Ukryty agent w firmie. Nowe ryzyko dla polskiego biznesu, którego wielu prezesów jeszcze nie chce widzieć

Polskie firmy od lat opierają część swojej produkcji, logistyki i usług na pracownikach zza wschodniej granicy. To często ludzie uczciwi, ciężko pracujący i realnie potrzebni gospodarce. W wielu branżach bez nich utrzymanie ciągłości pracy byłoby dziś bardzo trudne, a czasem wręcz niemożliwe.

Problem polega na czymś innym.

W czasach wojny hybrydowej, napięć geopolitycznych i coraz bardziej agresywnych działań służb obcych państw, firma nie może już patrzeć na rekrutację wyłącznie przez pryzmat braków kadrowych. Musi zadać sobie niewygodne pytanie: czy wśród setek uczciwych pracowników może pojawić się jedna osoba działająca celowo na szkodę zakładu, klienta albo państwa?

I odpowiedź brzmi: tak, może.

Nie dlatego, że ktoś pochodzi z konkretnego kraju. Nie dlatego, że jest cudzoziemcem. Tylko dlatego, że każda duża organizacja, szczególnie produkcyjna, logistyczna, spożywcza, farmaceutyczna, energetyczna czy technologiczna, jest dziś potencjalnym celem infiltracji.

Sabotaż nie zawsze wygląda jak scena z filmu

Wielu przedsiębiorców wyobraża sobie sabotaż jako spektakularne podpalenie hali, wysadzenie instalacji albo włamanie do serwerowni. Tymczasem najgroźniejsze działania bywają ciche, proste i trudne do wykrycia.

To może być pracownik, który celowo wprowadza zanieczyszczenie do linii produkcyjnej. Ktoś, kto zmienia parametry maszyny. Ktoś, kto fotografuje dokumentację technologiczną. Ktoś, kto wynosi próbki, listy klientów, hasła, procedury, zdjęcia zabezpieczeń albo informacje o dostawach.

W zakładach spożywczych lub farmaceutycznych szczególnie poważnym scenariuszem jest ryzyko zatrucia lub skażenia produkcji. Wystarczy jedna partia produktu, jedna nieprawidłowość, jeden zmanipulowany materiał, aby firma musiała zatrzymać linię, wycofać towar, powiadomić kontrahentów i zmierzyć się z lawiną medialną.

W logistyce sabotaż może oznaczać celowe opóźnienie dostaw, zmianę dokumentów, uszkodzenie towaru albo przekazanie informacji konkurencji lub grupom przestępczym.

W firmach technologicznych wystarczy dostęp do jednego konta, jednego repozytorium, jednej skrzynki mailowej.

Największy problem polega na tym, że sprawca wewnętrzny nie musi przełamywać zabezpieczeń. On już jest w środku.

Firmy są między młotem a kowadłem

Przedsiębiorcy znajdują się dziś w bardzo trudnej sytuacji. Z jednej strony muszą zatrudniać, bo rynek pracy jest niewydolny. Brakuje ludzi na produkcji, w magazynach, transporcie, utrzymaniu ruchu i ochronie. Pracownicy ze wschodu często ratują ciągłość działania firm.

Z drugiej strony, im większa rotacja i im szybsze procesy rekrutacyjne, tym większe ryzyko, że do organizacji trafi osoba niezweryfikowana, zadłużona, podatna na szantaż, podstawiona albo działająca z motywacji ideologicznej, finansowej czy przestępczej.

To nie jest powód, by zamykać firmę na cudzoziemców. To jest powód, by wreszcie zacząć traktować bezpieczeństwo osobowe jak realny element zarządzania ryzykiem.

Tak samo jak firma sprawdza jakość surowca, stan maszyn, cyberbezpieczeństwo czy zdolność kredytową kontrahenta, tak samo powinna sprawdzać ryzyka związane z ludźmi, dostępami i procesami.

Detektyw w stałej współpracy z firmą

Dobry detektyw nie powinien pojawiać się dopiero wtedy, gdy jest już po szkodzie. Wtedy często zostaje tylko gaszenie pożaru, zabezpieczanie dowodów i ograniczanie strat.

Największą wartość ma stała współpraca detektywistyczna z firmą. Nie jako pokazowa usługa raz na rok, ale jako system wczesnego ostrzegania.

