И вот ИБ заблокировала все внешние API для выгрузки отчётов из CRM в BI.

Официальная причина понятна: нельзя раздавать сторонним сервисам доступ к данным. Риск утечки, неконтролируемое хранение, неизвестно кто и что увидит. ИБ закрывает дыру (тут шутка про хоть что-то в безопасности).

Хорошие ожидания... а что там в реальности?

Данные по-прежнему нужны бизнесу. Продажам нужно сводить план-факт, финансам нужны актуальные цифры, маркетингу нужна аналитика. Но разрешённый способ больше не работает. Или работает так медленно, что проще найти другой.

Финансисты гоняют выгрузки через личную почту. Маркетинг оплачивает сторонние сервисы корпоративной картой. Кто-то поднимает личный сервер и передаёт данные через него. У каждого свой способ решить задачу, которую никто не отменял.

Тотальный запрет не убивает потребность. Он загоняет её в тень.

ИБ ограничила доступ через конкретный инструмент, но не устранила саму потребность передавать данные. Более того, теперь становится сложнее понять, куда эти данные уходят, кто получает к ним доступ и каким способом их можно остановить.

Формально повысили зрелость ИБ. Внешние API закрыты, доступы отозваны, политика соблюдается. А фактически часть работы переместилась в серую зону, где привычные механизмы контроля могут уже не сработать.

Обходные пути никуда не исчезли, а информации о них стало меньше. В отчёте стало меньше нарушений? Или просто меньше нарушений, которые способны обнаружить?

Бизнес тем временем продолжает платить за решение. Не утечкой или громким инцидентом, нет. Достаточно и того, что отчёты собираются вручную, данные устаревают, а сотрудники тратят время не на работу, ради которой их наняли, а на обход ограничений.

И да, это выматывает. Когда задача на пятнадцать минут требует трёх недель согласований, человек постепенно перестаёт воспринимать регламент как помощь в работе. Лучше про то, что происходит с людьми в такой системе, расскажет психолог, это не моя сильная сторона 😊

Конечно, это не значит, что ИБ должна разрешать всё подряд. У сервиса действительно могут быть проблемы с хранением данных, доступами и обязательствами перед клиентами. Иногда запрет необходим. А что предлагается взамен и кто отвечает за последствия, если разрешённого способа решить задачу просто нет?

У ИБ есть право сказать «нет». Только запрет не отменяет задачу, ради которой сотрудникам понадобился этот инструмент. Если разрешённого способа её решить нет, кто принимает последствия такого решения? Иначе решение о риске фактически принимает сотрудник, который просто хочет закончить работу. Без полномочий, без оценки последствий и без записи в реестре рисков.

Возможно, руководство контролирует доступ к инструментам лучше, чем понимает, чем на самом деле занимаются сотрудники. Кто понял, тот понял.