De Martino Journal
О человеке в настоящем времени
Данные и риски
МТПП: «Информационная безопасность в HR: как защитить данные сотрудников и снизить риски для бизнеса»
МТПП: «Информационная безопасность в HR: как защитить данные сотрудников и снизить риски для бизнеса»
Как защитить персональные данные сотрудников, обучить команду и снизить киберриски: итоги встречи экспертов по информационной безопасности в МТПП.
1 октября 2026 года в Московской торгово-промышленной палате состоялась встреча, посвящённая информационной безопасности при работе с кадрами.
Представители бизнеса, HR-специалисты, эксперты по кибербезопасности и представители Российского экономического университета имени Г. В.
Плеханова обсудили, как защитить персональные данные, выстроить систему обучения сотрудников и подготовить компанию к современным цифровым угрозам.
Главный вывод встречи: информационная безопасность начинается с управленческих решений, понятных правил и ежедневных действий команды. Технические средства защиты дают результат, когда встроены в общую систему работы компании.
Представители бизнеса, HR-специалисты, эксперты по кибербезопасности и представители Российского экономического университета имени Г. В.
Плеханова обсудили, как защитить персональные данные, выстроить систему обучения сотрудников и подготовить компанию к современным цифровым угрозам.
Главный вывод встречи: информационная безопасность начинается с управленческих решений, понятных правил и ежедневных действий команды. Технические средства защиты дают результат, когда встроены в общую систему работы компании.
Почему информационная безопасность в HR стала задачей всего бизнеса
Кадровые подразделения ежедневно работают с большим объёмом чувствительной информации: персональными данными сотрудников, документами об образовании, сведениями о трудовой деятельности и внутренними кадровыми документами. Часть этой информации требует особого режима доступа и аккуратного обращения на каждом этапе — от найма до завершения трудовых отношений.
При этом риски возникают далеко за пределами HR-службы. Сотрудник может открыть вредоносное вложение, переслать документ не тому адресату, передать пароль коллеге или загрузить корпоративные сведения в сторонний цифровой сервис. Каждое такое действие способно создать угрозу для компании.
На встрече в МТПП участники рассматривали информационную безопасность одновременно с технической, организационной, правовой и кадровой сторон. Такой подход позволяет увидеть взаимосвязь между действиями отдельных сотрудников, внутренними процессами и устойчивостью бизнеса.
Защита информации влияет и на деловую репутацию. Утечка персональных данных, использование чужого имени или распространение конфиденциальных сведений способны подорвать доверие к организации со стороны сотрудников, клиентов и партнёров.
Кадровые подразделения ежедневно работают с большим объёмом чувствительной информации: персональными данными сотрудников, документами об образовании, сведениями о трудовой деятельности и внутренними кадровыми документами. Часть этой информации требует особого режима доступа и аккуратного обращения на каждом этапе — от найма до завершения трудовых отношений.
При этом риски возникают далеко за пределами HR-службы. Сотрудник может открыть вредоносное вложение, переслать документ не тому адресату, передать пароль коллеге или загрузить корпоративные сведения в сторонний цифровой сервис. Каждое такое действие способно создать угрозу для компании.
На встрече в МТПП участники рассматривали информационную безопасность одновременно с технической, организационной, правовой и кадровой сторон. Такой подход позволяет увидеть взаимосвязь между действиями отдельных сотрудников, внутренними процессами и устойчивостью бизнеса.
Защита информации влияет и на деловую репутацию. Утечка персональных данных, использование чужого имени или распространение конфиденциальных сведений способны подорвать доверие к организации со стороны сотрудников, клиентов и партнёров.
Какие ошибки сотрудников создают угрозы информационной безопасности
Пётр Александрович Козырев, старший преподаватель кафедры прикладной информатики и информационной безопасности РЭУ им. Г. В. Плеханова и практикующий специалист с более чем десятилетним опытом работы в сфере информационной безопасности,
обратил внимание на типичные сценарии, с которыми сталкиваются компании.
