Biały wywiad w rekrutacji menedżerów. „Czasem sprawdzamy, czy dana osoba w ogóle istnieje”

Audio generowane przez AI. Może zawierać błędy.

OSINT (ang. Open-Source Intelligence), czyli biały wywiad, polega na zbieraniu, analizowaniu i weryfikowaniu informacji pochodzących z dostępnych źródeł. Choć metoda ta kojarzy się przede wszystkim z działalnością służb wywiadowczych i wojska, znajduje zastosowanie również w biznesie. Jednym z przykładów jest weryfikacja kandydatów na najwyższe stanowiska kierownicze – prezesów, członków zarządu i dyrektorów odpowiedzialnych za kluczowe obszary działalności firmy.

Tradycyjna rekrutacja opiera się w dużej mierze na dokumentach przedstawionych przez kandydata, rozmowach kwalifikacyjnych i referencjach. Analiza OSINT pozwala skonfrontować te informacje z innymi źródłami, sprawdzić przebieg kariery zawodowej, powiązania biznesowe czy publiczną aktywność danej osoby. Nie chodzi przy tym wyłącznie o wykrywanie nieprawdziwych informacji. Stawką może być również bezpieczeństwo przedsiębiorstwa, które powierza nowemu menedżerowi dostęp do poufnych danych i odpowiedzialność za strategiczne decyzje.

Co można ustalić na podstawie ogólnodostępnych danych?

O praktycznym wykorzystaniu białego wywiadu opowiada Norbert Ptak, licencjonowany detektyw i specjalista ds. OSINT w firmie Mediarecovery. Jak wyjaśnia, analitycy korzystają zarówno z oficjalnych rejestrów, jak i informacji publikowanych w internecie. Najważniejsze jest jednak nie samo znalezienie danych, lecz ich weryfikacja, zestawienie i wyciągnięcie wniosków.

– W ramach analizy OSINT korzystamy z dostępnych źródeł, działamy zgodnie z literą prawa i nie włamujemy się do żadnego systemu. Mamy mnóstwo ogólnodostępnych informacji zawartych w rejestrach takich jak KRS, KRD, CEIDG, biała lista podatników VAT, lista sankcyjna czy księgi wieczyste. Często sprawdzamy także informacje o patentach czy pracach i dokonaniach naukowych konkretnych osób. Tu znajdziemy oficjalne dane. Nieoficjalna część to media społecznościowe, opinie w sieci czy darknet. Odpowiadamy za pozyskanie konkretnych informacji, ich korelację i przekazanie firmie „cyfrowych dowodów” – wyjaśnia Norbert Ptak.

Przeczytaj: „Procedury antymobbingowe to nowe BHP”. Firmy nie czekają na nowe przepisy

O jakie informacje chodzi? Jak wyjaśnia Norbert Ptak, firmy zlecają analizy OSINT przede wszystkim z obawy o własną reputację. Chcą wiedzieć, czy kandydat na wysokie stanowisko był w przeszłości zamieszany w kontrowersyjne sprawy, a także czy jego publiczna aktywność w mediach społecznościowych może stanowić zagrożenie dla wizerunku organizacji.

Jak uchronić firmę przed kryzysem wizerunkowym?

Analiza OSINT nie ogranicza się do sprawdzania sytuacji finansowej przedsiębiorstwa czy powiązań biznesowych kandydata. Oprócz informacji z oficjalnych rejestrów analitycy przyglądają się również opiniom publikowanym w internecie przez byłych współpracowników, pracowników lub klientów. Takie relacje wymagają jednak ostrożnej weryfikacji – sama negatywna opinia nie przesądza o wiarygodności danej osoby.

Jak wyjaśnia Norbert Ptak, szczególne znaczenie może mieć również sposób, w jaki kandydat prezentuje się publicznie. W przypadku osób ubiegających się o eksponowane stanowiska ich wypowiedzi i aktywność w mediach społecznościowych bywają analizowane pod kątem potencjalnego ryzyka reputacyjnego dla przyszłego pracodawcy.

