Мессенджеры превратились в ключевой канал деловой коммуникации, ускоряя обмен информацией и упрощая взаимодействие с коллегами или клиентами. Однако отсутствие надёжной защиты может превратить их в источник серьёзных рисков для бизнеса. Учёт требований служб ИБ позволит уменьшить эти риски.
- Введение
- Реальные угрозы в некорпоративных мессенджерах
- Требования ИБ-служб к корпоративным мессенджерам
- Выводы
Введение
Рабочее общение, звонки и обмен документами по большей части перекочевали в мессенджеры. Удобство и скорость сделали такие программы неотъемлемой частью повседневной работы, почти наравне с электронной почтой и офисными платформами.
Российские исследования подтверждают растущую роль мессенджеров в бизнесе. Например, в 2024 году исследование Pact, проведённое совместно с агентством «Дела PR», показало, что активное использование мессенджеров заметно улучшило процесс переговоров: 63,2 % компаний отметили, что стало проще общаться с клиентами, 57,5 % — что повысилось качество обратной связи, а 45,2 % — что клиенты стали отвечать быстрее и чаще.
Рисунок 1. Влияние мессенджеров на переговоры согласно исследованию Pact и «Дела PR»
В маркетинговом контексте ценится высокая открываемость сообщений в мессенджерах. Согласно различным исследованиям, она составляет 70–80 %, а в ряде источников достигает 90 %, что делает мессенджеры одним из наиболее эффективных каналов коммуникации с клиентами и партнёрами.
Но здесь есть и обратная сторона: использование мессенджеров в бизнесе несёт риски. Это и утечки данных, и социальная инженерия, и отсутствие централизованного контроля. Участились случаи, когда мошенники после взлома личного аккаунта одного из сотрудников получали доступ к внутренней переписке компании. Отсюда следует, что корпоративный мессенджер уже является обязательным элементом системы безопасности. Переход на него — не вопрос удобства, а необходимость для бизнеса в любой сфере.
Поэтому для обеспечения информационной безопасности критически важно выбирать решения, которые не только обеспечивают удобство и функциональность, но и соответствуют высоким стандартам защиты данных и законодательным требованиям, а также минимизируют риски кибератак и правовых последствий.
Реальные угрозы в некорпоративных мессенджерах
Привычка использовать обычные мессенджеры, равно как и необоснованные опасения по поводу возможных сложностей внедрения нового корпоративного продукта, часто мешают организациям перейти на безопасное решение. На практике это приводит к тому, что компании продолжают хранить рабочую информацию в сторонних сервисах, подвергая данные риску утечки и несанкционированного доступа. Этот риск совершенно не иллюзорен: по статистике, 77 % пользователей мессенджеров сталкивались с мошенничеством.
Рассмотрим несколько примеров, когда недостаточный контроль коммуникаций приводил к самым разным инцидентам.
В 2022 году в даркнете продавали номера телефонов 500 млн пользователей из 84 стран, полученные из популярного мессенджера. В Cybernews предположили, что для сбора данных хакеры использовали скрейпинг — автоматизированное извлечение целевой информации из веб-страниц. Из последних новостей — недавно в Сеть слили 16 млрд записей с учётными данными, где некоторые фрагменты базы названы по имени одного из распространённых повседневных мессенджеров (прямой намёк на то, откуда эти данные получены).
Фишинг как вид киберпреступности, направленный на похищение личных данных, также остаётся актуальной угрозой: звонки от имени крупных банков, сообщения от поддельных аккаунтов коллег, ложные сообщения от служб безопасности и многое другое. Каждый раз злоумышленники придумывают новые виды и сценарии фишинг-атак в мессенджерах.
Как правило, большинство мессенджеров, созданных для широкой аудитории, предоставляют базовый набор функций, который не может в полной мере соответствовать потребностям бизнеса в части безопасности. При их использовании в рабочих целях компания не сможет обеспечить нужный уровень защищённости и быть уверенной в сохранности корпоративных данных. Это затруднит соблюдение внутренних стандартов информационной безопасности, включая управление доступом, аудит коммуникаций и многое другое.
Требования ИБ-служб к корпоративным мессенджерам
Корпоративные мессенджеры перестали быть просто средствами обмена сообщениями и превратились в полноценные экосистемы для управления проектами, автоматизации задач и анализа продуктивности сотрудников. Например, VK WorkSpace включает в себя корпоративную почту с календарём, адресной книгой, видеоконференции, задачи, облачное хранилище со встроенным редактором документов.
В отличие от обычных мессенджеров, корпоративные разработаны специально для бизнеса. В связи с этим значение приобретают требования, которые предъявляют ИБ-службы к таким платформам.
