotko, I expect to hear a story about the latest developments that allow you to protect yourself from spies and overly talkative employees. But Timofey Valentinovich cools my ardor - technology does not always provide the proper level of protection:
- In any technical system there is always a person. Even the most reliable systems still pull information. Recall the Manhattan Project, the US 1940s nuclear weapons program. The object was taken to a place where there are no people at all. The control system is very serious. And still, in the end, the human factor played. Information was stolen by the employees who worked there. So here we are talking about a system of measures. You need to know who can be admitted to the information and who is not. Necessary organizational measures, work with staff.
The expert explains - today we have accumulated a lot of issues related to the proper protection of information. However, there are similar problems around the world:
- For example, several years ago, in London, a study was conducted, during which it turned out that 44% of commercial structures throw away documents containing confidential information without taking precautions. As a result, firms were fined $ 790 thousand. In other words, until the leak of information leads to losses, its protection is often not taken seriously.
Meanwhile, there are fewer threats. And as the bright digital future approaches, more and more new ones appear. Alexander Sushko gives a figure: every year the number of cybercrimes in our country increases by 20-30%:
- Each company should develop a digital security policy. Moreover, it is important to raise this issue at the state level. Today we are interested in creating a unified country’s information security strategy. And companies that provide digital security are already participating in its development.
It is impossible to provide 100% information security. But to reduce risks is quite real. And this is important, because only honest competition can move the economy forward. And this is beneficial to everyone.
Intelligence - not yet espionage
The phrase “competitive intelligence” is confusing for many. Is it not the same thing as industrial espionage? There are similar features, but at the same time, there is a striking difference - “scouts” obtain information about competitors only by legal methods. That's just the secrets sometimes lie on the surface, says a member of the Society of Practitioners of Competitive Intelligence Savely Semerkin:
- Problems in the spirit of “someone has copied the customer base” is a tax on sloppiness. You can’t steal such a thing from a good owner. We have a kindergarten in this regard. But in serious companies everything is organized at the proper level and this does not happen there. In general, you need to understand: it is one thing if we kidnap something, criminal responsibility is laid for this. And another thing - if we opened a competitor's website, and there you can find Word and Excel documents with a whole bunch of secrets - sorry, you yourself gave access.
- Do we have a demand for competitive intelligence services?
- There is a demand, but it is somehow wrong. It all comes down to “could you get me a client base of my competitor”. For many, the concepts of “competitive intelligence” and “industrial espionage” are one and the same. Yes, and our proposal is small. There are people who work in large firms, but they do not advertise it. Such departments are usually classified - nobody needs extra interest here.
Top 3 high-profile cases of corporate “bondiana”
Tire scandal
In June 2016, Finnish tire manufacturer Nokian Tires accused 10 former employees of industrial espionage and disclosure of trade secrets. Corporate secrets were associated with the production of tires at a factory in Russian Vsevolozhsk in 2011-2012. The concern estimated the damage at 6 million euros.
Military secrets
Last year, a Chinese citizen was tried in the United States, having worked for seven years at United Technologies Research Center as a senior engineer. He was involved in projects related to engines for US Air Force fighter jets, and in 2014 returned to China, capturing a stolen external hard drive with valuable information.
Technology race
Last year, Tesla Motors sued one of its former top managers, who led the program to create an autopilot system. He was suspected of trying to lure more than ten employees into a rival firm. In addition, the ex-worker was accused of stealing technological secrets - hundreds of gigabytes of confidential and official information.
gavrusheva@sb.by
Spy business: what threatens those who steal trade secrets?
Original message
Шпионский бизнес: что грозит тем, кто ворует коммерческие секреты?
Опубликовано: 19 января 12:37
Коммерческий шпионаж — явление не новое. как ему противостоять в современных реалиях и не стать жертвой хакерской атаки и офисных лазутчиков?
Шпионские саги разворачиваются не только на киностудиях. Свежий пример — очередной скандал вокруг компании Uber. Бывший сотрудник обвинил ее в промышленном шпионаже — мол, руководители этого интернет-гиганта поручали проводить хакерские атаки против конкурентов, прослушивать телефоны и вербовать информаторов в других компаниях. Проблема утечек ценной информации не нова и для наших бизнесменов. Но обычно такие истории не придаются огласке, оставаясь головной болью руководителя или сотрудников службы безопасности. Лишь в конце прошлого года у нас впервые был вынесен приговор по делу о коммерческом шпионаже. И как показал этот случай, наказать нерадивых работников вполне реально.
