Prezentowanie poufnych treści: ochrona danych na posiedzeniach zarządu

Materiały dla zarządu to jeden z najbardziej wrażliwych dokumentów, jakie tworzy większość organizacji: nieopublikowane wyniki finansowe, rozmowy o przejęciach, plany restrukturyzacji, czyli informacje, które po przedwczesnym wycieku mogą poruszyć rynkami albo zaważyć na czyjejś karierze. A jednak narzędzie używane do ich prezentowania często podlega mniejszej kontroli niż narzędzie do rezerwacji sali konferencyjnej. Ochrona danych na posiedzeniach zarządu zasługuje na taką samą rygorystyczność jak same liczby, a zaczyna się od pytania, którego większość osób nigdy nie zadaje: dokąd właściwie trafia prezentacja, gdy klikniesz „Prezentuj”?

To praktyczny przewodnik po tym pytaniu, napisany dla osób, które muszą na nie odpowiedzieć przed kolejnym posiedzeniem zarządu, a nie dopiero wtedy, gdy coś pójdzie nie tak.

Pytanie, którego nikt nie zadaje, dopóki nie jest za późno

Większość narzędzi do prezentacji i udostępniania ekranu przesyła Twoje treści na jakiś serwer, zanim wyświetli je widzom. Nie musi to wynikać ze złych intencji, często to po prostu najprostszy sposób na zbudowanie funkcji udostępniania ekranu, ale oznacza, że Twoja prezentacja dla zarządu leży na infrastrukturze, której nie kontrolujesz, tak długo, jak przewiduje polityka przechowywania danych dostawcy.

W przypadku większości prezentacji to ryzyko, nad którym da się zapanować. W przypadku materiałów dla zarządu, rozmów o fuzjach i przejęciach albo nieopublikowanych wyników warto zapytać wprost: czy to narzędzie kiedykolwiek przechowuje nasze treści, a jeśli tak, to gdzie i jak długo? Odpowiedź przesądza o tym, czy Twoja ekspozycja kończy się wraz z końcem spotkania, czy po cichu trwa na czyimś serwerze długo po tym, jak wszyscy zamknęli laptopy.

Co tak naprawdę oznacza „nigdy nie opuszcza Twojego urządzenia”

Najsilniejsza odpowiedź na to pytanie wynika z architektury, a nie z procedur: treść, która nigdy nie zostaje przesłana, nie może zostać ujawniona w wyniku naruszenia bezpieczeństwa narzędzia do prezentacji, i kropka. Właśnie w tym modelu działa aplikacja desktopowa Cliqer. Aplikacja steruje Twoim oprogramowaniem do prezentacji (PowerPoint, Keynote, Google Slides i innymi) bezpośrednio na komputerze, który wyświetla slajdy. Polecenia przełączania slajdów, pozycje wskaźnika oraz ewentualny strumień ekranu lub kamery przesyłane są przez szyfrowane połączenie WebRTC bezpośrednio między uczestnikami, a w restrykcyjnych sieciach przez szyfrowany przekaźnik. Same slajdy nigdy nie są przesyłane na serwer.

Tę różnicę warto wyraźnie wyjaśnić zarządowi lub działowi prawnemu: nie chodzi o to, że treść jest szyfrowana podczas przechowywania, tylko o to, że w ogóle nie istnieje przechowywana kopia, którą trzeba by szyfrować.

Co jednak jest przesyłane i jak jest chronione

Nic nie jest prezentowane w próżni. Część danych przepływa między warstwą koordynacji pokoju a uczestnikami i warto dokładnie wiedzieć, jakie to dane:

Pełne zestawienie, przygotowane specjalnie na potrzeby przeglądu bezpieczeństwa, znajdziesz w diagramie przepływu danych, który pokazuje też, co jest przesyłane tylko tymczasowo, a co jest przechowywane.

Kontrola nad tym, kto jest w pokoju

Ochrona treści to tylko połowa zadania. Druga połowa to dopilnowanie, by w pokoju w ogóle znajdowały się właściwe osoby i tylko właściwe osoby.

• Dostęp wyłącznie na zaproszenie. Do pokoju dołącza się przez konkretny link lub kod, a nie z publicznej listy.
• Host widzi każdego uczestnika i może usunąć lub zablokować dowolną osobę w trakcie sesji.
• W zespołach z formalnymi wymaganiami dotyczącymi dostępu role zespołowe i SSO decydują o tym, kto w Twojej organizacji może w ogóle zaplanować lub poprowadzić sesję zarządu.

W przypadku zarządu warto połączyć to z prostą wewnętrzną zasadą: do właściwej sesji przez link dołączają tylko imiennie wskazani, oczekiwani uczestnicy, a wszyscy pozostali otrzymują później nagranie lub pisemne podsumowanie zamiast linku do sesji na żywo.

Włączenie tego w proces ładu korporacyjnego

Jeśli Twoja organizacja prowadzi formalny przegląd IT lub bezpieczeństwa nowych narzędzi, prezentacje na poziomie zarządu to dokładnie ten przypadek użycia, który powinien go uruchomić, nawet jeśli narzędzie jest już używane gdzie indziej podczas spotkań o mniejszej wadze. Nasz poradnik jak uzyskać akceptację działu IT dla oprogramowania AV przeprowadzi Cię przez ten proces, a lista kontrolna bezpieczeństwa oprogramowania do prezentacji podsunie Ci konkretne pytania, które warto zadać.

Dla organizacji objętych formalnymi obowiązkami w zakresie ochrony danych brytyjskie wytyczne ICO dotyczące UK GDPR oraz zestaw narzędzi NCSC dla zarządów są przydatnym punktem odniesienia, gdy chcesz przedstawić to jako kwestię ładu korporacyjnego, a nie czysto techniczną.

Praktyczna lista kontrolna przed kolejnym posiedzeniem zarządu

1. Upewnij się, że narzędzie do prezentacji nigdy nie przesyła treści slajdów, i uzyskaj to na piśmie, jeśli ma to znaczenie dla Twojego procesu ładu korporacyjnego.
2. Ogranicz grono osób, które otrzymują link do pokoju, i nie publikuj go nigdzie, gdzie jest szerzej dostępny niż zaproszenie w kalendarzu wysłane do imiennie wskazanych uczestników.
3. Używaj kluczy dostępu lub SSO w przypadku wszystkich osób ze stałym uprawnieniem do planowania lub prowadzenia poufnych sesji.
4. Sprawdź, czy host widzi uczestników i może ich usuwać w trakcie sesji, i poinstruuj osobę prowadzącą, jak to zrobić.
5. Jeśli spotkanie odbywa się w nieznanej sieci, sprawdź wcześniej konfigurację sieci; jeśli spodziewasz się problemów z łącznością u klienta lub partnera, przeczytaj, dlaczego firmowe zapory blokują narzędzia do prezentacji.

FAQ

Zacznij teraz

Przed kolejnym poufnym spotkaniem przejrzyj diagram przepływu danych z osobą odpowiedzialną za Twój proces ładu korporacyjnego albo skontaktuj się z nami, jeśli Twój zarząd lub dział prawny potrzebuje odpowiedzi na piśmie. Zajrzyj do pełnego przeglądu bezpieczeństwa, aby poznać wszystkie materiały do samodzielnego wykorzystania w planie Enterprise.