Фишинговые письма и вредоносные вложения
Злоумышленники могут рассылать сотрудникам сообщения со ссылками на поддельные сайты или файлами, содержащими вредоносное программное обеспечение. Если человек открывает вложение или переходит по ссылке, под угрозой оказываются его устройство, учётная запись и корпоративная инфраструктура.
Особую опасность представляют сообщения, которые выглядят привычно и соответствуют рабочему контексту. Поэтому сотрудникам важно проверять отправителя, оценивать содержание письма и действовать по установленному порядку при возникновении сомнений.
Неизвестные USB-накопители
Ещё один пример, приведённый экспертом, — найденная флешка. Сотрудник может подобрать накопитель в общественном месте и подключить его к рабочему компьютеру из любопытства или желания найти владельца. Если устройство содержит вредоносную программу, такой поступок становится точкой входа для атаки.
Правило для корпоративной среды простое: подключение внешних носителей должно регулироваться внутренними требованиями компании.
Социальная инженерия и передача доступа
Злоумышленники используют телефонные звонки, сообщения и другие способы взаимодействия, чтобы побудить человека раскрыть сведения или выполнить нужное им действие. Иногда сотрудник уверен, что помогает коллеге или руководителю, и не замечает признаков манипуляции.
Козырев отдельно подчеркнул важность сохранения конфиденциальности учётных данных. Передача логина и пароля другому человеку создаёт риски даже при доверительных отношениях внутри коллектива. Действия, выполненные под чужой учётной записью, затрудняют установление ответственности и могут предоставить доступ к системам, который изначально не предназначался этому сотруднику.
Ошибочная отправка документов и утрата информации
Кадровые документы и рабочая переписка требуют внимательности при передаче, хранении и использовании. Ошибка в адресате письма, копирование файла в неподходящее место или вынос конфиденциальных материалов за пределы корпоративной среды могут привести к раскрытию сведений.
Поэтому безопасность должна поддерживаться не только инструкциями, но и процессами: настройками доступа, контролем передачи данных и понятным порядком действий в нестандартных ситуациях.
Фишинговые письма и вредоносные вложения
Злоумышленники могут рассылать сотрудникам сообщения со ссылками на поддельные сайты или файлами, содержащими вредоносное программное обеспечение. Если человек открывает вложение или переходит по ссылке, под угрозой оказываются его устройство, учётная запись и корпоративная инфраструктура.
Особую опасность представляют сообщения, которые выглядят привычно и соответствуют рабочему контексту. Поэтому сотрудникам важно проверять отправителя, оценивать содержание письма и действовать по установленному порядку при возникновении сомнений.
Неизвестные USB-накопители
Ещё один пример, приведённый экспертом, — найденная флешка. Сотрудник может подобрать накопитель в общественном месте и подключить его к рабочему компьютеру из любопытства или желания найти владельца. Если устройство содержит вредоносную программу, такой поступок становится точкой входа для атаки.
Правило для корпоративной среды простое: подключение внешних носителей должно регулироваться внутренними требованиями компании.
Социальная инженерия и передача доступа
Злоумышленники используют телефонные звонки, сообщения и другие способы взаимодействия, чтобы побудить человека раскрыть сведения или выполнить нужное им действие. Иногда сотрудник уверен, что помогает коллеге или руководителю, и не замечает признаков манипуляции.
Козырев отдельно подчеркнул важность сохранения конфиденциальности учётных данных. Передача логина и пароля другому человеку создаёт риски даже при доверительных отношениях внутри коллектива. Действия, выполненные под чужой учётной записью, затрудняют установление ответственности и могут предоставить доступ к системам, который изначально не предназначался этому сотруднику.
Ошибочная отправка документов и утрата информации
Кадровые документы и рабочая переписка требуют внимательности при передаче, хранении и использовании. Ошибка в адресате письма, копирование файла в неподходящее место или вынос конфиденциальных материалов за пределы корпоративной среды могут привести к раскрытию сведений.
Поэтому безопасность должна поддерживаться не только инструкциями, но и процессами: настройками доступа, контролем передачи данных и понятным порядком действий в нестандартных ситуациях.