Рецепт на легкие деньги
Прецедент был создан в Бресте. В апреле с необычной просьбой к 41-летнему минчанину Максиму обратился приятель из России. Его интересовала технология производства смолы и рецептура краски для нанесения дорожной разметки, разработанные брестским предприятием, где раньше работал Максим. Информацию заказчик оценил в 1 миллион российских рублей (около 17,5 тысячи долларов). У безработного минчанина были трудности с деньгами, так что предложение показалось ему интересным. От бывших коллег остались контакты лишь 48-летнего брестчанина Асана — к нему и обратился. Тот поддержал идею и встретился с технологом предприятия. Но женщина наотрез отказалась помогать. Зато откликнулся замначальника одного из цехов предприятия. Встретились, обсудили условия сотрудничества — за ценную информацию мужчины обещали заплатить 5 тысяч долларов. Вот только честный сотрудник сообщил о разговоре директору предприятия. В дело вмешалась милиция — Максима и Асана задержали при передаче 2,5 тысячи долларов.
На суде они полностью признали вину. Уверяли: не думали, что совершают преступление. К примеру, Асан полагал, что максимальное наказание, которое ему светит, — увольнение. Подельникам назначили наказание в виде ограничения свободы на два года, отбывать которое они будут по месту жительства, а также штраф 9,2 тысячи рублей.
История мало похожа на сюжет голливудского фильма. Ни тебе жучков, ни компьютерных взломов. Однако шпионская мишура совсем необязательна для того, чтобы нанести фирме весьма солидный ущерб.
Информаторы из сети
Легко ли найти лазутчика, который раздобудет секрет фирмы? За ответом отправляюсь на просторы интернета. Путь оказался не из простых — никто не дает объявлений о помощи в раскрытии тайн конкурентов. Зато нахожу несколько контактов частных детективов. Как правило, они предлагают проверить верность второй половинки, проследить, не попал ли в плохую компанию ребенок и тому подобное. Некоторые не гнушаются и тем, чтобы “прощупать” бизнес-партнера — они-то мне и нужны! Рассылаю несколько писем по электронной почте, дескать, нужно раздобыть информацию о фирме. Менее чем через час получаю ответ: сыщик просит конкретизировать: какая информация нужна и где находится жертва. Закинуть удочку решаю на вполне посильные задачи — информация об учредителях и условиях внешнеторговых контрактов отечественной фирмы.
Ответ приходит быстро. Примерно 500 долларов — и дело будет сделано. Как? Секреты работы детектив не раскрывает, но уверяет — методы исключительно законные.
Подступиться к раскрытию секретов фирмы можно и с иного фланга: множество ценной информации хранится на компьютерах. Немудрено, что интернет пестрит объявлениями от хакеров. Предлагают взлом корпоративной почты, сайта конкурентов, базы данных по интересующему бизнесу и даже удаленный доступ к серверу компании! Обращаюсь в одну из хакерских фирм — для начала нужно вскрыть ящик, а в перспективе — незаметно “покопаться” в компьютерах компании. Мне отвечает консультант:
— Взлом почты — 5000 российских рублей. Займет 4—6 часов. То же самое — по доступу к компьютеру.
Как-то дешево, да и условия сделки очень напоминают развод. Нужно внести полную предоплату — через гарант-сервис. Это якобы независимая структура, которая получает деньги от клиента и переводит исполнителю, но только после выполнения заказа. Однако как убедиться в том, что гарант и взломщик — не одно и то же лицо?
— Не хотите — не заказывайте. Работаем только на таких условиях...
Ищу более сговорчивые конторы. Вот, к примеру, за 150 долларов предлагают “положить” сайт конкурента, за 100—1000 долларов готовы раздобыть базы данных, а за 50—100 зеленых — взломать почту. Но везде — лишь по предоплате. Только с седьмой попытки удается найти умельца, готового взяться за дело с предварительным взносом всего 10%:
— По срокам не скажу. Можно и за пару часов, а можно и неделю ждать. Имейте в виду, после того как я пришлю доказательства, остальная оплата должна поступить не более чем через 24 часа.
Если деньги не придут, парень свяжется с компанией-жертвой и расскажет, что ему заказали взлом и он получил доступ к конфиденциальной информации. О финансовой выгоде взломщик не поясняет, но, судя по всему, компанию ждет шантаж либо же за отдельную плату она получит сведения о заказчике атаки.
Впрочем, настоящие профи киберпреступного мира не оставляют свои контакты для поиска в Google. Они обитают на закрытых форумах или в сети Tor — скрытой части интернета, куда попасть не так просто. Здесь есть специализированные сайты, где хакеры принимают заказы. По словам специалистов, услуги по организации атак на предприятия сейчас в топе.
Извилистые русла утечки информации
О том, насколько часто наши предприятия сталкиваются с утечкой информации, можно лишь гадать. Официальная статистика такова: за последние 10 лет брестская история — первое уголовное дело, касающееся коммерческого шпионажа. Начальник 6-го управления (по Брестской области) Главного управления по борьбе с организованной преступностью и коррупцией Александр Лаврукович рассказывает:
— Мы изучали практику возбуждения уголовных дел. Такие ситуации имели место и в Минске, и в областных центрах. Но принимались решения об отказе в возбуждении уголовного дела, поскольку на предприятиях не соблюдался режим коммерческой тайны. Этот вопрос лежит в плоскости правовой неграмотности. В свою очередь брестская компания озаботилась тем, чтобы правильно защитить свой продукт.
