Biały wywiad, zwany również OSINT (open-source intelligence) polega na pozyskiwaniu informacji z ogólnodostępnych źródeł, do których przynajmniej teoretycznie dostęp ma każdy. Teoretycznie, ponieważ mimo, że kanały pozyskiwania wiedzy otwarte są dla każdego, niewiele osób ma świadomość ich istnienia, także nie wszyscy potrafią dokonać właściwej analizy zgromadzonych informacji, odrzucić te nieistotne dla sprawy oraz wyciągnąć właściwe wnioski.

Pozyskiwanie danych w ramach białego wywiadu odbywa się zatem całkowicie legalnie i z ogólnodostępnych źródeł, na które składają się przede wszystkim informacje udostępnione publicznie przez „inwigilowany” podmiot np. na jego witrynie internetowej, w mediach społecznościowych, oficjalnych komunikatach, a także publikacjach prasowych i internetowych.
Jeśli chodzi o przedsiębiorstwa to wiele danych na ich temat odnotowywanych jest w publicznych rejestrach, które uwzględniają m.in. dane dotyczące kondycji finansowej jednostki, czy podejmowanych przez nią działaniach gospodarczych. W podobny sposób można pozyskiwać informacje o osobach fizycznych i ich powiązaniach biznesowych.

Poza tym, prócz zwykłego – ręcznego przeszukiwania zasobów sieciowych, istnieje wiele profesjonalnych narzędzi pozwalających na szybką automatyczną analizę pozyskanych danych i tworzenie siatek znajomości, powiązań, dostarczanie danych o zainteresowaniach, upodobaniach, sposobach i miejscach spędzania wolnego czasu.

I mimo, że czasami metody, bądź okoliczności pozyskiwania danych, np. z mediów społecznościowych są wątpliwe moralnie, bowiem polegają na podszywaniu się pod znajomych osoby na temat której zbierane są informacje, bądź celowe wchodzenie w jej środowisko, to nadal mieszczą się w granicach prawa.

Jednak powyższe sposoby gromadzenia danych tylko krok może dzielić od chęci uzyskania bardziej dogłębnych informacji (zwłaszcza jeśli chodzi o działalność konkurentów rynkowych), które nie są już ujawniane opinii publicznej – wręcz przeciwnie, chronione są jako tajemnica firmy..

Szpiegostwo przemysłowe – pozyskiwanie informacji wbrew prawu

Szpiegostwo przemysłowe, zwane także korporacyjnym polega na pozyskiwaniu informacji w sposób sprzeczny z prawem. Proceder najczęściej kojarzony bywa z przestępczą działalnością tzw. kreta, zatrudniającego się w strukturach monitorowanej jednostki, choć może przybierać również inne formy:

• wkroczenie do obiektów konkurencji w celu pozyskania dostępu do informacji o jej klientach, specyfice działania, czy strukturze organizacyjnej,
• bezprawne umieszczenie urządzeń podsłuchowych w pomieszczeniach konkurencji,
• włamanie do sieci komputerowej konkurencji w celu kradzieży danych cyfrowych.

Niezwykle często dochodzi także do skorumpowania pracownika zatrudnionego u rywala biznesowego, w celu zapewnienia sobie stałego dopływu bieżących informacji o poczynaniach konkurenta. Niekiedy okazuje się to niezwykle proste, bowiem zwłaszcza w dużych firmach, z łatwością można znaleźć wielu niezadowolonych pracowników, pałających nienawiścią do swojego pracodawcy, czekających tylko na możliwość zaszkodzenia mu. Tak zwerbowana do współpracy osoba, w zamian za gratyfikację finansową przekazuje swym mocodawcom informacje stanowiące tajemnicę przedsiębiorstwa.

Odpowiedzialność za bezprawne pozyskiwanie i wykorzystywanie informacji

Oczywiście zarówno działalność pracownika, jak i jego zleceniodawcy jest całkowicie bezprawna i podlega karze. Jeśli chodzi o pracownika to działanie takie z całą pewnością stanowi naruszenie podstawowych obowiązków pracowniczych, zgodnie bowiem z art. 100 § 2 pkt 4 i 5 Kodeksu pracy Pracownik jest obowiązany w szczególności: dbać o dobro zakładu pracy, chronić jego mienie oraz zachować w tajemnicy informacje, których ujawnienie mogłoby narazić pracodawcę na szkodę, a także przestrzegać tajemnicy określonej w odrębnych przepisach.

Naruszenie powyższych obowiązków uzasadnia rozwiązanie umowy o pracę w trybie art. 52 Kodeksu pracy, tj. bez zachowania okresu wypowiedzenia z powodu ciężkiego naruszenia podstawowych obowiązków pracowniczych.

Jeśli chodzi o samo skorumpowanie pracownika przez konkurenta biznesowego, to działanie takie wypełnia znamiona art. 12 Ustawy o zwalczaniu nieuczciwej konkurencji, który stanowi, iż: Czynem nieuczciwej konkurencji jest nakłanianie osoby świadczącej na rzecz przedsiębiorcy pracę, na podstawie stosunku pracy lub innego stosunku prawnego, do niewykonania lub nienależytego wykonania obowiązków pracowniczych albo innych obowiązków umownych,
w celu przysporzenia korzyści sobie lub osobom trzecim albo szkodzenia przedsiębiorcy.