Почему подписанных инструкций недостаточно
Один из центральных тезисов встречи касался обучения сотрудников. По словам Петра Козырева, ознакомление с внутренними политиками и подписание документов сами по себе не формируют устойчивых навыков безопасной работы.
Сотрудник может поставить подпись под инструкцией, но в реальной ситуации растеряться, перейти по подозрительной ссылке или передать информацию по просьбе человека, который представился руководителем.
Поэтому обучение должно моделировать рабочие сценарии. Эксперт предложил использовать практические упражнения, внутренние проверки устойчивости к фишингу, разбор конкретных ситуаций и другие форматы, позволяющие увидеть, как люди действуют на практике.
Эффективная система обучения включает несколько элементов:
Важен и личный пример руководства. Если менеджер требует соблюдать правила, но сам передаёт пароли, игнорирует регламенты или использует непроверенные сервисы, сотрудники получают противоречивый сигнал.
О том, как в МТПП обсуждали похожую проблему — превращение формальной процедуры в рабочий инструмент развития человека и бизнеса, — мы писали в материале об аттестации персонала.
Как организовать обучение внутри компании
Андрей Анатольевич Иванов, декан факультета дополнительного профессионального образования РЭУ им. Г. В. Плеханова, обратил внимание на то, что сотрудникам часто требуется более широкий набор базовых цифровых навыков. Среди них — правильное хранение документов, понимание уровней доступа и простые действия, например блокировка рабочего компьютера при уходе с рабочего места.
Один из центральных тезисов встречи касался обучения сотрудников. По словам Петра Козырева, ознакомление с внутренними политиками и подписание документов сами по себе не формируют устойчивых навыков безопасной работы.
Сотрудник может поставить подпись под инструкцией, но в реальной ситуации растеряться, перейти по подозрительной ссылке или передать информацию по просьбе человека, который представился руководителем.
Поэтому обучение должно моделировать рабочие сценарии. Эксперт предложил использовать практические упражнения, внутренние проверки устойчивости к фишингу, разбор конкретных ситуаций и другие форматы, позволяющие увидеть, как люди действуют на практике.
Эффективная система обучения включает несколько элементов:
- регулярные занятия с учётом задач и должностных обязанностей сотрудников;
- разбор типичных угроз на понятных примерах;
- практические упражнения и проверку усвоенных навыков;
- понятный порядок сообщения о подозрительных письмах и инцидентах;
- участие руководителей в формировании культуры безопасности.
Важен и личный пример руководства. Если менеджер требует соблюдать правила, но сам передаёт пароли, игнорирует регламенты или использует непроверенные сервисы, сотрудники получают противоречивый сигнал.
О том, как в МТПП обсуждали похожую проблему — превращение формальной процедуры в рабочий инструмент развития человека и бизнеса, — мы писали в материале об аттестации персонала.
Как организовать обучение внутри компании
Андрей Анатольевич Иванов, декан факультета дополнительного профессионального образования РЭУ им. Г. В. Плеханова, обратил внимание на то, что сотрудникам часто требуется более широкий набор базовых цифровых навыков. Среди них — правильное хранение документов, понимание уровней доступа и простые действия, например блокировка рабочего компьютера при уходе с рабочего места.
Иванов также подчеркнул значение условий обучения. Когда сотрудник одновременно выполняет рабочие задачи и смотрит обучающее видео, его внимание распределяется между несколькими процессами. Чтобы закрепить знания, необходимо выделять отдельное время на обучение и проверять результат индивидуально.
Формальное прохождение теста не всегда подтверждает реальное понимание материала. Поэтому оценка должна показывать, способен ли сотрудник применить правила в практической ситуации.
Для компании это означает переход от модели «ознакомить и отчитаться» к системе, в которой сотрудники действительно умеют обращаться с информацией безопасно.
Формальное прохождение теста не всегда подтверждает реальное понимание материала. Поэтому оценка должна показывать, способен ли сотрудник применить правила в практической ситуации.
Для компании это означает переход от модели «ознакомить и отчитаться» к системе, в которой сотрудники действительно умеют обращаться с информацией безопасно.