Тем не менее в бизнес-кругах известны разные случаи. К примеру, в небольшой минской компании-поставщике инженерного оборудования завелся шпион. Сотрудники работали в специальной программе, куда вносилось множество ценных сведений. В системе появился неопознанный абонент — заметили его лишь через три месяца. Оказалось, информацию просматривал бывший сотрудник.
Был и такой случай. Компания оказывала услуги бизнесу по проведению корпоративных мероприятий. Большая клиентская база, где ценны не столько сделки, сколько контактные лица и пометки про компании — дни рождения, праздники, интересы. Сотрудник достаточно высокого статуса, когда увольнялся, сделал выгрузку всей этой базы, после чего пытался продать ее на рынке.
Отдельная тема — защита цифровой информации. Александр Сушко, эксперт по информационной безопасности, говорит, что ежегодно у нас регистрируется около 100 киберпреступлений, где жертвы — юридические лица. Злоумышленники получают удаленный доступ к компьютерам, сканируют их на уязвимости, внедряют вредоносные программы. Цель — получить несанкционированный доступ к заинтересовавшему их компьютеру. Потом они осматривают, что в нем содержится, выбирают нужные сведения. Так, например, можно прочитать переписку или похитить информацию.
— Был случай, когда злоумышленник получил данные о хозяйственной деятельности предприятия — договоры, соглашения. За то, чтобы информация не была предана огласке, вымогал у фирмы деньги, — вспоминает Александр Сушко. — Другой пример — киберпреступник нашел уязвимости в компьютерной системе предприятия и получил логины и пароли. Потом просил подарить ему мобильный телефон, чтобы он никуда не выложил эти данные.
Еще история. Студент минского вуза создал программу-шпион, от которой пострадало более 400 физлиц и около 10 предприятий. Все данные, вводившиеся в компьютер, отсылались парню на удаленный сервер.
— Примечательный факт: о шпионском проникновении в фирмах узнали лишь после того как к ним пришли представители правоохранительных органов. Это одна из особенностей таких преступлений: то, что кто-то ворует информацию, может очень долго оставаться незамеченным, — констатирует эксперт.
За семью печатями
И все же сегодня у нас есть вполне конкретные требования законодательства в отношении защиты информации. Пока их соблюдают далеко не все бизнесмены, а осознают ошибку лишь после того, как их оставили с носом. Адвокат АБ “Сысуев, Бондарь, Храпуцкий СБХ” Владимир Парахневич рассказывает:
— В моей практике был случай, когда конкурент переманил всех работников фирмы, а они, уходя, в придачу забрали базу данных. Это реальная ситуация, которая довела предприятие до предбанкротного состояния. В целом нередки случаи, когда бывшие сотрудники уносят базу данных клиентов. Потом пострадавшие компании обращаются к нам с вопросом — можно ли привлечь к ответственности за такие действия? Здесь важно, был ли установлен режим коммерческой тайны в отношении этой базы данных и соответствует ли она требованиям, которые предъявляются законом к таким сведениям.
— Судя по количеству уголовных дел, привлечь к ответственности за разглашение подобной информации — задача со звездочкой. Почему так?
— Любая коммерческая тайна должна быть надлежащим образом защищена — как минимум так, как предусмотрено Законом “О коммерческой тайне”. К нам зачастую обращаются клиенты с просьбой разработать положение о коммерческой тайне. Но, чтобы информация охранялась с точки зрения закона и можно было привлечь за ее раскрытие к ответственности, должна быть обеспечена не только “бумажная”, но и реальная защита этих сведений. Даже если база данных клиентов представляет коммерческую ценность, но собственник не принял надлежащих мер по ее защите, требовать наказания для виновных бесполезно.
— Легко ли определить, какую информацию нужно защищать?
— Основные требования к коммерческой тайне три.
Первое — эта информация не может быть общеизвестной и доступной другим лицам, которые имеют дело с подобного рода сведениями. Часто задается вопрос: а являются ли таковыми сведения о размере заработной платы? Полагаю, нет. Можно, например, открыть сайт по трудоустройству — многие наниматели указывают предлагаемую зарплату.
Второе — информация должна иметь коммерческую ценность в силу неизвестности третьим лицам. Например, сведения о планах выпуска и о выведении на рынок товаров, работ, услуг.
Третье — сведения должны приносить коммерческую выгоду: увеличивать доходы, сокращать расходы, поддерживать положение на рынке.
— Каковы здесь основные ошибки наших предприятий? Где есть недоработки?
— Первая ошибка, самая большая — у многих нет даже положения о коммерческой тайне, иного документального оформления. А тогда извините! Вы даже не утвердили документ, почему закон должен вас защищать?