Za naruszenie polegające na wykorzystywaniu we własnej działalności gospodarczej bezprawnie uzyskanej informacji stanowiącej tajemnicę innego przedsiębiorstwa, bądź ujawnianie jej innej osobie, zgodnie z art. 23 ustawy grozi kara grzywny, kara ograniczenia wolności albo pozbawienia wolności do lat 2. Tej samej karze podlega ten, kto, wbrew ciążącemu na nim obowiązkowi w stosunku do przedsiębiorcy, ujawnia innej osobie lub wykorzystuje we własnej działalności gospodarczej informację stanowiącą tajemnicę przedsiębiorstwa, jeżeli wyrządza to poważną szkodę przedsiębiorcy.

Szpiegostwo technologiczne

Biorąc pod uwagę tempo rozwoju technologicznego oraz rolę danych cyfrowych w funkcjonowaniu przedsiębiorstw, współczesne szpiegostwo przemysłowe w dużej mierze sprowadza się do sabotowania infrastruktury technicznej konkurencji, a także niszczenia i kradzieży jej zasobów elektronicznych. By uzyskać dostęp do danych cyfrowych wystarczy włamać się do sieci komputerowej konkurencji, która zwłaszcza w mniejszych przedsiębiorstwach nie zawsze zabezpieczona jest we właściwy sposób, bądź przejąć chociażby komputer pracujący w sekretariacie firmy, poprzez zainstalowanie w nim oprogramowania szpiegującego, pozwalającego na bieżący podgląd wszystkich operacji i treści generowanych przy użyciu urządzenia.

Bardziej zaawansowaną postać szpiegostwa technologicznego stanowią różnego rodzaju akcje sabotażowe, polegające chociażby na spreparowaniu ataku hakerskiego na witryny internetowe konkurencji, jej pocztę elektroniczną, czy serwery, w celu sparaliżowania pracy organizacji, zniszczenia jej reputacji oraz osłabienia jej pozycji w oczach klientów.

Wbrew pozorom szpiegostwo przemysłowe nie jest wymierzone wyłącznie w międzynarodowe korporacje – jak pokazują statystyki głównymi ofiarami są małe i średnie firmy. Mikroprzedsiębiorstwa nie przywiązują często należytej wagi do zapewnienia odpowiedniego poziomu bezpieczeństwa cyfrowego w swych strukturach, z drugiej zaś strony nie chcą wikłać się w wieloletnie spory sądowe z pracownikiem niszczącym zasoby, bądź wykradającym dane na zlecenie konkurencji. Przechodzą nad incydentem do porządku dziennego, zamiast zgłosić go odpowiednim służbom i nadać sprawie bieg prawny.

Jak się chronić przed szpiegostwem przemysłowym?

Niestety nie ma uniwersalnej metody zapewniającej ochronę przed aktami szpiegostwa przemysłowego, można jednak podejmować działania minimalizujące ryzyka.
W związku z tym dobrze jest wdrożyć w ramach swojej organizacji politykę bezpieczeństwa, regulującą chociażby kwestie uprawnień związanych z dostępem do rożnego typu informacji. Po drugie należy zadbać o bezpieczeństwo infrastruktury cyfrowej i ograniczyć możliwość uzyskiwania dostępu do niej przez osoby nieuprawnione. Jak pokazują badania, ponad 88 proc. firm nie zatrudnia osób odpowiedzialnych za zabezpieczenie sieci i bezpieczeństwo danych, dlatego uzasadnione jest nawiązanie współpracy z podmiotami zewnętrznymi specjalizującymi się w kwestiach bezpieczeństwa oraz ochrony danych cyfrowych.

Dzięki temu firma uniknie comiesięcznych kosztów utrzymywania zespołu odpowiedzialnego za kwestie bezpieczeństwa, z drugiej zaś strony zasoby organizacji będą chronione
w należyty sposób. Firmy outsourcingowe mogą również przeprowadzić audyt bieżącego stanu oraz pomóc we wdrożeniu procedur bezpieczeństwa. Wydatki poniesione na zabezpieczenie sieci to jedna z lepszych inwestycji, niewspółmiernie niska do potencjalnych strat wynikających z aktów szpiegostwa przemysłowego.

Informatyka śledcza na nieuczciwą działalność konkurencji

Szpiegostwo przemysłowe to globalny problem współczesnych przedsiębiorstw, niezależnie od ich rozmiaru, czy branży, w której funkcjonują. Tym bardziej, że podstawowy kapitał biznesowy stanowi dziś informacja, zapisywana bardzo często na nośnikach cyfrowych, którą stosunkowo łatwo jest wykraść.

Kret ukryty w organizacji, niezauważony przez nikogo, może przez wiele lat uprawiać swój przestępczy proceder, zaś jego działalność wygenerować może wymierne straty finansowe przedsiębiorstwa. Niezwykle trudno jest go bowiem wytropić, a jeszcze trudniej przypisać działanie na szkodę organizacji.

Niemniej jednak, dziś wiele z czynności kreta dokonywanych jest przy wykorzystaniu narzędzi nowych technologii – komputera, telefonu, czy poczty mailowej. W związku z tym, istnieje duże prawdopodobieństwo, że aktywność szpiega pozostawi cyfrowy ślad w pamięci tychże urządzeń. W walce z nieuczciwością skorumpowanych pracowników i konkurencji, przedsiębiorcy mogą liczyć na pomoc informatyki śledczej – specjaliści od computer forensic zabezpieczą sprzęt używany przez kreta z zachowaniem łańcucha dowodowego, zaś pochodzące z niego dowody mogą przyczynić się do ukarania sprawcy.

Autorka: prawnik specjalizujący się w prawie nowych technologii, prezes zarządu w MiP Data & Forensic – Informatyka ¦ledcza i odzyskiwanie Danych www.recovery.pl