Как защитить персональные данные сотрудников: доступы, процессы и контроль
Во время группового обсуждения участники встречи выделили несколько направлений, которые помогают снизить риски на уровне организации.
Принцип минимально необходимого доступа
Сотрудник должен получать доступ к тем данным и системам, которые необходимы ему для выполнения должностных обязанностей. Объём доступной информации следует определять с учётом роли человека в компании.
Такой подход уменьшает вероятность случайного раскрытия сведений и ограничивает последствия возможной компрометации учётной записи.
Регламенты, понятные сотрудникам
Внутренние документы должны переводить требования законодательства и корпоративной политики в конкретные действия. Сотруднику важно понимать, какие сведения он вправе передавать, где хранить документы, какие сервисы использовать и к кому обращаться при возникновении сомнений.
Регламенты особенно важны при приёме на работу, изменении должностных обязанностей и прекращении доступа к корпоративным ресурсам.
Контроль использования цифровых инструментов
Отдельное внимание участники уделили применению искусственного интеллекта и нейросетей. Такие инструменты помогают решать рабочие задачи, однако загрузка в сторонний сервис персональных данных, внутренних документов или конфиденциальных сведений может создать дополнительные риски.
Компаниям необходимо заранее определить, какие инструменты разрешены, какие категории информации допустимо обрабатывать и какие ограничения должны соблюдать сотрудники. В отдельных случаях организации разворачивают решения внутри собственной инфраструктуры, однако сама по себе такая модель также требует настройки доступа, контроля и правил эксплуатации.
Взаимодействие HR, IT и информационной безопасности
Кадровая служба хорошо знает процессы работы с персоналом, IT отвечает за технологическую инфраструктуру, а специалисты по информационной безопасности оценивают угрозы и организуют защитные меры. Результат зависит от согласованности этих функций.
На обсуждении участники подчеркнули, что кадровая обеспеченность, организационные процессы, правовые требования и обучение должны рассматриваться в единой системе. В частности, HR может участвовать в формировании корпоративной культуры безопасности и донесении правил до сотрудников, тогда как технические меры должны разрабатываться совместно с профильными специалистами.
Эта же логика — необходимость системного подхода к кадровым вопросам, где бизнес, образование и государство действуют вместе, — звучала и в другом материале: о том, почему молодые инженеры России стали темой обсуждения в Государственной Думе.
Во время группового обсуждения участники встречи выделили несколько направлений, которые помогают снизить риски на уровне организации.
Принцип минимально необходимого доступа
Сотрудник должен получать доступ к тем данным и системам, которые необходимы ему для выполнения должностных обязанностей. Объём доступной информации следует определять с учётом роли человека в компании.
Такой подход уменьшает вероятность случайного раскрытия сведений и ограничивает последствия возможной компрометации учётной записи.
Регламенты, понятные сотрудникам
Внутренние документы должны переводить требования законодательства и корпоративной политики в конкретные действия. Сотруднику важно понимать, какие сведения он вправе передавать, где хранить документы, какие сервисы использовать и к кому обращаться при возникновении сомнений.
Регламенты особенно важны при приёме на работу, изменении должностных обязанностей и прекращении доступа к корпоративным ресурсам.
Контроль использования цифровых инструментов
Отдельное внимание участники уделили применению искусственного интеллекта и нейросетей. Такие инструменты помогают решать рабочие задачи, однако загрузка в сторонний сервис персональных данных, внутренних документов или конфиденциальных сведений может создать дополнительные риски.
Компаниям необходимо заранее определить, какие инструменты разрешены, какие категории информации допустимо обрабатывать и какие ограничения должны соблюдать сотрудники. В отдельных случаях организации разворачивают решения внутри собственной инфраструктуры, однако сама по себе такая модель также требует настройки доступа, контроля и правил эксплуатации.
Взаимодействие HR, IT и информационной безопасности
Кадровая служба хорошо знает процессы работы с персоналом, IT отвечает за технологическую инфраструктуру, а специалисты по информационной безопасности оценивают угрозы и организуют защитные меры. Результат зависит от согласованности этих функций.