Необходимо вести учет лиц, получивших доступ к коммерческой тайне. Если компьютер содержит ценные сведения, а на нем работает 8 человек, о какой защите информации речь? Далее — в трудовых контрактах, должностных инструкциях нужно указать, что в обязанности работника входят и вопросы работы с коммерческой тайной. Подписывается обязательство о неразглашении коммерческой тайны. Этот момент тоже зачастую не исполняется — текучка кадров. Еще важно в обязательстве предусматривать не только возмещение убытков, причиненных разглашением тайны, но и твердую сумму штрафа. Ведь главное — компенсировать убытки. А здесь есть проблема — их размер нужно доказать, но подсчитать убытки зачастую практически невозможно.
Также надо определить работников, ответственных за принятие мер по сохранности конфиденциальности этих сведений. Маленькому предприятию необязательно организовывать целую службу, однако нужен хотя бы один такой специалист.
— Допустим, все это соблюдено. Сотрудник все подписал и со всем ознакомлен, но в итоге раскрывает коммерческую тайну. Что ему грозит?
— Во-первых, это основание для прекращения с этим работником трудовых отношений. Во-вторых, может возникать или административная, или уголовная ответственность за разглашение коммерческой тайны, при этом ее не следует путать с коммерческим шпионажем. Допустим, работник в ресторане в неформальной беседе с конкурентами осознанно выдает секреты фирмы, зная, что наниматель на это согласие не давал. Это разглашение коммерческой тайны, при этом если ущерба для владельца нет или он до 250 базовых величин — административное правонарушение. А вот если ущерб более 250 базовых величин — преступление с наказанием до 3 лет лишения свободы.
В случае коммерческого шпионажа происходит или похищение, или сбор незаконным способом сведений, которые составляют коммерческую тайну, и это происходит с конкретной целью — разглашения или незаконного использования этой тайны, например, тем же конкурентом. Пока в адвокатской практике это редкий случай, но сейчас, когда началось широкое правовое просвещение нанимателей, возможно, их число будет увеличиваться, ведь такое явление объективно существует.
Принять как данные
Отправляясь на беседу с заведующим кафедрой защиты информации БГУИР профессором Тимофеем Борботько, ожидаю услышать рассказ о новейших разработках, которые позволяют обезопаситься от шпионов и излишне болтливых сотрудников. Но Тимофей Валентинович охлаждает мой пыл — техника не всегда обеспечивает должный уровень защиты:
— В любой технической системе всегда присутствует человек. Даже из самых надежных систем все равно утаскивают сведения. Вспомнить проект “Манхэттен” — программу США по разработке ядерного оружия 1940-х годов. Объект вынесли в местность, где людей нет вообще. Система контроля очень серьезная. И все равно в итоге сыграл человеческий фактор. Информацию украли сотрудники, которые там работали. Так что здесь речь идет о системе мер. Нужно знать, кого можно допустить к информации, а кого нет. Необходимы организационные мероприятия, работа с персоналом.
Эксперт объясняет — сегодня у нас накопилось немало вопросов, связанных с надлежащей защитой сведений. Однако подобные проблемы есть во всем мире:
— К примеру, несколько лет назад в Лондоне провели исследование, в ходе которого выяснилось, что 44% коммерческих структур выбрасывают документы, содержащие конфиденциальную информацию, без соблюдения предосторожностей. В итоге фирмы оштрафовали на 790 тысяч долларов. Иными словами, пока утечка информации не приведет к убыткам, к ее защите зачастую относятся несерьезно.
Тем временем угроз меньше не становится. А по мере приближения светлого цифрового будущего появляются все новые. Александр Сушко приводит цифру: ежегодно количество киберпреступлений в нашей стране увеличивается на 20—30%:
— Каждое предприятие должно разрабатывать политику цифровой безопасности. Более того, важно поднимать этот вопрос на государственном уровне. Сегодня мы заинтересованы в создании единой стратегии информационной безопасности страны. И компании, обеспечивающие цифровую безопасность, уже участвуют в ее разработке.
Обеспечить 100%-ю защиту информации невозможно. Но снизить риски — вполне реально. И это важно, ведь двигать экономику вперед может только честная конкуренция. А это выгодно всем.
Разведка — еще не шпионаж
Словосочетание “конкурентная разведка” многих приводит в замешательство. Уж не то ли это самое, что и промышленный шпионаж? Схожие черты есть, но при этом и разительное отличие — “разведчики” добывают информацию о конкурентах лишь законными методами. Вот только секреты иногда лежат на поверхности, говорит член Сообщества Практиков Конкурентной Разведки Савелий Семеркин:
— Проблемы в духе “кто-то скопировал клиентскую базу” — это налог на разгильдяйство. У хорошего хозяина такое не стащишь. У нас в этом плане детский сад. Но в серьезных компаниях все организовано на должном уровне и там такого не происходит. Вообще, нужно понимать: одно дело, если мы что-то похищаем, за это положена уголовная ответственность. А другое — если мы открыли сайт конкурента, а там можно найти документы Word и Excel с целой кучей секретов — простите, вы сами дали доступ.