W praktyce taka współpraca może obejmować:

1. Weryfikację ryzyk osobowych. Analiza stanowisk wrażliwych, dostępu do produkcji, dokumentów, receptur, serwerów, magazynów, transportu i stref technicznych. Nie każdy pracownik musi być sprawdzany tak samo. Najważniejsze są osoby, które mają dostęp do miejsc, gdzie jedna decyzja może spowodować ogromną szkodę.
2. Audyt procesów i luk bezpieczeństwa. Detektyw patrzy inaczej niż menedżer produkcji. Szuka nie tylko błędów organizacyjnych, ale też okazji do nadużyć: martwych stref kamer, braku kontroli wejść, nieopisanych procedur, zbyt szerokich dostępów, nieweryfikowanych podwykonawców, niekontrolowanych telefonów, prywatnych nośników danych czy nieformalnych obejść procedur.
3. Rozpoznanie sygnałów ostrzegawczych. Nagła zmiana stylu życia pracownika, nietypowe zainteresowanie procesami spoza zakresu obowiązków, fotografowanie infrastruktury, częste przebywanie w strefach bez uzasadnienia, konflikty, radykalizacja, szantażowalność, długi, powiązania z grupami przestępczymi. To nie są rzeczy, które zawsze zobaczy dział HR.
4. Kontrolę incydentów wewnętrznych. Gdy dochodzi do skażenia produkcji, kradzieży danych, uszkodzenia sprzętu albo wycieku informacji, firma musi szybko ustalić, czy to błąd, zaniedbanie, przypadek czy działanie celowe.
5. Współpracę z prawnikami, cyberbezpieczeństwem i PR. Nowoczesny detektyw nie działa samotnie. Przy poważnych ryzykach potrzebny jest zespół: detektyw, prawnik, specjalista cyber, audytor bezpieczeństwa i ekspert PR. Dopiero taki układ tworzy realną tarczę dla firmy.

Największym zagrożeniem może być nie sam atak, ale reakcja opinii publicznej

Wyobraźmy sobie firmę spożywczą, w której dochodzi do celowego skażenia partii produktu. Nawet jeżeli zagrożenie zostanie szybko wykryte, media mogą postawić pytanie: jak do tego dopuszczono?

Wtedy zaczyna się drugi atak, wizerunkowy.

Nagłówki są bezlitosne. Klienci tracą zaufanie. Kontrahenci wstrzymują zamówienia. Sieci handlowe żądają wyjaśnień. Inwestorzy reagują nerwowo. Jeżeli firma jest notowana na giełdzie, spadek wartości może nastąpić błyskawicznie.

Koszt stałej ochrony, audytu i współpracy detektywistycznej może wydawać się duży, dopóki nie porówna się go z kosztem kryzysu. Jeden poważny incydent może oznaczać utratę kontraktu, zatrzymanie produkcji, wycofanie partii towaru, procesy sądowe, odpływ klientów i spadek wartości firmy. W skrajnym przypadku przedsiębiorstwo może stracić miliony złotych w jeden dzień, a przy większych podmiotach nawet znacznie więcej.

Dlatego dobry detektyw powinien mieć obok siebie najlepszych specjalistów od komunikacji kryzysowej. Bo kiedy pojawia się atak, nie wystarczy znaleźć sprawcę. Trzeba jeszcze ochronić firmę przed utratą reputacji.

Detektyw i PR jako tarcza firmy

W sytuacji kryzysowej liczą się pierwsze godziny. Firma musi wiedzieć:

• co się stało,
• czy zagrożenie trwa,
• kto miał dostęp,
• jak zabezpieczyć dowody,
• co powiedzieć pracownikom,
• co powiedzieć mediom,
• co powiedzieć kontrahentom,
• jak nie popełnić błędu komunikacyjnego, który pogłębi kryzys.

Detektyw ustala fakty. PR chroni narrację. Prawnik zabezpiecza interes firmy. Cyber specjalista sprawdza, czy incydent nie ma drugiego dna. Ochrona fizyczna zabezpiecza teren. Zarząd podejmuje decyzje na podstawie danych, a nie paniki.

To jest model bezpieczeństwa, którego potrzebują dziś firmy.

Nie folder reklamowy. Nie ochrona „na papierze”. Tylko realny system reagowania.

Bezpieczeństwo nie może być dodatkiem do biznesu

Największy błąd wielu firm polega na tym, że traktują bezpieczeństwo jako koszt. Tymczasem bezpieczeństwo jest warunkiem ciągłości biznesu.

Firma może mieć świetny produkt, dużą sprzedaż, nowoczesną halę, dobry marketing i pełen portfel zamówień. Ale jeżeli jedna osoba z wewnątrz jest w stanie zatrzymać produkcję, skompromitować markę albo doprowadzić do skażenia towaru, to znaczy, że firma nie jest bezpieczna.

Współczesne zagrożenia nie zawsze przychodzą przez bramę główną. Czasem wchodzą z identyfikatorem pracownika.

Dlatego zadaniem detektywa nie jest tworzenie atmosfery podejrzliwości. Zadaniem detektywa jest ochrona firmy przed tym, czego nie widać w raportach, tabelach i kamerach monitoringu.

Pracownicy ze wschodu nie są problemem. Problemem jest brak procedur, brak weryfikacji, brak kontroli dostępu i brak świadomości, że firma może być celem działań sabotażowych.

Zaufanie jest potrzebne. Ale w biznesie zaufanie bez kontroli bywa bardzo drogie.