Zdarza się także, że osoba, którą sprawdzamy, jest autorem kontrowersyjnych wpisów w mediach społecznościowych.

– Wystarczy, że ktoś w sieci powiąże daną osobę z mobbingiem czy dyskryminacją. Zdarza się także, że osoba, którą sprawdzamy, jest autorem kontrowersyjnych wpisów w mediach społecznościowych. Mowa tu m.in. o treściach dyskryminujących ze względu na orientację seksualną, wyznanie, kolor skóry czy narodowość – dodaje Norbert Ptak.

Publiczna aktywność kandydata może więc dostarczyć informacji, których nie znajdziemy w jego CV ani nie uzyskamy podczas rozmowy rekrutacyjnej. Deklarowane wartości nie zawsze bowiem idą w parze z rzeczywistymi postawami. Trzeba jednak odróżnić wypowiedzi opublikowane przez samego kandydata od stawianych mu w internecie zarzutów, które wymagają niezależnej weryfikacji.

„Sprawdzamy, czy ta osoba w ogóle istnieje”

Ryzyko utraty reputacji to tylko jeden z powodów, dla których firmy korzystają z analiz OSINT. Niekiedy wątpliwości budzą znacznie bardziej podstawowe kwestie – wykształcenie, doświadczenie zawodowe czy osiągnięcia wymienione w CV. Zdarza się, że kandydaci przypisują sobie stanowiska, których nigdy nie zajmowali, albo kwalifikacje, których nie zdobyli.

– W dobie sztucznej inteligencji mamy coraz więcej zleceń. Dziś każdy może bez większego problemu stworzyć nieprawdziwą narrację o sobie i wymyślić życiorys. Wystarczy przygotować CV pod konkretne stanowisko i podkolorować fakty. Sprawdzamy więc, czy kandydat mówi prawdę – czy zajmował wskazane stanowiska, brał udział w konkretnych projektach, otrzymał grant lub jest autorem pracy naukowej. Sprawdzamy, czy ta osoba w ogóle istnieje. Bywa, że poza nazwiskiem nic się nie zgadza. Mieliśmy przypadek kandydata, który zapewniał, że ukończył studia na prestiżowej, światowej sławy uczelni. Okazało się jednak, że w ogóle nie podjął tam studiów. Uczestniczył jedynie w kursie doszkalającym, a to przecież nie to samo. Wątpliwości pracodawcy wzbudziły wyjątkowo niskie oczekiwania finansowe kandydata – mówi Norbert Ptak.

Sprawdzamy więc, czy kandydat mówi prawdę – czy zajmował wskazane stanowiska, brał udział w konkretnych projektach, otrzymał grant lub jest autorem pracy naukowej. Sprawdzamy, czy ta osoba w ogóle istnieje. Bywa, że poza nazwiskiem nic się nie zgadza.

Jak dodaje Norbert Ptak, kandydaci coraz częściej korzystają z narzędzi, które pozwalają im uwiarygodnić nieprawdziwe informacje o sobie. Sztuczna inteligencja może pomóc nie tylko w przygotowaniu fikcyjnego CV, lecz także w opracowaniu odpowiedzi na pytania rekrutera. Dzięki temu osoba podająca nieprawdziwe informacje o swoim doświadczeniu może sprawiać wrażenie dobrze przygotowanej i kompetentnej.

Konsekwencje zatrudnienia takiego pracownika mogą być znacznie poważniejsze niż samo odkrycie, że nie ma on deklarowanych kwalifikacji. W skrajnych przypadkach zagrożone może być bezpieczeństwo informacji przedsiębiorstwa, zwłaszcza jeśli kandydat od początku zamierza wykorzystać uzyskany dostęp do poufnych danych.

