Niedawny incydent w jednej z polskich firm szkoleniowych obnaża ryzyka związane z zarządzaniem uprawnieniami w działach obsługi klienta. Jak wynika z informacji serwisu CyberDefence24, wieloletni kierownik placówki celowo wytransferował bazę danych klientów, co wykorzystał do zbudowania własnej, konkurencyjnej działalności. Przypadek ten stanowi istotne ostrzeżenie dla managerów odpowiedzialnych za bezpieczeństwo procesów Customer Experience.
Mechanizm nadużycia uprawnień
Incydent, o którym informuje CyberDefence24, opierał się na wykorzystaniu szerokich dostępów, jakie sprawca posiadał z racji pełnionej funkcji kierowniczej. Dane, do których miał legalny wgląd w ramach codziennych obowiązków, zostały wykorzystane przeciwko interesom pracodawcy. Kluczowym elementem sabotażu było pobranie pełnej bazy kontaktowej kontrahentów, co umożliwiło byłemu pracownikowi natychmiastowe podjęcie działań sprzedażowych pod szyldem nowej firmy.
Z perspektywy managera Customer Care sytuacja ta wskazuje na słabość systemów opartych wyłącznie na zaufaniu, a nie na technicznej weryfikacji przepływu informacji. Brak systemów monitorujących masowe pobieranie rekordów umożliwił sprawcy wyniesienie najcenniejszych zasobów przedsiębiorstwa bez natychmiastowej reakcji działu IT czy bezpieczeństwa.
Skutki prawne i operacyjne
Sprawa trafiła do prokuratury po tym, jak firma odnotowała przejmowanie dotychczasowych klientów przez nowo powstały podmiot. Byłemu kierownikowi postawiono zarzuty dotyczące kradzieży tajemnicy przedsiębiorstwa oraz naruszenia integralności danych. Poza stratami finansowymi wynikającymi z odpływu kontrahentów, organizacja mierzy się z ryzykiem reputacyjnym oraz potencjalnymi karami za naruszenie przepisów RODO.
Rekomendacje dla kadry zarządzającej
Zdarzenie to potwierdza, że zagrożenie wewnętrzne (insider threat) pozostaje jednym z najtrudniejszych do wykrycia wektorów ataku. W działach obsługi klienta niezbędne jest wdrożenie rygorystycznej polityki zarządzania dostępem. Kluczowe kroki to stosowanie zasady minimalnych uprawnień (Least Privilege) oraz wdrożenie rozwiązań klasy DLP (Data Loss Prevention), które automatycznie blokują próby eksportu dużych wolumenów danych przez pracowników.
Źródło: CyberDefence24, Opr. wł.