— У нас есть спрос на услуги конкурентных разведчиков?
— Спрос есть, но он какой-то неправильный. Все сводится к “не могли бы вы мне добыть клиентскую базу моего конкурента”. Для многих понятия “конкурентная разведка” и “промышленный шпионаж” — одно и то же. Да и предложение у нас невелико. Есть люди, которые работают на крупных фирмах, но они это не афишируют. Такие отделы обычно засекречены — лишний интерес здесь никому не нужен.
Топ-3 громких случаев корпоративной “бондианы”
Шинный скандал
В июне 2016 года финский производитель шин Nokian Tyres обвинил 10 бывших сотрудников в промышленном шпионаже и разглашении коммерческой тайны. Корпоративные секреты были связаны с производством шин на заводе в российском Всеволожске в 2011—2012 годах. Концерн оценил ущерб в 6 млн евро.
Военные тайны
В прошлом году в США судили гражданина Китая, проработавшего семь лет в компании United Technologies Research Center старшим инженером. Он занимался проектами, связанными с двигателями для истребителей ВВС США, а в 2014 году вернулся в Китай, захватив украденный внешний винчестер с ценной информацией.
Гонка технологий
В прошлом году Tesla Motors подала в суд на одного из своих бывших топ-менеджеров, руководившего программой по созданию системы автопилота. Его заподозрили в попытке переманить более десяти сотрудников в конкурирующую фирму. Кроме того, экс-работника обвинили в краже технологических секретов — сотнях гигабайт конфиденциальной и служебной информации.
gavrusheva@sb.by
Шпионский бизнес: что грозит тем, кто ворует коммерческие секреты?
Опубликовано: 19 января 12:37
Коммерческий шпионаж — явление не новое. как ему противостоять в современных реалиях и не стать жертвой хакерской атаки и офисных лазутчиков?
Шпионские саги разворачиваются не только на киностудиях. Свежий пример — очередной скандал вокруг компании Uber. Бывший сотрудник обвинил ее в промышленном шпионаже — мол, руководители этого интернет-гиганта поручали проводить хакерские атаки против конкурентов, прослушивать телефоны и вербовать информаторов в других компаниях. Проблема утечек ценной информации не нова и для наших бизнесменов. Но обычно такие истории не придаются огласке, оставаясь головной болью руководителя или сотрудников службы безопасности. Лишь в конце прошлого года у нас впервые был вынесен приговор по делу о коммерческом шпионаже. И как показал этот случай, наказать нерадивых работников вполне реально.
Рецепт на легкие деньги
Прецедент был создан в Бресте. В апреле с необычной просьбой к 41-летнему минчанину Максиму обратился приятель из России. Его интересовала технология производства смолы и рецептура краски для нанесения дорожной разметки, разработанные брестским предприятием, где раньше работал Максим. Информацию заказчик оценил в 1 миллион российских рублей (около 17,5 тысячи долларов). У безработного минчанина были трудности с деньгами, так что предложение показалось ему интересным. От бывших коллег остались контакты лишь 48-летнего брестчанина Асана — к нему и обратился. Тот поддержал идею и встретился с технологом предприятия. Но женщина наотрез отказалась помогать. Зато откликнулся замначальника одного из цехов предприятия. Встретились, обсудили условия сотрудничества — за ценную информацию мужчины обещали заплатить 5 тысяч долларов. Вот только честный сотрудник сообщил о разговоре директору предприятия. В дело вмешалась милиция — Максима и Асана задержали при передаче 2,5 тысячи долларов.
На суде они полностью признали вину. Уверяли: не думали, что совершают преступление. К примеру, Асан полагал, что максимальное наказание, которое ему светит, — увольнение. Подельникам назначили наказание в виде ограничения свободы на два года, отбывать которое они будут по месту жительства, а также штраф 9,2 тысячи рублей.
История мало похожа на сюжет голливудского фильма. Ни тебе жучков, ни компьютерных взломов. Однако шпионская мишура совсем необязательна для того, чтобы нанести фирме весьма солидный ущерб.
Информаторы из сети
Легко ли найти лазутчика, который раздобудет секрет фирмы? За ответом отправляюсь на просторы интернета. Путь оказался не из простых — никто не дает объявлений о помощи в раскрытии тайн конкурентов. Зато нахожу несколько контактов частных детективов. Как правило, они предлагают проверить верность второй половинки, проследить, не попал ли в плохую компанию ребенок и тому подобное. Некоторые не гнушаются и тем, чтобы “прощупать” бизнес-партнера — они-то мне и нужны! Рассылаю несколько писем по электронной почте, дескать, нужно раздобыть информацию о фирме. Менее чем через час получаю ответ: сыщик просит конкретизировать: какая информация нужна и где находится жертва. Закинуть удочку решаю на вполне посильные задачи — информация об учредителях и условиях внешнеторговых контрактов отечественной фирмы.