На обсуждении участники подчеркнули, что кадровая обеспеченность, организационные процессы, правовые требования и обучение должны рассматриваться в единой системе. В частности, HR может участвовать в формировании корпоративной культуры безопасности и донесении правил до сотрудников, тогда как технические меры должны разрабатываться совместно с профильными специалистами.
Эта же логика — необходимость системного подхода к кадровым вопросам, где бизнес, образование и государство действуют вместе, — звучала и в другом материале: о том, почему молодые инженеры России стали темой обсуждения в Государственной Думе.
Как выбрать специалиста по информационной безопасности для компании
Отдельная часть выступления Петра Козырева была посвящена подбору специалистов. По его наблюдениям, работодатели иногда ищут универсального эксперта, который сможет одновременно закрыть все направления информационной безопасности.
Однако задачи в этой сфере различаются. Компании могут требоваться специалисты по защите персональных данных, кибербезопасности, криптографической защите, технической защите информации или управлению системой безопасности.
Поэтому поиск стоит начинать с определения конкретной потребности бизнеса.
Первый шаг — оценить риски и обязательные требования. Организации необходимо понять, какие сведения она обрабатывает, какие системы использует и какие нормативные требования применимы к её деятельности.
Второй шаг — определить приоритетные задачи. Одной компании требуется выстроить систему защиты персональных данных, другой — усилить защиту инфраструктуры, третьей — организовать управление информационной безопасностью и координацию профильных специалистов.
Третий шаг — сформировать требования к кандидату. Только после определения задач имеет смысл составлять профиль компетенций, оценивать опыт и выбирать формат работы специалиста.
Козырев также обратил внимание на ожидания бизнеса. Появление нового сотрудника не делает компанию мгновенно защищённой. Выстраивание системы информационной безопасности требует времени, последовательного внедрения мер и участия руководства.
Практический вывод для работодателя: сначала определить задачи и уровень рисков, затем подбирать специалиста и ресурсы для их решения.
Отдельная часть выступления Петра Козырева была посвящена подбору специалистов. По его наблюдениям, работодатели иногда ищут универсального эксперта, который сможет одновременно закрыть все направления информационной безопасности.
Однако задачи в этой сфере различаются. Компании могут требоваться специалисты по защите персональных данных, кибербезопасности, криптографической защите, технической защите информации или управлению системой безопасности.
Поэтому поиск стоит начинать с определения конкретной потребности бизнеса.
Первый шаг — оценить риски и обязательные требования. Организации необходимо понять, какие сведения она обрабатывает, какие системы использует и какие нормативные требования применимы к её деятельности.
Второй шаг — определить приоритетные задачи. Одной компании требуется выстроить систему защиты персональных данных, другой — усилить защиту инфраструктуры, третьей — организовать управление информационной безопасностью и координацию профильных специалистов.
Третий шаг — сформировать требования к кандидату. Только после определения задач имеет смысл составлять профиль компетенций, оценивать опыт и выбирать формат работы специалиста.
Козырев также обратил внимание на ожидания бизнеса. Появление нового сотрудника не делает компанию мгновенно защищённой. Выстраивание системы информационной безопасности требует времени, последовательного внедрения мер и участия руководства.
Практический вывод для работодателя: сначала определить задачи и уровень рисков, затем подбирать специалиста и ресурсы для их решения.
Кейс ПСБ: как организовать защищённую работу с кадровыми данными
Практическим примером на встрече стал опыт банка ПСБ.
Практическим примером на встрече стал опыт банка ПСБ.
Виктор Викторович Гааг, начальник управления контроля эффективности департамента персонала банка, рассказал о проекте миграции кадровой системы с использованием 1С.
По его словам, проект потребовал около 92 тысяч человеко-часов. Одной из ключевых задач стала организация работы подрядчиков с данными при сохранении контроля со стороны банка.
Для тестирования и выполнения работ использовалась среда с синтетическими данными. Это позволяло подрядчикам выполнять необходимые задачи без предоставления реальных сведений о сотрудниках. Банк также сохранял контроль над собственной закрытой средой, где проверялись и устанавливались релизы.
