Отримали омріяний оффер? Не поспішайте радіти. Це може бути пасткаВи відкриваєте листа від рекрутера та бачите відоме ім'я та логотип топової компанії (FIFA, OpenAI, Adidas). До вас звертаються на ім'я, ідеально знають ваш бекграунд.
Усе виглядає максимально природно, тож ви клікаєте на посилання, щоб «запланувати інтервʼю». Вас перекидає на знайому HR-платформу – PeopleForce. А потім трапляється найстрашніше – ви втрачаєте доступ до свого Google-акаунта, а разом із ним до корпоративних даних.
Якщо зловмисники можуть настільки легко використовувати цю платформу як «транзитну зону» для масштабних кібератак, виникає дуже незручне запитання: чи дійсно безпечно зберігати там конфіденційну HR-інформацію
Якщо систему можна так просто зробити частиною шахрайського ланцюга для обходу фільтрів, гарантії безпеки ваших даних опиняються під великим сумнівом
Сучасний рекрутинг тримається на довірі, проте для HR-відділу та компанії це створює критичні ризики:
HR-платформи та ATS зберігають найчутливішу інформацію – персональні дані, зарплатні очікування, резюме та внутрішні оцінки. Якщо хакери знаходять шлях маніпулювання HR-інструментом, під загрозою опиняється вся база кандидатів та співробітників. Якщо ім'я вашої компанії або HR-сервіс, яким ви користуєтеся, фігурує у фішинговому ланцюжку, відновити репутацію на ринку праці буде важко. Навіть якщо ваша внутрішня кібербезпека на висоті, вразливості або недостатні налаштування безпеки в сторонніх ATS-інструментах роблять вашу компанію мішенню.Як захистити дані кандидатів та безпеку HR-процесів?
Безпека HR-технологій – це вже давно не лише турбота IT-відділу, а й пряма відповідальність People Operations. Ось що потрібно зробити вже зараз:
Single Tenant інфраструктура must have! Це окрема будівля для кожної компанії. У вас своя інфраструктура, окреме середовище, окремий контур даних. Ви не ділите будівлю з іншими клієнтами системи (і зі своїми конкурентами в тому числі).
Аудит та верифікація ATS/HR-платформ: перевірте, які права доступу мають ваші HR-інструменти, та переконайтеся, що вони використовують суворі протоколи автентифікації пошти (SPF, DKIM, DMARC).
Суворий контроль доступів: увімкніть обов'язкову двофакторну автентифікацію для всіх рекрутерів та менеджерів, які мають доступ до ATS, CRM та корпоративної пошти.
Використання менеджерів паролів: навчайте HR-команду використовувати парольні менеджери – вони просто не заповнять дані на фейковій сторінці авторизації Google, навіть якщо вона виглядає ідеально.
Освіта кандидатів та прозорість: додайте на свій кар'єрний сайт застереження про те, з яких саме офіційних поштових доменів та систем комунікує ваша команда.Захист кандидатських даних – це важлива складова турботи про людей та збереження довіри до вашого HR-бренду.
Поділіться цим дописом із колегами з HR та People Operations – збережемо дані та репутацію разом!
