Что делать, если сотрудники регистрируются в личных сервисах через рабочую почту?

Эксперты рекомендуют разделить личное и рабочее использование адресов, объяснить правила сотрудникам и проверять сведения о компрометации корпоративной почты.

Civius, юридическая компания Алексей Дубровин, юрист; правовая позиция на 2024-03-01

Короткий ответ

Стоит установить понятные правила использования рабочей почты и объяснить их сотрудникам. В разборе марта 2024 года эксперты рекомендовали разделять служебные и личные регистрации, проводить обучение и проверять, не появились ли адреса компании в сведениях об утечках.

Это рекомендации по снижению риска. Из них не следует установленная для любой компании обязанность непрерывно просматривать все базы утечек.

В чём проблема с бытовыми регистрациями

Если человек использует рабочий адрес в магазине, развлекательном приложении или другом личном сервисе, сведения об этом адресе могут оказаться среди утёкших данных. Такая компрометация не обязательно означает взлом самой корпоративной почты.

Но посторонний получает дополнительную информацию для обращений к сотруднику. Она может использоваться для фишинга, особенно когда письмо выглядит связанным с привычным человеку сервисом.

Отдельный вопрос – повторное использование паролей. Нельзя по одному адресу заключать, что корпоративный пароль раскрыт, но обстоятельства требуют проверки, а не автоматического успокоения или обвинения сотрудника.

Как организовать работу

Сначала опишите, для каких регистраций разрешён рабочий адрес и как действовать, если он уже использован в личных сервисах. Важно, чтобы человек понимал правило до возникновения проблемы.

Обучение полезно строить на конкретных письмах и действиях: как проверить отправителя, куда сообщить о подозрительном запросе и почему нельзя передавать код из сообщения.

При обнаружении адреса в информации об утечке нужно установить, какие именно сведения затронуты, и соотнести реакцию с реальным риском. Статья 19 Закона № 152-ФЗ задаёт общую обязанность обеспечивать безопасность данных. Она не превращает каждую названную экспертами организационную меру в единственный обязательный способ её исполнения.

Если нужно применить ответ к Вашей ситуации или документам, Подготовить кадровые документы и локальные акты: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.