Ответ приходит быстро. Примерно 500 долларов — и дело будет сделано. Как? Секреты работы детектив не раскрывает, но уверяет — методы исключительно законные.
Подступиться к раскрытию секретов фирмы можно и с иного фланга: множество ценной информации хранится на компьютерах. Немудрено, что интернет пестрит объявлениями от хакеров. Предлагают взлом корпоративной почты, сайта конкурентов, базы данных по интересующему бизнесу и даже удаленный доступ к серверу компании! Обращаюсь в одну из хакерских фирм — для начала нужно вскрыть ящик, а в перспективе — незаметно “покопаться” в компьютерах компании. Мне отвечает консультант:
— Взлом почты — 5000 российских рублей. Займет 4—6 часов. То же самое — по доступу к компьютеру.
Как-то дешево, да и условия сделки очень напоминают развод. Нужно внести полную предоплату — через гарант-сервис. Это якобы независимая структура, которая получает деньги от клиента и переводит исполнителю, но только после выполнения заказа. Однако как убедиться в том, что гарант и взломщик — не одно и то же лицо?
— Не хотите — не заказывайте. Работаем только на таких условиях...
Ищу более сговорчивые конторы. Вот, к примеру, за 150 долларов предлагают “положить” сайт конкурента, за 100—1000 долларов готовы раздобыть базы данных, а за 50—100 зеленых — взломать почту. Но везде — лишь по предоплате. Только с седьмой попытки удается найти умельца, готового взяться за дело с предварительным взносом всего 10%:
— По срокам не скажу. Можно и за пару часов, а можно и неделю ждать. Имейте в виду, после того как я пришлю доказательства, остальная оплата должна поступить не более чем через 24 часа.
Если деньги не придут, парень свяжется с компанией-жертвой и расскажет, что ему заказали взлом и он получил доступ к конфиденциальной информации. О финансовой выгоде взломщик не поясняет, но, судя по всему, компанию ждет шантаж либо же за отдельную плату она получит сведения о заказчике атаки.
Впрочем, настоящие профи киберпреступного мира не оставляют свои контакты для поиска в Google. Они обитают на закрытых форумах или в сети Tor — скрытой части интернета, куда попасть не так просто. Здесь есть специализированные сайты, где хакеры принимают заказы. По словам специалистов, услуги по организации атак на предприятия сейчас в топе.
Извилистые русла утечки информации
О том, насколько часто наши предприятия сталкиваются с утечкой информации, можно лишь гадать. Официальная статистика такова: за последние 10 лет брестская история — первое уголовное дело, касающееся коммерческого шпионажа. Начальник 6-го управления (по Брестской области) Главного управления по борьбе с организованной преступностью и коррупцией Александр Лаврукович рассказывает:
— Мы изучали практику возбуждения уголовных дел. Такие ситуации имели место и в Минске, и в областных центрах. Но принимались решения об отказе в возбуждении уголовного дела, поскольку на предприятиях не соблюдался режим коммерческой тайны. Этот вопрос лежит в плоскости правовой неграмотности. В свою очередь брестская компания озаботилась тем, чтобы правильно защитить свой продукт.
Тем не менее в бизнес-кругах известны разные случаи. К примеру, в небольшой минской компании-поставщике инженерного оборудования завелся шпион. Сотрудники работали в специальной программе, куда вносилось множество ценных сведений. В системе появился неопознанный абонент — заметили его лишь через три месяца. Оказалось, информацию просматривал бывший сотрудник.
Был и такой случай. Компания оказывала услуги бизнесу по проведению корпоративных мероприятий. Большая клиентская база, где ценны не столько сделки, сколько контактные лица и пометки про компании — дни рождения, праздники, интересы. Сотрудник достаточно высокого статуса, когда увольнялся, сделал выгрузку всей этой базы, после чего пытался продать ее на рынке.
Отдельная тема — защита цифровой информации. Александр Сушко, эксперт по информационной безопасности, говорит, что ежегодно у нас регистрируется около 100 киберпреступлений, где жертвы — юридические лица. Злоумышленники получают удаленный доступ к компьютерам, сканируют их на уязвимости, внедряют вредоносные программы. Цель — получить несанкционированный доступ к заинтересовавшему их компьютеру. Потом они осматривают, что в нем содержится, выбирают нужные сведения. Так, например, можно прочитать переписку или похитить информацию.
— Был случай, когда злоумышленник получил данные о хозяйственной деятельности предприятия — договоры, соглашения. За то, чтобы информация не была предана огласке, вымогал у фирмы деньги, — вспоминает Александр Сушко. — Другой пример — киберпреступник нашел уязвимости в компьютерной системе предприятия и получил логины и пароли. Потом просил подарить ему мобильный телефон, чтобы он никуда не выложил эти данные.