Контроль и управление доступом
Корпоративный мессенджер должен обеспечивать централизованное администрирование, позволяя точно определять, кто может создавать группы, пересылать файлы, приглашать внешних участников и другое. Это позволит контролировать учётные записи и исключить ситуации, когда бывшие сотрудники продолжают просматривать корпоративные чаты. Такое часто случается в публичных мессенджерах, где удаление пользователей из рабочих групп требует ручного вмешательства администратора.
Интеграция с системами управления событиями (SIEM) и предотвращения утечек (DLP) необходима, чтобы фиксировать инциденты и контролировать соблюдение корпоративных политик. Она поможет своевременно выявить и заблокировать потенциальные угрозы внутри организации.
Согласно требованиям законодательства РФ, мессенджер должен хранить все данные на территории России, быть включённым в реестр отечественного программного обеспечения и соответствовать требованиям Федерального закона № 152-ФЗ «О персональных данных». Это станет гарантией, что информация сотрудников и корпоративная переписка остаются под юрисдикцией России, снижая риски утечки данных за пределы страны.
Разграничение рабочих и личных коммуникаций
Корпоративный мессенджер разграничивает личную и рабочую жизнь, создавая отдельный «рабочий контур», в котором хранится исключительно бизнес-информация. Такая экосистема позволяет сотрудникам сосредоточить внимание на рабочих задачах, не отвлекаясь на информационный шум в публичных мессенджерах, где у каждого полно личных переписок и новостных или развлекательных каналов.
Когда рабочее общение перемешано с повседневным, повышается риск утечки конфиденциальной информации через случайную пересылку. Использование слабых паролей на личных аккаунтах создаёт дополнительные угрозы: доступ к рабочим сообщениям может получить посторонний человек, если пароль легко подобрать или он используется повторно на нескольких сервисах.
Функциональность и удобство
Чем удобнее решение, тем выше вероятность, что сотрудники будут использовать именно его, а не сторонние небезопасные варианты. Поэтому корпоративный мессенджер должен включать в себя следующие функции:
- Аудио- и видеозвонки, конференции, рассчитанные на большое число пользователей без ограничений по времени, с возможностью приглашать по ссылке участников не только из контура компании. Адаптация под нестабильный канал связи, шумоподавление и другие технологии улучшат качество созвонов.
- Расширенные функции мессенджеров — чаты, каналы, группы, ветки обсуждений, голосовые сообщения с расшифровкой, реакции и прочее — повысят эффективность взаимодействия сотрудников, упростят обмен информацией и позволят структурировать обсуждения, делая коммуникацию более прозрачной и управляемой.
- Кросс-платформенность — возможность работать на разных устройствах и операционных системах (настольные компьютеры, смартфоны, планшеты, ноутбуки). Это будет гарантировать доступ к корпоративной переписке в любое время и в любом месте, что упростит взаимодействие между сотрудниками.
Функции интеграции, синхронизации позволяют быстро подключать внешние системы и сервисы, расширяя функциональность мессенджера под задачи конкретной организации.
Варианты развёртывания и миграция
Для корпоративного мессенджера является важным аспектом наличие разных вариантов развёртывания: как услуга (SaaS) или локально (on-premise). Это позволит ИБ-службе соотнести уровень контроля над данными и требования регуляторов с возможностями инфраструктуры: SaaS обеспечит быстрый доступ и масштабирование, а on-premise даст полный контроль над средой и хранимой информацией.
Наличие возможности миграции позволит перенести существующие данные, чаты и другое из ранее используемых сервисов в новый корпоративный мессенджер. Это упростит переход на безопасное решение без потери истории коммуникаций и обеспечит непрерывность рабочих процессов.
Выводы
Современный корпоративный мессенджер представляет собой защищённую среду для коммуникаций, которая помимо базовых функций обмена сообщениями и звонков даёт расширенные возможности: почту и календарь, работу с документами, интеграцию с механизмами информационной безопасности и другое. Также он обеспечивает повышенную защищённость: шифрование, контроль доступа, разграничение рабочих и личных чатов, локализация данных внутри страны. Это позволяет ему соответствовать и внешним требованиям (законодательство и стандарты), и внутренним (служба ИБ).
Некоторые из таких коммуникационных систем имеют более узкую специализацию, другие более универсальны. Например, платформу VK WorkSpace аналитики Anti-Malware.ru упоминали сразу в нескольких разных обзорах рынков: это и система видео-конференц-связи на 500 участников без ограничений по времени, и почтовый сервер, и, естественно, корпоративный мессенджер для совместной работы команд с защищёнными чатами и звонками, хранением данных в РФ, а также с программными интеграциями, которые дают возможность поддерживать продуктивность и минимизировать риски утечек.