Fałszywe CV, prawdziwe zagrożenie dla danych

Jak wynika z doświadczeń rozmówcy, jednym z możliwych celów tworzenia fikcyjnych profili zawodowych jest uzyskanie dostępu do informacji należących do firmy. Nie można wykluczyć, że osoba posługująca się fałszywym życiorysem działa na rzecz konkurencji lub próbuje zaszkodzić przedsiębiorstwu.

– Może okazać się, że celem jest wyłącznie wyłudzenie danych. Tu kluczowa jest polityka bezpieczeństwa informacji w firmie. Z naszych doświadczeń wynika, że nie zawsze zasada minimalizowania dostępu do danych działa w biznesie. Wystarczy, że laptopy są niezabezpieczone, a dane można wynieść na zwykłym nośniku takim jak pendrive. Nasze działanie często ma charakter postincydentalny. Reagujemy na wydarzenia, które już się wydarzyły. Otrzymujemy do sprawdzenia sprzęt pracownika i analizujemy także aktywność sieciową urządzenia. Sprawdzamy, czy ktoś nie łączył się z obcymi serwerami i czy nie wystąpiły żadne nietypowe ruchy – mówi Norbert Ptak.

Ekspert zwraca uwagę, że w wielu przedsiębiorstwach inwestycje w cyberbezpieczeństwo są w dużej mierze odpowiedzią na wymagania regulacyjne i ryzyko wysokich kar finansowych. Tymczasem skutki wycieku poufnych informacji mogą wykraczać daleko poza sankcje administracyjne. Utrata tajemnic handlowych, danych klientów czy strategicznych informacji może zagrozić zarówno reputacji firmy, jak i jej dalszej działalności. Dlatego, jak podkreśla Ptak, dbałość o bezpieczeństwo informacji trudno przecenić.

Zdaniem eksperta

OSINT to przede wszystkim umiejętność łączenia faktów

Znaczenie OSINT w cyberbezpieczeństwie będzie rosło. Analiza informacji z otwartych źródeł ma jednak znacznie szersze zastosowanie – od rozpoznawania działań konkurencji i wywiadu gospodarczego po ocenę ryzyka biznesowego. W obszarze bezpieczeństwa cyfrowego jest to narzędzie, z którego korzystają zarówno zespoły odpowiedzialne za ochronę firmowych systemów, jak i cyberprzestępcy. Obie strony analizują publicznie dostępne informacje o organizacjach, ich pracownikach, wykorzystywanych technologiach i potencjalnych słabych punktach.

Rosnąca rola OSINT nie musi jednak oznaczać powstania nowej, odrębnej profesji ani masowego tworzenia stanowisk przeznaczonych wyłącznie dla specjalistów w tej dziedzinie. Znacznie ważniejsze będzie rozwijanie umiejętności wyszukiwania i weryfikowania informacji, dostrzegania zależności między pozornie niezwiązanymi faktami oraz wykorzystywania zdobytej wiedzy do identyfikowania zagrożeń. Kompetencje te są szczególnie przydatne w analizie cyberzagrożeń oraz aktywnym poszukiwaniu śladów szkodliwej działalności w systemach informatycznych (threat hunting). Potrzebne są tu nie tylko wiedza techniczna, lecz także doświadczenie, umiejętność krytycznego myślenia i wyciągania trafnych wniosków na podstawie rozproszonych informacji. 

Robert Lindert,

Dyrektor zarządzający w Michael Page

Każda informacja ma znaczenie. Nawet trasa popołudniowego biegu prezesa

Analitycy OSINT zajmują się również śladem cyfrowym pozostawianym przez osoby zajmujące wysokie stanowiska. Nie chodzi przy tym wyłącznie o ich reputację czy potencjalne konflikty interesów. Informacje publikowane w internecie mogą bowiem stanowić zagrożenie dla bezpieczeństwa samych menedżerów.

