Сотрудник пересылает рабочие документы на личную почту — как узнать и остановить

Почему пересылка на личную почту — это риск, даже «без злого умысла»

Большинство таких пересылок делают не шпионы, а обычные сотрудники «для удобства»: доделать дома, сохранить копию, переслать коллеге через свой ящик. Проблема в том, что результат одинаковый независимо от мотива:

• Данные выходят из-под контроля — копия договора в личном Gmail живёт по своим правилам, а не по вашим.
• Они уйдут вместе с человеком — при увольнении личный ящик остаётся у него со всем содержимым.
• Личную почту часто взламывают — и тогда ваши данные утекают уже через неё.
• Это готовый канал для слива — то, что начиналось «для удобства», легко превращается в вынос базы конкуренту.

Поэтому важно видеть сам факт — а дальше уже разбираться, случайность это или система.

Как это выглядит в TaviLex (разбор)

Смысл не в том, чтобы читать письма, а в том, чтобы подсветить факт и человека. В ленте инцидентов пересылка на личную почту выглядит как конкретная запись со временем, уровнем и контекстом — например:

Буфер обмена: «пароль» → Личная почта → Chrome — уровень «Высокий»

Здесь сработала связка: DLP-анализ буфера обмена нашёл слово-триггер, а сетевой модуль увидел, что данные ушли на личный почтовый домен. Параллельно кейлоггер ловит во вводе слова вроде «договор», «паспорт», «конфиденциально» — по словарю с весами, который вы настраиваете сами.

Ключевой момент для руководителя: система не заставляет вас вручную просматривать почту. Она сама сводит подозрительные действия в уровень риска сотрудника — вы смотрите не сотни писем, а короткий список тех, на кого стоит обратить внимание.

Что фиксировать законно, а что нельзя

Грань здесь простая и важная:

• Можно — факт отправки на личный адрес, домен получателя, время, наличие вложения, скриншот-контекст на корпоративном ПК.
• Можно — срабатывание слов-триггеров в буфере и вводе на рабочем компьютере.
• Нельзя — читать содержимое личной переписки сотрудника, вскрывать его личные аккаунты.
• Обязательно — уведомление, письменное согласие и режим коммерческой тайны для защищаемых данных.

TaviLex работает именно в законной части: фиксирует факт и метаданные, но не перехватывает содержимое письма. Подробнее — в разделе о праве.

Как закрыть канал заранее

Разбираться постфактум дороже, чем не дать данным утечь тихо. Что помогает:

• Ограничьте доступ по ролям — меньше людей видит чувствительное, меньше и точек утечки.
• Настройте словарь DLP — добавьте свои термины (названия проектов, форматы номеров), чтобы система ловила именно ваши данные.
• Следите за уровнем риска — регулярная пересылка на личную почту подсветит человека до того, как это станет привычкой.
• Проговорите правила — многие пересылают «на автомате»; когда люди знают, что это видно, поток резко падает.

Частые заблуждения

Вокруг темы много мифов, из-за которых компании теряют время:

• «Заблокируем Gmail — и всё решится». Обходится за минуту (телефон, VPN), а работе мешает. Видеть важнее, чем запрещать.
• «Надо читать всю почту». Не надо и нельзя. Достаточно факта и метаданных — содержимое личной переписки под защитой закона.
• «У нас все свои, это лишнее». Большинство утечек — как раз «свои», без злого умысла. Именно их и ловит контроль факта.
• «Это сложно внедрять». Агент ставится централизованно, словарь и правила настраиваются в панели — без ИБ-отдела.