Wykorzystanie portali społecznościowych w firmach

W momencie pojawienia się pierwszych portali społecznościowych takich, jak MySpace i Facebook wiele firm postrzegało je jako element rozpraszający pracowników i zdecydowało się na ich zablokowanie. Jednak wraz z pojawieniem się innych platform, jak np. Twitter czy Blip, firmy zaczęły dostrzegać potencjał kryjący się w możliwości wykorzystania serwisów tego typu do celów biznesowych. Portale społecznościowe, ze stron umożliwiających komunikację między najbliższymi znajomymi, przeobraziły się w media służące do masowej komunikacji, zrzeszające miliony użytkowników na całym świecie. Obecnie wiele firm postrzega strony takie, jak Twitter czy Facebook, jako cenny kanał komunikacji wewnętrznej lub marketingowej. Portale społecznościowe to jednak nie tylko ogromne możliwości, to także zagrożenia.

Wraz z pojawieniem się uzasadnionych biznesowo powodów do korzystania z portali społecznościowych, polityka zakładająca ich całkowite blokowanie przestała mieć rację bytu. Amerykańska firma doradcza Gartner Inc. przewiduje, że do 2014 roku media społecznościowe stanowić będą podstawowe narzędzie komunikacji w 20% firm. Zdaniem ekspertów z Gartner Inc., do 2012 roku ponad 50% przedsiębiorstw zacznie korzystać z mikroblogów, jako dodatkowego źródła komunikacji wewnętrznej.

Mimo, że narzędzia te mogą spełniać ważne funkcje biznesowe, firmy - mając na względzie swoje bezpieczeństwo - powinny monitorować sposób ich wykorzystywania przez pracowników. Eksperci do spraw bezpieczeństwa ostrzegają przed zagrożeniami związanymi z ujawnianiem osobistych informacji na portalach społecznościowych. Użytkownicy mogą tam zamieszczać szczegółowe dane osobiste, na przykład panieńskie nazwisko matki, które bezpieczne strony często wykorzystują jako pytania pomocnicze przy odzyskiwaniu hasła.

„Ludzie udostępniają informacje o sobie w Internecie bez zastanowienia – czasem publikują w sieci informacje, które nie powinny się tam znaleźć. Obserwujemy gwałtowny rozwój technologii umożliwiających dzielenie się informacjami przy jednoczesnym braku wystarczającej edukacji na temat tego, jakim rodzajem informacji powinno się dzielić" – stwierdza Herbert Thompson, profesor Wydziału Informatyki Uniwersytetu Columbia.

Zupełne zablokowanie portali społecznościowych z pewnością nie jest najlepszym rozwiązaniem, ale firmy powinny rozważyć opracowanie i wdrożenie regulaminu określającego, jak należy z nich korzystać, zwłaszcza w odniesieniu do działalności przedsiębiorstwa.
Wyniki badań przeprowadzonych niedawno przez IESE Business School z Hiszpanii, E. Philipa Saundersa, College of Business przy Rochester Institute of Technology w USA oraz brytyjskiej Henley Business School pokazały, że sześć na siedem firm nie posiada oficjalnej polityki korzystania z portali społecznościowych w ramach przedsiębiorstwa.

„Ignorowanie rosnącej popularności portali społecznościowych oraz narzędzi Web 2.0 wystawia firmy na ryzyko nadużyć mogących prowadzić do ujawnienia wrażliwych informacji lub kreowania niewłaściwego wizerunku przedsiębiorstwa" – mówi dr Evgeny Kaganer, kierownik zespołu badawczego i docent w hiszpańskiej IESE Business School.

Zdaniem Rogera Thompsona, głównego specjalisty ds. badań w AVG Technologies, obok opracowania polityki korzystania z platform społecznościowych, szefowie powinni zapoznać personel z szeregiem prostych zasad, pozwalających na zminimalizowanie ryzyka niekontrolowanego wycieku danych z przedsiębiorstwa.

„To właśnie przyjazność tych portali dla użytkownika sprawia, że są one tak niebezpieczne. Sam fakt, że znajomi danej osoby znają jej prywatne dane takie, jak adres, data urodzin czy panieńskie nazwisko matki, niekoniecznie musi rodzić poczucie zagrożenia. Jednak w sytuacji, gdy cyberprzestępcy uda się włamać na konto użytkownika lub jednego z jego znajomych, on również pozna te informacje i istnieje wielkie prawdopodobieństwo, że wykorzysta je do swoich celów" – mówi Roger Thompson, główny specjalista ds. badań w AVG Technologies.

Zdaniem Rogera Thompsona w przypadku korzystania z portali społecznościowych najskuteczniejsze okazują się najprostsze rozwiązania takie, jak tworzenie unikalnych haseł dla każdej strony, które równocześnie różnią się od zabezpieczeń stosowanych przy logowaniu się do systemów firmy. Dobrą wskazówką jest również zachowanie ostrożności w stosunku do tego, z kim utrzymują kontakt pracownicy oraz z jakich aplikacji korzystają.

