Почему конфиденциальность в трекере задач важнее, чем кажется?

Мы выбираем инструменты по удобству, интерфейсу, цене. Но редко спрашиваем:  

• Кто имеет доступ к моим данным?
• Видит ли поддержка содержимое моих задач?
• Где хранятся данные и по каким законам защищены?
• Что будет с информацией, если сервис сменит владельца?

Когда вы используете SaaS-продукт (например, Jira, Basecamp, Monday и др.), технически сотрудники компании-разработчика могут заглянуть в ваш аккаунт. Для этого не нужен взлом, достаточно служебных привилегий.  

Конечно, у крупных вендоров строгие регламенты и журналы доступа. Но регламенты не работают, когда речь идет о давлении со стороны государства или о недобросовестном сотруднике, который решил слить данные конкурентам.  

Вопрос не в паранойе, а в цене утечки. Если злоумышленники узнают о вашей новой фиче за полгода до релиза, вы рискуете потерять рынок, если станут известны условия вашего контракта с ключевым клиентом - вы рискуете потерять сделку.  

По данным исследований по безопасности, одна из самых частых причин утечек в корпоративных системах это человеческая ошибка при настройке прав доступа. Случайно опубликованная доска Jira, открытая папка на Google Drive, ссылка на Confluence, попавшая не в тот чат и вот уже ваша внутренняя кухня доступна случайному прохожему в интернете.  

Иногда можно услышать: «Мы не Google, поэтому никому не интересны». Это опасное заблуждение, т.к. в бизнесе интересно всё:

• Маркетологам конкурентов - ваши планы по запуску рекламных кампаний.
• HR-ам конкурентов - зарплаты ваших ключевых сотрудников.
• Фрилансерам и подрядчикам - коммерческие условия ваших заказчиков.
• Финансовым аналитикам - реальные сроки и бюджеты проектов.

Что же делать?  

Полный отказ от облачных инструментов сегодня невозможен для большинства команд, но можно минимизировать риски:

1. Финансовые документы, пароли и прочие чувствительные данные храните только в приватных темах (закрытых для остальных пользователей компании).
2. Для сверхчувствительных обсуждений ищите решения со сквозным шифрованием (желательно, которое можно проверить).

Именно последний пункт становится новым стандартом для серьезных команд. Например, в Remote.team мы сделали сквозное шифрование (E2EE) основной фичей. Это значит, что активировав данную опцию, ваши задачи, обсуждения и файлы увидите только вы и добавленные вами конкретные участники вашей команды. Ни администраторы сервиса, ни случайные лица не имеют технической возможности вмешаться в ваше рабочее пространство.  

Уже сейчас вопрос стоит не «Какой сервис удобнее?», а «Какому сервису я готов доверить информацию о своих делах и планах?». Конфиденциальность это не опция, а базовое требование к любому инструменту, который работает с чувствительной информацией, а в бизнесе это почти вся информация.  

Проведите ревизию своих данных прямо сейчас. И если обнаружите, что они хранятся в открытом виде, то возможно, пора менять инструмент.