Защита данных в HR системах — это не просто тема для IT, это вопрос выживания компании как организации. В 2024 году цена одного инцидента безопасности по данным исследований превышает 4 млн рублей при учёте штрафов (до 75 млн рублей по GDPR для крупных компаний), судебных издержек, восстановления репутации и потери клиентов.

Но главная ошибка, которую совершает большинство компаний — они думают, что безопасность данных это только о технологии. На самом деле это о трёх столпах: технология (шифрование, двухфакторная аутентификация), процессы (кто когда и какие данные получает) и люди (как сотрудники понимают значимость конфиденциальности). Когда один столп рушится, падает вся конструкция.

Люди ищут ответы на вопросы "как узнать, была ли утечка?", "какой сервис безопаснее — облачный или локальный?" и "как объяснить сотрудникам зачем нужна сложная аутентификация?" За каждым вопросом стоит понимание: HR держит в своих базах самые чувствительные данные о человеке — паспортные данные, номера счётов, семейное положение, здоровье (если есть медстраховка), даже детали увольнений и конфликтов.

Как определить, какие данные считаются критичными?

Критичные данные — это информация, которая попав в неправильные руки, нанесёт наибольший вред сотруднику или компании. В большинстве HR систем это: паспортные данные, номера банковских счётов, реквизиты для зарплатных переводов, номера СНИЛС и ИНН, история сокращений и конфликтов, результаты тестирования при найме (включая психологические данные), информация о болезнях и инвалидности, семейные обстоятельства и личные контакты. Если все эти данные валяются в единственном Excel файле, который отправляется в чат по запросу — это катастрофа, которая вот-вот произойдёт.

Почему традиционный Excel и облачные диски опаснее, чем кажется?

Excel выглядит удобным — все сразу видно, легко найти информацию, легко отправить. Но именно в этой простоте кроется ловушка: нет логирования, нет контроля версий, нет истории кто открывал и менял данные. А облачные диски типа Google Drive или Яндекс.Диск дают ложную безопасность — компания думает, что данные "в облаке" значит защищены. На самом деле облако хранит файлы безопасно, но ссылка которую вы отправили коллеге может попасть куда угодно.

Защита данных строится на четырёх уровнях: разграничение доступа, шифрование, мониторинг и планы восстановления после инцидентов.

Уровень 1: Разграничение доступа — это самый важный слой. Не все сотрудники должны видеть все данные. HR-специалист по найму не должен видеть зарплаты. Рекрутер не должен видеть результаты тестирования кандидатов после того как они не прошли отбор. Менеджер видит данные только своей команды. Это называется принципом "least privilege" — минимум доступа для выполнения задачи.

Уровень 2: Шифрование — это защита в пути и в покое. Когда данные передаются между сервером и компьютером, они должны быть зашифрованы (SSL/TLS протокол). Когда данные лежат в базе — они тоже должны быть зашифрованы, так чтобы даже если кто-то украдёт жёсткий диск сервера, прочитать информацию не сможет.

Уровень 3: Мониторинг и логирование — это запись всех действий. Кто открывал файл, когда, с какого компьютера, что изменил. Если данные попадают в чужие руки, у вас будет ясная картина: когда произошла утечка, какие именно данные, кто это сделал, случайно ли или намеренно.

Как выбрать между облачной HR системой и локальной базой?

Облачная система (SaaS — Software as a Service) типа Successfactors, BambooHR или отечественных аналогов управления людьми в облаке — это означает, что данные хранятся на серверах провайдера. Плюс: провайдер отвечает за физическую безопасность, регулярно обновляет системы безопасности, проходит сертификацию ISO 27001. Минус: вы зависите от надёжности провайдера, от его политики приватности, от того, где физически лежат серверы (могут быть в США, где американский закон может требовать доступа к данным).

Локальная база (on-premise) — данные хранятся на серверах компании. Плюс: полный контроль над данными, не зависите от облачного провайдера, можете сами выбрать уровень защиты. Минус: вы отвечаете за физическую безопасность серверов, обновления безопасности, резервные копии, готовность к сбоям. Требует более высоких расходов и квалифицированного IT-специалиста.

Лучший вариант для большинства компаний — гибридный: HR система в облаке с проверенным провайдером (чтобы не тратить ресурсы на IT инфраструктуру), но договор выбирается с пунктом о том, где физически лежат данные, и с правом периодического аудита безопасности.

Какие процессы должны быть в месте с системой?

Система сама по себе ничего не защищает без процессов. Нужна политика доступа (кому и какие данные доступны), политика паролей (сложные пароли, смена каждые 3 месяца, отсутствие общих паролей), политика использования (сотрудники подписывают соглашение о конфиденциальности), политика увольнения (при расторжении контракта сразу же отключается доступ, удаляются все копии данных на личных компьютерах).