„Stara zasada ostrożności względem nieznajomych doskonale sprawdza się w przypadku portali społecznościowych" – mówi Roger Thompson, główny specjalista ds. badań w AVG Technologies. „Pracodawca powinien również zwracać uwagę na to, jakie aplikacje zgadza się zainstalować na służbowych komputerach. Jest wiele osób, które tworzą fałszywe aplikacje do serwisów społecznościowych, mające w istocie na celu przejęcie kontroli nad profilem użytkownika lub zainfekowanie jego komputera" – dodaje.

Prawne konsekwencje wycieku danych

Odpowiedź na pytanie, jakie skutki prawne mogą dotknąć firmy, które ucierpiały na wskutek ujawnienia lub wycieku danych, zależy od szeregu czynników, m.in. charakteru tych danych oraz miejsca, gdzie wydarzył się ten incydent. Oczywiście każdy wyciek danych w przypadku ujawnienia może przynieść firmie negatywny rozgłos, jednak w kontekście konkretnych kroków prawnych najcięższe konsekwencje wiążą się z utratą danych pochodzących od stron trzecich.

Za przykład mogą posłużyć tu Stany Zjednoczone, gdzie Kalifornia, jako pierwszy stan uchwaliła w 2003 r. prawo nakładające na firmy obowiązek informowania swoich klientów o przypadkach wycieku danych. Od tego czasu 44 kolejne stany przyjęły podobne przepisy. Także rząd federalny prowadzi pracę nad podobną ustawą – H.R. 2221 Data Accountability and Trust Act (DATA) – jednak nie została ona jeszcze uchwalona. Prawo to zobowiązywać będzie przedsiębiorstwa, niezależnie od tego w którym ze stanów prowadzą działalność, do ujawniania takich sytuacji każdemu, „kto jest obywatelem lub mieszkańcem Stanów Zjednoczonych, i którego dane zostały przejęte przez osobę nieupoważnioną w wyniku naruszenia zasad bezpieczeństwa”, a daną firmę dodatkowo do poinformowania Federalnej Komisji Handlu. Chociaż nie jest jeszcze jasne, jaką ostateczną formę przyjmie to prawo, przedsiębiorstwa decydujące się na szyfrowanie swoich danych mogą liczyć na łagodniejsze traktowanie i brak obowiązku powiadamiania wszystkich zainteresowanych, jeżeli będą w stanie udowodnić, że gromadzone przez nie dane są chronione i niemożliwe do rozszyfrowania.

Również Wielka Brytania planuje zaostrzenie przepisów dotyczących ochrony wrażliwych danych. Biuro Komisarza ds. Informacji, którego zadaniem jest ochrona danych w Wielkiej Brytanii, stopniowo, wraz z kolejnymi przypadkami naruszenia bezpieczeństwa w kręgach rządowych, zyskiwało coraz szersze uprawnienia. Począwszy od kwietnia 2010 r. urząd ten będzie posiadał możliwość karania firm grzywnami sięgającymi 500.000 GBP w przypadku odkrycia przypadków niedostatecznej ochrony danych klientów.

Groźba wycieku danych to problem dotykający w zasadzie wszystkie firmy. Wiele firm – szczególnie tych niewielkich, nadal nie posiada wystarczających środków, które mogłyby przeznaczyć na bezpieczeństwo systemów informatycznych. Wyniki przeprowadzonego w 2009 r. badania amerykańskiej instytucji National Cyber Security Alliance pokazały, że 86% ankietowanych małych firm nie posiadało pracownika, którego wyłącznym zadaniem jest zarządzenie bezpieczeństwem sieci informatycznych, a jedynie 28% z nich przyznało się do posiadania jakiegokolwiek rodzaju oficjalnej polityki bezpieczeństwa informatycznego. Badanie pokazało również, że 66% firm pozwala na korzystanie z firmowych palmtopów i komputerów zawierających informacje wrażliwe poza swoją siedzibą. (http://www.staysafeonline.org/content/2009-smb-security-study)
Wraz z rozwojem zorganizowanych form przestępczości internetowej, firmy zmuszone są kłaść szczególny nacisk na procedury bezpieczeństwa informacji. Groźba wycieku cennych danych spędza sen z powiek szefom wielu firm. Media społecznościowe oferują firmom ogromne możliwości – dzięki swej interaktywności, stanowią doskonały kanał dotarcia do kluczowych dla przedsiębiorstwa grup klientów. Z drugiej jednak strony, brak racjonalnej polityki firmy w odniesieniu do korzystania przez pracowników z portali społecznościowych i Internetu w ogóle, może ją wiele kosztować – zarówno jeśli chodzi o kwestie wizerunkowe, jak i te związane z niekontrolowanym wyciekiem cennych firmowych danych.