Еще история. Студент минского вуза создал программу-шпион, от которой пострадало более 400 физлиц и около 10 предприятий. Все данные, вводившиеся в компьютер, отсылались парню на удаленный сервер.
— Примечательный факт: о шпионском проникновении в фирмах узнали лишь после того как к ним пришли представители правоохранительных органов. Это одна из особенностей таких преступлений: то, что кто-то ворует информацию, может очень долго оставаться незамеченным, — констатирует эксперт.
За семью печатями
И все же сегодня у нас есть вполне конкретные требования законодательства в отношении защиты информации. Пока их соблюдают далеко не все бизнесмены, а осознают ошибку лишь после того, как их оставили с носом. Адвокат АБ “Сысуев, Бондарь, Храпуцкий СБХ” Владимир Парахневич рассказывает:
— В моей практике был случай, когда конкурент переманил всех работников фирмы, а они, уходя, в придачу забрали базу данных. Это реальная ситуация, которая довела предприятие до предбанкротного состояния. В целом нередки случаи, когда бывшие сотрудники уносят базу данных клиентов. Потом пострадавшие компании обращаются к нам с вопросом — можно ли привлечь к ответственности за такие действия? Здесь важно, был ли установлен режим коммерческой тайны в отношении этой базы данных и соответствует ли она требованиям, которые предъявляются законом к таким сведениям.
— Судя по количеству уголовных дел, привлечь к ответственности за разглашение подобной информации — задача со звездочкой. Почему так?
— Любая коммерческая тайна должна быть надлежащим образом защищена — как минимум так, как предусмотрено Законом “О коммерческой тайне”. К нам зачастую обращаются клиенты с просьбой разработать положение о коммерческой тайне. Но, чтобы информация охранялась с точки зрения закона и можно было привлечь за ее раскрытие к ответственности, должна быть обеспечена не только “бумажная”, но и реальная защита этих сведений. Даже если база данных клиентов представляет коммерческую ценность, но собственник не принял надлежащих мер по ее защите, требовать наказания для виновных бесполезно.
— Легко ли определить, какую информацию нужно защищать?
— Основные требования к коммерческой тайне три.
Первое — эта информация не может быть общеизвестной и доступной другим лицам, которые имеют дело с подобного рода сведениями. Часто задается вопрос: а являются ли таковыми сведения о размере заработной платы? Полагаю, нет. Можно, например, открыть сайт по трудоустройству — многие наниматели указывают предлагаемую зарплату.
Второе — информация должна иметь коммерческую ценность в силу неизвестности третьим лицам. Например, сведения о планах выпуска и о выведении на рынок товаров, работ, услуг.
Третье — сведения должны приносить коммерческую выгоду: увеличивать доходы, сокращать расходы, поддерживать положение на рынке.
— Каковы здесь основные ошибки наших предприятий? Где есть недоработки?
— Первая ошибка, самая большая — у многих нет даже положения о коммерческой тайне, иного документального оформления. А тогда извините! Вы даже не утвердили документ, почему закон должен вас защищать?
Необходимо вести учет лиц, получивших доступ к коммерческой тайне. Если компьютер содержит ценные сведения, а на нем работает 8 человек, о какой защите информации речь? Далее — в трудовых контрактах, должностных инструкциях нужно указать, что в обязанности работника входят и вопросы работы с коммерческой тайной. Подписывается обязательство о неразглашении коммерческой тайны. Этот момент тоже зачастую не исполняется — текучка кадров. Еще важно в обязательстве предусматривать не только возмещение убытков, причиненных разглашением тайны, но и твердую сумму штрафа. Ведь главное — компенсировать убытки. А здесь есть проблема — их размер нужно доказать, но подсчитать убытки зачастую практически невозможно.
Также надо определить работников, ответственных за принятие мер по сохранности конфиденциальности этих сведений. Маленькому предприятию необязательно организовывать целую службу, однако нужен хотя бы один такой специалист.
— Допустим, все это соблюдено. Сотрудник все подписал и со всем ознакомлен, но в итоге раскрывает коммерческую тайну. Что ему грозит?
— Во-первых, это основание для прекращения с этим работником трудовых отношений. Во-вторых, может возникать или административная, или уголовная ответственность за разглашение коммерческой тайны, при этом ее не следует путать с коммерческим шпионажем. Допустим, работник в ресторане в неформальной беседе с конкурентами осознанно выдает секреты фирмы, зная, что наниматель на это согласие не давал. Это разглашение коммерческой тайны, при этом если ущерба для владельца нет или он до 250 базовых величин — административное правонарушение. А вот если ущерб более 250 базовых величин — преступление с наказанием до 3 лет лишения свободы.