Сегодня очень многие HR-отделы всё ещё работают с Excel, Google Sheets или Яндекс.Таблицами. Нужный файл лежит в чате (видят все), или отправляется по почте (может быть перехвачена), или лежит на личном компьютере сотрудника (если он уходит в отпуск или увольняется, данные теряются). Никакой истории кто и когда смотрел данные, никакой защиты от случайного удаления, никакого логирования.

Вместо этого компания подключает HR Analytics Platform (например, на базе платформы управления персоналом) — это система, которая автоматически: собирает данные из зарплатной системы, ATS (система управления кандидатами), учёта рабочего времени, медицинской страховки; создаёт единое хранилище данных с разграничением доступа (каждый видит только то, что ему нужно); логирует все действия (кто открывал какой отчёт, когда и с какого IP-адреса); создаёт шифрованные резервные копии каждый день; отправляет уведомления если кто-то пытается скачать "странно много" данных за раз (признак утечки).

Вторая необходимая система — это HR Security Gateway или же встроенные функции в существующей HRIS. Это система, которая: требует двухфакторную аутентификацию (пароль + код из телефона или биометрия); ограничивает доступ по времени (данные доступны только в рабочие часы, если не специальный запрос); блокирует скачивание данных на личные устройства без шифрования; следит за аномалиями (если обычно сотрудник смотрит на 10 сотрудников а сегодня запросил данные по 500 — это красный флаг).

Когда данные автоматизированы, HR-команда тратит меньше времени на ручные экспорты, получает лучший контроль, и риск утечки падает на порядки.

Коэффициент добровольной текучести показывает, сколько сотрудников уходят из компании добровольно. Если после инцидента безопасности (или наоборот, если компания известна как защищающая данные) текучесть меняется — это значит, что люди заметили и отреагировали. Здоровая текучесть для большинства отраслей 10-15% в год. Если после известного инцидента безопасности она подскочила на 20-25% — это сигнал, что сотрудники потеряли доверие.

Время реакции на инцидент безопасности — это показатель готовности. Если в компании произошла утечка, как быстро это обнаружили, сообщили сотрудникам и начали расследование? Для крупных компаний норма — не позже 24 часов. Если вы реагируете за неделю или месяц, это сигнал, что система мониторинга не работает или отсутствует.

Количество инцидентов безопасности в год — это целевой показатель, который должен быть близок к нулю для критичных данных. Если раз в полгода "случайно" утекают контакты или зарплаты — это не норма, это сигнал системной проблемы.

Стоимость одного инцидента — это сумма штрафов, судебных издержек, восстановления репутации и ухода клиентов. Для компании из 500 человек одна утечка может стоить от 500 тысяч до 5 млн рублей в зависимости от масштаба. Это позволяет обосновать инвестиции в защиту данных перед CFO: "мы потратили 200 тысяч на систему шифрования, чтобы избежать потерь в миллионы".

Ошибка первая: "у нас маленькая компания, нас вряд ли взломают". Это самое опасное заблуждение. Мошенники и киберпреступники часто выбирают именно малые и средние компании, потому что там слабее защита. Большие компании вкладывают в IT security команды, а малые думают "зачем нам", и превращаются в лёгкую мишень. Кроме того, даже если вас не взломают, но вы потеряете данные из-за банального сбоя диска на сервере — это уже инцидент, за который можно получить штраф от надзорных органов.

Ошибка вторая: "мы защищены потому что используем облачный сервис". Облачный сервис защищает инфраструктуру, но не гарантирует, что ваши пароли не утекут, что ссылка на данные не будет передана кому-то, или что случайно неправильно выставленные права доступа не дадут читать файл всем. Облако — это только часть решения. Нужно ещё контролировать кто имеет доступ, требовать двухфакторную аутентификацию, обучать сотрудников не отправлять данные в чаты.

Ошибка третья: "безопасность это забота IT-отдела, к HR это не относится". На самом деле большинство утечек происходит не из-за технических взломов, а из-за человеческого фактора: сотрудник отправил данные по ошибке, забыл заблокировать экран, использовал простой пароль, скачал данные "чтобы работать из дома" и потерял ноутбук. HR-отдел должен быть активным участником защиты данных: проводить обучение по безопасности, следить за политиками конфиденциальности, включать пункты о защите данных в контракты.

Безопасность данных в HR системах — это не опция, это необходимость. Компании которые считают данные сотрудников ценным активом (а не просто рутинной информацией) получают три преимущества: снижают риск штрафов и судебных издержек, повышают доверие команды (сотрудники видят что компания защищает их персональную информацию), и улучшают репутацию на рынке труда.

Начинать можно с малого: аудит существующих систем (где лежат данные, кто имеет доступ), внедрение политик доступа (разные люди видят разные данные), обучение сотрудников (почему нельзя отправлять данные в чаты) и переход на защищённую систему для хранения. Если компания не уверена в своих силах или сложность архитектуры высока, профессионалы hh-shka.ru могут провести аудит безопасности данных, помочь выбрать подходящую HRIS с нужным уровнем защиты и настроить процессы, чтобы данные сотрудников были защищены по лучшим стандартам индустрии.