Книга #20 – «Цифровой хищник: Информационная разведка и социальная инженерия в легальных сделках» – Глава 5. Технический арсенал хищника – Безопасность отдела продаж: как защитить свои базы от таких же хищников
10
Сейчас мы будем говорить о вещах, от которых потеют ладони даже у самых матерых волков. Мы научились вскрывать чужие бизнесы, парсить их долги, вербовать их секретарш и душить их нашими контрактами. Мы – хищники.
Но давай посмотрим правде в глаза, глядя в зеркало: лес большой, и мы в нем не одни. Что, если прямо сейчас, пока мы пьем скотч, какой-то ушлый пацан, прочитавший наши же схемы, парсит нашу CRM-систему? Что, если наш лучший продажник Вася, которому мы платим 100 тысяч оклада, прямо сейчас скачивает на флешку клиентскую базу стоимостью 100 миллионов рублей, чтобы завтра уйти с ней к нашим конкурентам или продать в даркнете?
Если ты умеешь нападать, но не умеешь защищать свою кормовую базу – ты не хищник. Ты просто временный держатель кэша, который скоро перейдет в более надежные руки. Мы должны выстроить вокруг нашего отдела продаж цифровой ГУЛАГ. Непробиваемый, параноидальный и легальный.
Давайте начнем с неприятной правды. Главная угроза вашему бизнесу – это не конкуренты, не налоговая и не хакеры из Северной Кореи. Главная угроза сидит в вашем опен-спейсе, пьет бесплатный корпоративный кофе и жалуется на маленькие бонусы. Это ваши собственные менеджеры по продажам.
База данных (лиды, контакты ЛПР, история сделок) – это ваш главный актив. Это цифровое золото. И вы доверяете ключи от этого золота людям с ипотеками и кредитами на солярисы. Рано или поздно соблазн слить эту базу на сторону станет непреодолимым. Либо их завербуют по нашей же схеме из второй главы (через фальшивое собеседование), либо они сами решат уйти к конкуренту, прихватив с собой вашу выручку за следующий год в качестве «приданого».
Обычные коммерсы думают, что подписанная бумажка «о неразглашении» их спасет. Идиоты. Бумага не останавливает скачивание файла. Чтобы защитить свои базы от таких же хищников, как мы, нужна система тотального цифрового недоверия и паранойи.
Векторы защиты и схемы: Архитектура цифрового ГУЛАГа
Мы строим систему, в которой украсть данные физически сложно, а если их все-таки украли – вор оставляет такой жирный след, что мы легально уничтожаем и его, и конкурента, который эту базу купил.
Схема 1: «Нулевое доверие» (DLP-системы и водяные знаки)
Вы отрубаете все USB-порты на рабочих компах. Закрываете доступ к личной почте, Telegram Web и облачным дискам на корпоративном Wi-Fi. Но хитрый менеджер может просто достать смартфон и сфотографировать экран с контактами Голого Короля!
Наш ответ: Мы внедряем DLP-систему (Data Loss Prevention) нового поколения. На мониторе каждого менеджера поверх CRM-системы отображается полупрозрачная «цифровая сетка» (водяной знак), в которую вшит его уникальный ID или ФИО. Этот знак почти не мешает работать, но если он сфоткает экран на телефон и этот скриншот всплывет у конкурентов – мы берем фото, проводим анализ и видим: «Ага, это сфоткал Вася Иванов 12 августа в 14:32».
Более того, мы настраиваем API нашей CRM так, что менеджер видит только своих 50 текущих клиентов. Запрещен массовый экспорт. Запрещено выделение списка. Чтобы спарсить базу, ему придется открывать по одной карточке и переписывать ручкой в блокнот. Лень победит жадность.
Схема 2: «Ядовитые канарейки» (Honeytokens)
Это высший пилотаж контрразведки. Как доказать, что вашу базу украли и использует конкретный конкурент?