– Jedną ze spraw, które prowadziliśmy, był audyt śladu cyfrowego wiceprezesa spółki. Mężczyzna ten w przeszłości był świadkiem potencjalnie niebezpiecznej sytuacji. Zastał pod swoim domem byłego pracownika, który nigdy nie powinien poznać jego adresu. Okazało się, że informacja o miejscu zamieszkania wiceprezesa już wcześniej była dostępna w sieci. Stąd tak ważne jest, by najważniejsze osoby w firmie same umiały zadbać o swoją prywatność – dodaje Norbert Ptak.

Przeczytaj: MyDr i Revolut, czyli jak firmy tracą kontrolę nad danymi. „Najsłabszym ogniwem bywa człowiek”

Jak wyjaśnia ekspert, menedżerowie często nieświadomie ujawniają w sieci informacje, które pozwalają odtworzyć ich codzienne zwyczaje. Wystarczy korzystać z aplikacji monitorującej aktywność fizyczną i regularnie publikować podsumowania treningów. Udostępniane mapy tras biegowych, wraz z datami i godzinami, mogą zdradzać znacznie więcej, niż zamierzali ich autorzy.

– Pracownicy C-level nie zawsze potrafią zadbać o bezpieczeństwo w sieci. Jeśli ktoś od roku o tej samej porze biega i pojawia się w określonym miejscu, to dane podajemy na tacy. Skoro możemy spotkać prezesa danej spółki w parku, to nic nie stoi na przeszkodzie, by pójść za nim i poznać jego adres – podsumowuje nasz rozmówca.

OSINT a prawo. Czy kandydat wie, że jest sprawdzany?

Troska o bezpieczeństwo firmy nie daje jednak pracodawcy nieograniczonego prawa do prześwietlania kandydatów. Nawet informacje publicznie dostępne w internecie podlegają przepisom o ochronie danych osobowych. Znaczenie mają zarówno cel ich gromadzenia, jak i zakres analizy oraz sposób wykorzystania uzyskanych informacji.

– Działamy zgodnie z prawem, zasadami bezpieczeństwa i etyką zawodową. Zdarza się, że nie od każdego przyjmiemy zlecenie, ważne są bowiem motywacje danej firmy. Działamy zgodnie z Kodeksem pracy i przepisami o ochronie danych osobowych. Nigdy nie zgodzimy się na audyt, jeśli firmie zależałoby na prywatnych czy intymnych informacjach o kandydacie, np. dotyczących jego orientacji seksualnej czy wyznania – dodaje Norbert Ptak.

Jedną z możliwych podstaw przetwarzania danych jest art. 6 ust. 1 lit. f RODO, dotyczący prawnie uzasadnionego interesu administratora lub strony trzeciej. Nie oznacza to jednak, że wystarczy powołać się na bezpieczeństwo firmy, aby móc dowolnie zbierać informacje o kandydacie. Pracodawca musi wykazać, że przetwarzanie danych jest niezbędne do osiągnięcia określonego celu, a jego interes nie przeważa nad prawami i wolnościami osoby sprawdzanej.

Czy zatem kandydat powinien wiedzieć, że jest poddawany analizie OSINT? Co do zasady, pracodawca ma obowiązek poinformować go o przetwarzaniu jego danych, w tym o celu i podstawie prawnej takiego działania. Powinien również określić zakres zbieranych informacji oraz okres ich przechowywania. Sam fakt, że dane można znaleźć w internecie, nie zwalnia z tych obowiązków.

Okiem prawniczki

Nie wszystkie chwyty są dozwolone

Weryfikacja kandydatów z wykorzystaniem OSINT musi uwzględniać nie tylko interes pracodawcy, lecz także prawo do prywatności osoby ubiegającej się o zatrudnienie. W praktyce oznacza to przestrzeganie kilku podstawowych zasad.

