Вопрос, на который обычно нет ответа
Спросите себя: где сейчас лежит ваша клиентская база? Полный ответ, со всеми копиями.
Почти никто не отвечает сразу. Начинается перечисление: в таблице у меня, ещё выгрузка была у Маши, в переписке с менеджерами, в почте с заказами, где-то в старом файле на ноутбуке бухгалтера.
Это и есть проблема. Не в том, что копий много, а в том, что их количество неизвестно. Нельзя защитить то, о существовании чего вы не помните, и нельзя удалить то, чего не нашли.
Карта данных - это лист бумаги, который отвечает на вопрос за минуту. Составляется за вечер и потом обновляется раз в полгода.
Что перечислить
Идите не по системам, а по местам, где данные физически оказываются. Список обычно такой.
Учётные системы. CRM, складская программа, бухгалтерия, кадровый учёт.
Таблицы и документы. Файлы с клиентами, прайсы с контактами, кадровые списки. Отдельно те, что лежат в облаке, и те, что на компьютерах сотрудников.
Переписка. Рабочие чаты, личные аккаунты сотрудников, почта. Тут данных обычно больше, чем в учётной системе, потому что в переписке они появляются раньше.
Сайт и формы. Заявки с сайта, куда они падают, где хранятся.
Резервные копии. Часто про них забывают, а в них лежит всё то же самое.
Выгрузки и отчёты. Разовые файлы, которые кто-то когда-то сделал и не удалил. Самая недооценённая строка.
Внешние подрядчики. Бухгалтер на аутсорсе, маркетолог, разработчик сайта. У них тоже есть ваши данные.
Что записать про каждое место
Пять колонок, не больше. Иначе карта не будет дописана.
- что за данные - клиенты, сотрудники, поставщики;
- где физически - сервер в России, зарубежное облако, ноутбук сотрудника;
- кто имеет доступ - поимённо, а не «отдел продаж»;
- кто отвечает - один человек, который следит, чтобы это место было в порядке;
- можно ли удалить - или это то, что обязаны хранить.
Третья колонка почти всегда даёт находку. Выясняется, что доступ есть у людей, которые уволились, у подрядчиков, с которыми закончили работу, и у сотрудников, которым он не нужен по должности.
Карта данных полезна не тем, что вы её нарисуете. Она полезна тем, что в процессе рисования вы вспомните три места, о которых не думали, и одно из них окажется чужим облаком.
Что обычно находят
По итогам такого упражнения вылезают вещи, которые никого не радуют, но лучше знать.
Копии базы у бывших сотрудников. Выгрузка, сделанная «для работы из дома», осталась навсегда. Про то, как это лечится, - в тексте как за час закрыть доступы уволенному.
Клиентская история в личных аккаунтах. Формально это данные компании, фактически - содержимое чужого телефона. Разбирали отдельно.
Данные в зарубежных сервисах. Часто через инструменты, о которых не думают как о хранилище: планировщики, доски задач, конструкторы рассылок. А требование хранить данные россиян в России действует независимо от того, вспомнили вы про этот сервис или нет.
Доступ «у всех». Папка, к которой когда-то открыли общий доступ по ссылке, и ссылка живёт.
Дубли, которые разошлись. Две базы клиентов, обе неполные, обе используются.
Что делать с картой дальше
Сама по себе она ничего не чинит. Дальше три шага, по убыванию срочности.
Закройте лишние доступы. Самое быстрое и самое результативное. Занимает час, снимает большую часть риска.
Сократите количество мест. Каждое лишнее хранилище - это отдельная точка, за которой надо следить. Две базы клиентов надо свести в одну, даже если это неприятная работа.
Решите вопрос с зарубежными сервисами. Тут либо перенос, либо осознанное решение остаться и понимание, чем вы рискуете. Про переписку в чужом облаке и 152-ФЗ есть отдельный текст.
И отдельно: карта - это то, что нужно для уведомления в Роскомнадзор. Там прямо спрашивают, какие данные вы обрабатываете и где они находятся. Без карты этот вопрос превращается в вечер догадок.
Почему это не разовая работа
Данные расползаются сами. Через полгода появятся новый сервис, новая выгрузка, новый подрядчик.
Поэтому карта живёт как документ, а не как разовое упражнение. Правило простое: появилось новое место, где оказываются данные клиентов, - строчка в карте. Это тридцать секунд.
И раз в полгода - ревизия: пройти по списку, проверить доступы, удалить то, что можно удалить.
Где здесь мы
Одна из причин, почему карта получается длинной, - переписка. Она разбросана по личным аккаунтам, зарубежным сервисам и чатам, до которых у компании нет доступа.
Корпоративный мессенджер за 5 990 рублей в месяц эту часть карты схлопывает в одну строку: переписка и файлы в одном месте, доступы управляются, данные на серверах в России по 152-ФЗ. Установка и настройка входят в подписку, запуск занимает 5 дней от заявки.
Остальные строки карты он не закрывает: учётная система, бухгалтерия и старые выгрузки остаются вашей заботой.
Что делать дальше
Возьмите лист и за двадцать минут выпишите все места, где оказываются данные ваших клиентов. Не проверяя, по памяти.
Потом спросите двух-трёх сотрудников то же самое. Разница между вашим списком и их списками - самое интересное, что даст это упражнение.