В случае коммерческого шпионажа происходит или похищение, или сбор незаконным способом сведений, которые составляют коммерческую тайну, и это происходит с конкретной целью — разглашения или незаконного использования этой тайны, например, тем же конкурентом. Пока в адвокатской практике это редкий случай, но сейчас, когда началось широкое правовое просвещение нанимателей, возможно, их число будет увеличиваться, ведь такое явление объективно существует.
Принять как данные
Отправляясь на беседу с заведующим кафедрой защиты информации БГУИР профессором Тимофеем Борботько, ожидаю услышать рассказ о новейших разработках, которые позволяют обезопаситься от шпионов и излишне болтливых сотрудников. Но Тимофей Валентинович охлаждает мой пыл — техника не всегда обеспечивает должный уровень защиты:
— В любой технической системе всегда присутствует человек. Даже из самых надежных систем все равно утаскивают сведения. Вспомнить проект “Манхэттен” — программу США по разработке ядерного оружия 1940-х годов. Объект вынесли в местность, где людей нет вообще. Система контроля очень серьезная. И все равно в итоге сыграл человеческий фактор. Информацию украли сотрудники, которые там работали. Так что здесь речь идет о системе мер. Нужно знать, кого можно допустить к информации, а кого нет. Необходимы организационные мероприятия, работа с персоналом.
Эксперт объясняет — сегодня у нас накопилось немало вопросов, связанных с надлежащей защитой сведений. Однако подобные проблемы есть во всем мире:
— К примеру, несколько лет назад в Лондоне провели исследование, в ходе которого выяснилось, что 44% коммерческих структур выбрасывают документы, содержащие конфиденциальную информацию, без соблюдения предосторожностей. В итоге фирмы оштрафовали на 790 тысяч долларов. Иными словами, пока утечка информации не приведет к убыткам, к ее защите зачастую относятся несерьезно.
Тем временем угроз меньше не становится. А по мере приближения светлого цифрового будущего появляются все новые. Александр Сушко приводит цифру: ежегодно количество киберпреступлений в нашей стране увеличивается на 20—30%:
— Каждое предприятие должно разрабатывать политику цифровой безопасности. Более того, важно поднимать этот вопрос на государственном уровне. Сегодня мы заинтересованы в создании единой стратегии информационной безопасности страны. И компании, обеспечивающие цифровую безопасность, уже участвуют в ее разработке.
Обеспечить 100%-ю защиту информации невозможно. Но снизить риски — вполне реально. И это важно, ведь двигать экономику вперед может только честная конкуренция. А это выгодно всем.
Разведка — еще не шпионаж
Словосочетание “конкурентная разведка” многих приводит в замешательство. Уж не то ли это самое, что и промышленный шпионаж? Схожие черты есть, но при этом и разительное отличие — “разведчики” добывают информацию о конкурентах лишь законными методами. Вот только секреты иногда лежат на поверхности, говорит член Сообщества Практиков Конкурентной Разведки Савелий Семеркин:
— Проблемы в духе “кто-то скопировал клиентскую базу” — это налог на разгильдяйство. У хорошего хозяина такое не стащишь. У нас в этом плане детский сад. Но в серьезных компаниях все организовано на должном уровне и там такого не происходит. Вообще, нужно понимать: одно дело, если мы что-то похищаем, за это положена уголовная ответственность. А другое — если мы открыли сайт конкурента, а там можно найти документы Word и Excel с целой кучей секретов — простите, вы сами дали доступ.
— У нас есть спрос на услуги конкурентных разведчиков?
— Спрос есть, но он какой-то неправильный. Все сводится к “не могли бы вы мне добыть клиентскую базу моего конкурента”. Для многих понятия “конкурентная разведка” и “промышленный шпионаж” — одно и то же. Да и предложение у нас невелико. Есть люди, которые работают на крупных фирмах, но они это не афишируют. Такие отделы обычно засекречены — лишний интерес здесь никому не нужен.
Топ-3 громких случаев корпоративной “бондианы”
Шинный скандал
В июне 2016 года финский производитель шин Nokian Tyres обвинил 10 бывших сотрудников в промышленном шпионаже и разглашении коммерческой тайны. Корпоративные секреты были связаны с производством шин на заводе в российском Всеволожске в 2011—2012 годах. Концерн оценил ущерб в 6 млн евро.
Военные тайны
В прошлом году в США судили гражданина Китая, проработавшего семь лет в компании United Technologies Research Center старшим инженером. Он занимался проектами, связанными с двигателями для истребителей ВВС США, а в 2014 году вернулся в Китай, захватив украденный внешний винчестер с ценной информацией.
Гонка технологий
В прошлом году Tesla Motors подала в суд на одного из своих бывших топ-менеджеров, руководившего программой по созданию системы автопилота. Его заподозрили в попытке переманить более десяти сотрудников в конкурирующую фирму. Кроме того, экс-работника обвинили в краже технологических секретов — сотнях гигабайт конфиденциальной и служебной информации.
gavrusheva@sb.by
Шпионский бизнес: что грозит тем, кто ворует коммерческие секреты?