Związek z przyszłą rolą zawodową. Analiza powinna obejmować informacje istotne dla oceny ryzyka zawodowego lub reputacyjnego, np. publiczne wypowiedzi związane z działalnością zawodową, udokumentowane spory czy powiązania biznesowe. Nie powinna służyć zbieraniu informacji o życiu prywatnym, rodzinie czy poglądach niezwiązanych z pracą.

Szczególna ochrona danych wrażliwych. Informacje dotyczące m.in. poglądów politycznych, przekonań religijnych, zdrowia czy orientacji seksualnej należą do szczególnych kategorii danych, o których mowa w art. 9 RODO. Ich przetwarzanie jest co do zasady zabronione, chyba że zachodzi jeden z przewidzianych prawem wyjątków. Nawet jeśli kandydat sam ujawnił takie informacje publicznie, nie oznacza to, że pracodawca może je swobodnie wykorzystywać przy podejmowaniu decyzji o zatrudnieniu.

Wiarygodność źródeł. Internet pełen jest informacji nieaktualnych, nieprawdziwych lub dotyczących innych osób o tym samym nazwisku. RODO wymaga prawidłowości przetwarzanych danych. Raport oparty na nierzetelnych źródłach może więc stanowić zagrożenie zarówno dla kandydata, jak i dla firmy zamawiającej analizę.

Minimalizacja danych i ograniczenie czasu ich przechowywania. Należy zbierać wyłącznie informacje niezbędne do określonego celu. Dane powinny zostać usunięte, gdy przestaną być potrzebne, chyba że istnieje inna podstawa prawna ich dalszego przechowywania. Nie można też bezrefleksyjnie oceniać kandydata na podstawie komentarza opublikowanego kilkanaście lat wcześniej.

Poszanowanie ustawień prywatności. Korzystanie z fałszywych profili w celu uzyskania dostępu do zamkniętych kont, obchodzenie zabezpieczeń czy pozyskiwanie informacji podstępem mogą naruszać prawo i prawa kandydata. Samo zainteresowanie pracodawcy daną osobą nie uprawnia go do uzyskiwania dostępu do jej prywatnych treści.

Kontrola człowieka nad decyzjami. Automatyczne oceny reputacji przygotowywane przez narzędzia analityczne, w tym sztuczną inteligencję, nie powinny samodzielnie przesądzać o odrzuceniu kandydata. Art. 22 RODO ogranicza podejmowanie decyzji opartych wyłącznie na zautomatyzowanym przetwarzaniu, jeżeli wywołują one skutki prawne lub w podobny sposób istotnie wpływają na daną osobę. Przepisy przewidują przy tym określone wyjątki i zabezpieczenia.

Paula Skrzypecka

Prawniczka specjalizująca się w prawie nowych technologii i ochronie danych osobowych.

Główne wnioski

1. OSINT pomaga weryfikować kandydatów na najwyższe stanowiska kierownicze. Analiza informacji z otwartych źródeł pozwala sprawdzić wiarygodność CV, przebieg kariery zawodowej, deklarowane kwalifikacje i powiązania biznesowe. Umożliwia również ocenę publicznego śladu cyfrowego kandydata.
2. Biały wywiad służy nie tylko ochronie reputacji firmy. Może również pomóc wykryć nieprawdziwe informacje o kandydacie, potencjalne konflikty interesów czy zagrożenia dla bezpieczeństwa danych. Analizy OSINT wykorzystuje się także do ochrony kadry zarządzającej, której członkowie niekiedy nieświadomie ujawniają w internecie informacje o swoim miejscu zamieszkania i codziennych zwyczajach.
3. Dostępność informacji nie oznacza prawa do ich dowolnego wykorzystywania. Weryfikacja kandydatów musi być zgodna z przepisami prawa pracy i ochrony danych osobowych. Pracodawca powinien mieć odpowiednią podstawę prawną i, co do zasady, poinformować kandydata o przetwarzaniu jego danych. Analiza musi być ograniczona do informacji niezbędnych dla określonego celu i respektować prawo do prywatności.