Утечка информации в компании: как полиграф помогает найти источник

Клиентская база ушла к конкуренту за неделю до того, как вы сами вывели её на рынок. Условия тендера стали известны второй стороне ещё до подачи заявки. Внутренний отчёт о финансовых показателях внезапно обсуждается в чате, к которому у вас нет доступа. Знакомая ситуация — и почти всегда за ней стоит один и тот же вопрос: кто из своих это сделал. Тема «полиграф утечка информации» — одна из тех, с которой руководители обращаются ко мне чаще всего, когда технических улик нет, а найти виновного нужно быстро.

Служба безопасности может отследить, кто открывал файл или пересылал письмо, но это редко доказывает факт намеренной передачи информации наружу. Скриншот с телефона, устная передача на встрече вне офиса, пересказ содержимого другу — всё это не оставляет цифрового следа. Внутреннее расследование методом опроса тоже даёт немного: виновный отрицает, а невиновные, опасаясь подозрений, начинают путаться и нервничать не меньше него.

За годы практики я не раз видел, как компания месяцами перебирает логи и переписку, а в итоге источник утечки находится за один день проверки на полиграфе — просто потому, что метод работает не с документами, а с человеком, который знает правду и не может скрыть реакцию на прямой вопрос.

Был случай, когда IT-компания три недели проверяла логи VPN и историю доступа к репозиторию, подозревая утечку исходного кода к конкурентам. Ничего не нашли — потому что файл был сфотографирован с экрана на личный телефон, а не скопирован. Один день тестирования пяти разработчиков с доступом к проекту дал результат, который три недели цифровой криминалистики дать не смогли.

Расследование утечки информации на полиграфе строится иначе, чем обычная проверка при приёме на работу. Сначала мы вместе с заказчиком формируем список сотрудников, у которых объективно был доступ к утекшим данным — это может быть два человека, а может быть пятнадцать. Каждый проходит тест по одинаковому протоколу, с одинаковыми вопросами, в одинаковых условиях — это принципиально: сравнение результатов должно быть корректным.

Вопросы формулируются предельно конкретно: передавал ли человек лично или через посредника определённый документ, файл или сведения третьим лицам, знает ли он, кто это сделал, получал ли за это вознаграждение. Размытые формулировки вроде «вы лояльны компании?» в такой проверке бесполезны — тест должен опираться на конкретный факт утечки, а не на общие рассуждения о доверии.

Прежде чем звонить полиграфологу, стоит максимально чётко определить сам факт утечки: что именно ушло, когда это стало известно и кто теоретически имел доступ. Чем точнее очерчен круг подозреваемых и чем конкретнее сформулирован предмет утечки, тем короче и результативнее будет расследование. Это похоже на ситуацию с хищением на складе: там тоже важно сначала сузить круг до тех, кто физически мог совершить действие, а уже потом проверять каждого.

Отдельно советую заранее решить, что компания будет делать с результатом. Если цель — просто выявить источник и уволить виновного, это один сценарий. Если задача — понять масштаб ущерба и, возможно, обратиться в суд, потребуется более формальное оформление всей процедуры и заключения.

Полезно заранее продумать и то, как объявить сотрудникам о предстоящей проверке. Формулировка «мы выясняем, кто виноват» настраивает коллектив против самой процедуры ещё до её начала. Более рабочий вариант — представить проверку как часть стандартного внутреннего расследования инцидента, в котором участвуют все, кто имел доступ, без указания на конкретных подозреваемых.

Проверка на полиграфе в Украине проводится только на добровольной основе — принуждать сотрудника нельзя, а отказ от прохождения теста сам по себе не может считаться доказательством вины, хотя на практике он, конечно, добавляет вопросов. Подробнее о том, какими правами обладают участники такой проверки, я писал в статье о правах и обязанностях сторон.

Результат теста на полиграфе — это не приговор и не единственное основание для увольнения по статье, а инструмент, который помогает руководству понять, куда двигаться дальше: разговаривать с конкретным человеком, привлекать юристов или пересматривать саму систему доступа к чувствительной информации.