В ходе проекта, как сообщил представитель ПСБ, задачи решались итерационно, а доступ к данным ограничивался кругом лиц, которым он был необходим для работы. Среди итогов выступления также была названа экономия порядка одного миллиарда рублей на последующей реализации проекта. Эта сумма приводилась спикером в контексте конкретного проекта и требует отдельного подтверждения, если планируется использовать её в качестве официального финансового показателя.
Кейс демонстрирует несколько принципов, применимых и за пределами банковского сектора:
При работе с кадровыми системами эти решения помогают сочетать развитие цифровых инструментов с защитой персональных данных.
Для тестирования и выполнения работ использовалась среда с синтетическими данными. Это позволяло подрядчикам выполнять необходимые задачи без предоставления реальных сведений о сотрудниках. Банк также сохранял контроль над собственной закрытой средой, где проверялись и устанавливались релизы.
В ходе проекта, как сообщил представитель ПСБ, задачи решались итерационно, а доступ к данным ограничивался кругом лиц, которым он был необходим для работы. Среди итогов выступления также была названа экономия порядка одного миллиарда рублей на последующей реализации проекта. Эта сумма приводилась спикером в контексте конкретного проекта и требует отдельного подтверждения, если планируется использовать её в качестве официального финансового показателя.
Кейс демонстрирует несколько принципов, применимых и за пределами банковского сектора:
- использование синтетических данных для разработки и тестирования;
- ограничение доступа подрядчиков к чувствительной информации;
- разделение сред разработки, тестирования и эксплуатации;
- поэтапная проверка изменений;
- контроль доступа и распределение ответственности между участниками проекта.
При работе с кадровыми системами эти решения помогают сочетать развитие цифровых инструментов с защитой персональных данных.
Информационная безопасность и деловая репутация компании
В ходе встречи участники затронули и более широкий аспект защиты информации — репутационные риски. Наталья Михайловна Горобец, заместитель директора АНО ДПО «Профи-класс», рассказала о случае, когда бывшие сотрудники копировали сайт организации и использовали её название, создавая похожий образ другой деятельности. По её словам, выявить такие действия помогли специалисты по безопасности, с которыми сотрудничала организация.
Этот пример показывает, что защита бизнеса охватывает не только техническую инфраструктуру и персональные данные. Важны также контроль использования названия компании, мониторинг возможного неправомерного представления от её имени и своевременная реакция на подобные ситуации.
Вопрос конфиденциальности особенно значим и в работе с психологическими консультациями и корпоративными кейсами. Валерия Нестерова, занимающаяся психологическим консультированием и развитием корпоративной культуры, отметила, что при разборе ситуаций в компаниях необходимо сохранять конфиденциальность данных и защищать людей, чьи истории становятся предметом обсуждения.
Для бизнеса это ещё одно подтверждение: безопасность информации тесно связана с доверием, профессиональной этикой и ответственностью за обращение с данными.
В ходе встречи участники затронули и более широкий аспект защиты информации — репутационные риски. Наталья Михайловна Горобец, заместитель директора АНО ДПО «Профи-класс», рассказала о случае, когда бывшие сотрудники копировали сайт организации и использовали её название, создавая похожий образ другой деятельности. По её словам, выявить такие действия помогли специалисты по безопасности, с которыми сотрудничала организация.
Этот пример показывает, что защита бизнеса охватывает не только техническую инфраструктуру и персональные данные. Важны также контроль использования названия компании, мониторинг возможного неправомерного представления от её имени и своевременная реакция на подобные ситуации.
Вопрос конфиденциальности особенно значим и в работе с психологическими консультациями и корпоративными кейсами. Валерия Нестерова, занимающаяся психологическим консультированием и развитием корпоративной культуры, отметила, что при разборе ситуаций в компаниях необходимо сохранять конфиденциальность данных и защищать людей, чьи истории становятся предметом обсуждения.
Для бизнеса это ещё одно подтверждение: безопасность информации тесно связана с доверием, профессиональной этикой и ответственностью за обращение с данными.
