Бесплатно, но небезопасно. Почему не стоит вести корпоративную коммуникацию в Telegram

Продолжаем тему безопасности, которой коснулись в одной из прошлых статей. Давайте разберемся, почему те, кто ведет корпоративные переписки в Telegram и хранит разного рода юридическую или кадровую информацию о сотрудниках, ходит по тонкому льду утечки и штрафов.

Удобство и простота публичных мессенджеров неоспоримы, но они не могут быть основным контуром хранения корпоративной и персональной информации, хотя многие даже крупные компании используют Telegram и WhatsApp в качестве рабочих инструментов: обсуждение задач, отправка разного рода конфиденциальной документации, а также согласование действий — все это происходит в пространстве небезопасных продуктов.

Среди основных требований любого бизнеса (будь то малый или огромные корпорации) не только удобство и простота использования, но и безопасность, которая стоит денег в конечном счете и должна стоять на первом месте. А там, где есть безопасность, есть и контроль: как хранятся данные, кто и в каких ролях имеет к ним доступ, как этот доступ ограничивается, как отслеживаются и фиксируются действия пользователей для того, чтобы в нужный момент можно было восстановить всю цепочку, соблюдение требований законодательства и требований политики обработки данных.

Как это происходит в Telegram?

Telegram не предоставляет вам автоматического соответствия Общему регламенту по защите данных (GDPR) для пользователей, не являющихся гражданами ЕС. Для GDPR важно не только, где физически хранятся данные, но и:

на каком основании вы их обрабатываете,
какие данные собираете,
кому передаете,
есть ли договорные гарантии с обработчиком,
как обеспечиваются права субъекта данных,
можно ли удалить, выгрузить, ограничить обработку,
есть ли законный механизм трансграничной передачи.

Если компания использует Telegram для рабочих коммуникаций и через него проходят персональные данные сотрудников, клиентов, кандидатов, то одной фразы “данные в Telegram защищены” недостаточно. Нужны организационные и юридические меры со стороны самой компании.

В рамках закона РФ о персональных данных рисков еще больше. По 152-ФЗ для многих сценариев важны:

определение оператора персональных данных,
цели и состав обработки,
меры защиты,
поручение обработки третьим лицам,
трансграничная передача,
а для сбора данных граждан РФ отдельно встает вопрос локализации.

Главная проблема с Telegram обычно не в “есть шифрование или нет”, а в том, что контролировать место хранения, маршрут передачи, состав обработчика и договорные обязательства платформы для корпоративного комплаенса сложно или невозможно на нужном уровне.

Напомним, что Telegram с таким подходом при утечке персональных данных ваших сотрудников обойдется до 500 000 рублей. Это 5.5 лет Бизнес-подписки в ZentrySpace на команду 50 человек!

Именно поэтому у нас во Fusion Tech основной контур обработки данных находится не в публичных мессенджерах, а в корпоративной системе (речь не только о ZentrySpace, до него мы пользовались Slack).

То есть абсолютно все основные рабочие данные, заявки, документы, согласования, кадровую информацию, служебные действия хранит ZentrySpace в контролируемой инфраструктуре компании или в выбранном корпоративном облаке. Это формирует предсказуемую политику обработки данных, разграничивает доступы и ведет журнал событий. Публичные мессенджеры мы можем использовать для сообщений по типу “сегодня идешь на йогу?”, когда у ZentrySpace плановое обновление, например.

Почему это критично?

Перенося работу в публичные мессенджеры, вы выстраиваете все бизнес-процессы вокруг него, теряя над ними контроль. Ведь помимо того, что в том же Telegram нет как такового обозримого рабочего пространства (папка с чатами не в счет), вы не можете управлять доступом к информации, централизованно удалять данные, контролировать распространение файлов, корректно обрабатывать персональные данные и обеспечивать при этом прозрачность аудита действий. А вот с ZentrySpace можете.

Наш подход:

ключевые данные хранятся внутри корпоративного контура;
документы и история согласований доступны в управляемой среде;
права доступа к информации и управлению предоставляются согласно ролям и организационной структуре компании;
критичные данные не зависят от внешнего мессенджера;
внешние каналы используются только в безопасном контексте переписки.

Публичные (иначе — потребительские) мессенджеры прекрасны в своей простоте (начиная с регистрации по номеру телефона), но когда речь не идет о безопасных и зрелых бизнес-процессах, им стоит доверять только корпоративные. Конкретно в нашей модели ZentrySpace встроен и синхронизирован со всеми задачами компании, это не просто чат, это единая система, в которой управление командой происходит неразрывно с коммуникацией. Вести бизнес в простой и привычной или в зрелой и безопасной среде — выбирать вам.