Мы намеренно внедряем в нашу собственную CRM-систему «мертвые души» – фейковых клиентов. Мы заводим карточку «ООО “Строй-Инвест”, Генеральный директор Петр Алексеевич», прописываем ему жирный бюджет, а в поле «Телефон» вписываем номер левой сим-карты, которая лежит у нас в сейфе (или заведена на виртуальную АТС).
Таких «канареек» мы распихиваем по базам каждого менеджера (у Васи свои фейки, у Пети – свои).
Капкан захлопывается: Если Вася сливает базу конкуренту (ООО «Вектор»), конкурент начинает по ней радостно звонить. И в один прекрасный день у нас в сейфе звонит телефон. Мы берем трубку.
– «Алло, Петр Алексеевич? Это компания “Вектор”, хотим предложить вам наши услуги!»
Бинго! Мы точно знаем, что база у «Вектора», и мы точно знаем, что слил её Вася (потому что этот номер был только в его сегменте базы). Мы поймали крысу и задокументировали факт кражи.
Схема 3: «Юридическая гильотина» (Легализация расправы)
Поймать крысу – полдела. Надо её уничтожить так, чтобы другие боялись дышать в сторону кнопки «Скачать». Но суды РФ плохо работают с «цифровыми кражами», если у вас не введен Режим коммерческой тайны (РКТ).
Мы оформляем РКТ по всем правилам закона (ФЗ-98):
- Издаем Приказ по компании о введении режима коммерческой тайны.
- Составляем Перечень информации, составляющей тайну (прямо прописываем: клиентская база, телефоны ЛПР, условия сделок).
- Наносим на все электронные документы и выгрузки гриф «Коммерческая тайна ООО “Тимкор”».
- Знакомим каждого менеджера с этим под роспись, включая пункт об уголовной ответственности по статье 183 УК РФ (Незаконные получение и разглашение сведений, составляющих коммерческую тайну).
Когда мы ловим Васю на краже через «канарейку», мы не просто увольняем его. Мы вызываем его в переговорку, кладем перед ним распечатки логов DLP-системы, аудиозапись звонка конкурента на номер-ловушку и заранее написанное заявление в полицию по 183 УК РФ (до 3 лет лишения свободы).
Мы говорим: «Вася, ты приплыл. Либо ты садишься в тюрьму и платишь иск на 10 миллионов, либо ты сейчас подписываешь чистосердечное признание, идешь к конкуренту, которому ты это слил, в качестве нашего двойного агента, и приносишь нам ИХ клиентскую базу».
Мы вербуем собственную крысу и обращаем её против врага!
Трюки с отчётностью: Как списать затраты на паранойю
Внедрение DLP-систем, защищенных серверов, виртуальных АТС для ловушек – это дорогое удовольствие. Как хищник проводит это по бухгалтерии?
Лазейка «Налоговый вычет на IT и гранты»:
В России сейчас беспрецедентные льготы для внедрения отечественного ПО. Мы покупаем софт для защиты информации (тот же InfoWatch или SearchInform, если берем взрослые решения).
Мы оформляем это не как «расходы на безопасность», а как «Модернизацию информационной инфраструктуры предприятия с использованием отечественного ПО из реестра Минцифры».
Во-первых, мы сразу списываем эти затраты, уменьшая налог на прибыль (ст. 259 НК РФ).
Во-вторых, мы подаем заявку в Фонд содействия инновациям или РФРИТ на компенсацию затрат на цифровизацию. Государство компенсирует нам до 50% стоимости внедрения защиты! Мы строим свой цифровой ГУЛАГ за счет налогоплательщиков. Идеально, чисто, легально.
Защита базы – это не IT-задача. Это бизнес-стратегия. Если вы не контролируете свой цифровой след изнутри, завтра вас сожрут ваши же ученики. Заприте двери, повесьте замки на каждую строчку кода и превратите свой бизнес в крепость, из которой информация выходит только вместе с выставленным счетом.