Что руководителю стоит сделать после встречи: пять практических шагов
Обсуждение в МТПП позволяет сформулировать последовательность действий для компаний, которые хотят усилить информационную безопасность при работе с персоналом.
1. Провести оценку текущих рисков. Определить, какие категории данных обрабатывает компания, где они хранятся, кто имеет к ним доступ и какие сценарии могут привести к утечке.
2. Проверить права доступа. Сопоставить доступ сотрудников с их должностными обязанностями и пересмотреть избыточные разрешения.
3. Обновить внутренние правила. Сформулировать понятные требования к работе с кадровыми документами, электронной почтой, внешними носителями и нейросетями.
4. Организовать практическое обучение. Выделить время на занятия, использовать рабочие сценарии и проверять, умеют ли сотрудники применять правила в реальных ситуациях.
5. Определить ответственность и порядок реагирования. Назначить ответственных, согласовать взаимодействие HR, IT и информационной безопасности, установить порядок сообщения об инцидентах и последующих действий.
Эти шаги помогают перевести информационную безопасность из набора разрозненных требований в управляемый процесс.
Обсуждение в МТПП позволяет сформулировать последовательность действий для компаний, которые хотят усилить информационную безопасность при работе с персоналом.
1. Провести оценку текущих рисков. Определить, какие категории данных обрабатывает компания, где они хранятся, кто имеет к ним доступ и какие сценарии могут привести к утечке.
2. Проверить права доступа. Сопоставить доступ сотрудников с их должностными обязанностями и пересмотреть избыточные разрешения.
3. Обновить внутренние правила. Сформулировать понятные требования к работе с кадровыми документами, электронной почтой, внешними носителями и нейросетями.
4. Организовать практическое обучение. Выделить время на занятия, использовать рабочие сценарии и проверять, умеют ли сотрудники применять правила в реальных ситуациях.
5. Определить ответственность и порядок реагирования. Назначить ответственных, согласовать взаимодействие HR, IT и информационной безопасности, установить порядок сообщения об инцидентах и последующих действий.
Эти шаги помогают перевести информационную безопасность из набора разрозненных требований в управляемый процесс.
Итоги встречи в Московской торгово-промышленной палате
Встреча 1 октября показала, что информационная безопасность при работе с кадрами требует комплексного подхода. Технологии, регламенты, обучение и управленческие решения дополняют друг друга. При этом устойчивость системы во многом зависит от того, насколько понятны правила сотрудникам и насколько последовательно руководство поддерживает их соблюдение.
Московская торгово-промышленная палата и РЭУ им. Г. В. Плеханова предоставили площадку для обмена опытом между экспертами и представителями бизнеса. Практические примеры и групповое обсуждение помогли рассмотреть проблему с разных сторон — от ежедневных действий сотрудников до организации крупных кадровых проектов.
Для руководителя главный ориентир — воспринимать информационную безопасность как постоянную часть управления компанией. Такая работа требует оценки рисков, распределения ответственности, обучения команды и регулярного пересмотра внутренних процессов. Именно последовательность этих действий помогает защищать данные, поддерживать доверие и сохранять устойчивость бизнеса.
De Martino Journal
Встреча 1 октября показала, что информационная безопасность при работе с кадрами требует комплексного подхода. Технологии, регламенты, обучение и управленческие решения дополняют друг друга. При этом устойчивость системы во многом зависит от того, насколько понятны правила сотрудникам и насколько последовательно руководство поддерживает их соблюдение.
Московская торгово-промышленная палата и РЭУ им. Г. В. Плеханова предоставили площадку для обмена опытом между экспертами и представителями бизнеса. Практические примеры и групповое обсуждение помогли рассмотреть проблему с разных сторон — от ежедневных действий сотрудников до организации крупных кадровых проектов.
Для руководителя главный ориентир — воспринимать информационную безопасность как постоянную часть управления компанией. Такая работа требует оценки рисков, распределения ответственности, обучения команды и регулярного пересмотра внутренних процессов. Именно последовательность этих действий помогает защищать данные, поддерживать доверие и сохранять устойчивость бизнеса.
De Martino Journal
Читайте также