Поставьте правильную цель
Инвентаризация нужна не для списка нарушителей. Её результат — карта задач, инструментов и типов данных, после которой компания предлагает безопасный способ сохранить полезную работу. Если начать с угроз, сотрудники удалят историю и продолжат пользоваться личными аккаунтами. Руководитель заранее обещает: первый сбор не влияет на оценку работы, имена не публикуются, а вопросы нужны для настройки правил. Исключение — уже произошедший инцидент, который разбирается отдельно.
Подготовьте короткую анкету
Спросите, какую задачу решает человек, как часто, какой сервис использует, что загружает и куда переносит результат. Не просите пароли, полную историю диалогов и содержимое клиентских документов. Добавьте варианты «личный аккаунт», «корпоративный аккаунт» и «не уверен». Последний ответ важен: многие не знают, где хранится информация. В конце спросите, что исчезнет из работы, если инструмент запретят завтра. Так видна реальная ценность, а не только риск.
Проведите двадцатиминутные разговоры
Выберите представителей продаж, поддержки, маркетинга, финансов и разработки. Попросите показать маршрут на обезличенном примере: от исходника до готового результата. Люди часто называют один чат, но по ходу выясняются расширение браузера, расшифровщик встречи и генератор изображений. Записывайте не бренды, а действия и данные. Один и тот же сервис может быть безопасным для редактуры публичного текста и недопустимым для разбора договора с персональными сведениями.
Разложите случаи по риску
Зелёная зона — публичные или специально подготовленные данные и черновик без автоматической отправки. Жёлтая — внутренние сведения, клиентский контекст или действие, требующее подтверждения. Красная — пароли, платёжные данные, медицинская информация, коммерческие тайны и самостоятельные необратимые действия. Границы уточняет ваш юрист и специалист по безопасности. Цвет относится к конкретному маршруту, а не к человеку или названию нейросети.
Найдите корень обхода
Сотрудники идут в неофициальный инструмент, когда одобренный вариант медленный, неудобный или вообще не решает задачу. Для каждого жёлтого и красного случая запишите причину: нет нужного языка, нельзя загрузить формат, слишком долгий доступ или отсутствует инструкция. Простое закрытие сайта не устраняет потребность. Дайте временный ручной маршрут и срок, когда появится решение. Иначе запрет станет декоративным, а риск уйдёт из поля зрения.
Сделайте минимальное правило
На одной странице перечислите разрешённые сценарии, данные для обезличивания, запрещённые категории и контакт для спорного вопроса. Добавьте три конкретных примера из сегодняшней инвентаризации. Формулировка «не загружайте конфиденциальное» слишком расплывчата; сотруднику нужен ответ про письмо клиента, таблицу цен или запись звонка. Укажите одобренные аккаунты и настройку хранения. Правило проверяют на людях: пять сотрудников должны одинаково классифицировать один пример.
Закройте быстрые дыры
Отключите публичные ссылки на диалоги, удалите забытые интеграции, ограничьте права сервисных аккаунтов и включите доступную корпоративную политику хранения. Не меняйте всё одновременно: у каждого действия должен быть владелец и способ проверки. Если обнаружены чувствительные данные в личном сервисе, следуйте процедуре инцидента, не копируя содержимое в общий отчёт. Сохраните доказательство удаления только в разрешённом контуре.
Предложите безопасную замену
Для каждого полезного теневого сценария назначьте ближайший разрешённый маршрут. Иногда достаточно корпоративного аккаунта и запрета на определённые поля; иногда нужен локальный инструмент или ручная помощь. Укажите не только запрет, но и срок ответа на запрос нового сервиса. Сотрудник должен понимать, куда принести пример и когда получит решение. Если согласование занимает месяц, срочная работа снова уйдёт в личный чат. Простая форма с владельцем и статусом делает политику живой.
Как сообщить результат руководству
Не составляйте рейтинг отделов по числу найденных сервисов: активная команда может просто честнее отвечать. Покажите количество сценариев по зонам риска, причины обхода и план закрытия пробелов. Отдельно вынесите быстрые улучшения и вопросы, требующие бюджета. Не включайте содержимое запросов, если оно не нужно для решения. Руководству важны контролируемые потоки данных, ответственные и сроки, а не скриншоты сотрудников из браузерной истории.
Проверьте, поняли ли правило
На следующий день дайте сотрудникам четыре короткие ситуации: публичный текст, письмо клиента, внутренняя таблица и запрос на автоматическую отправку. Попросите выбрать разрешённый маршрут и объяснить решение. Если ответы расходятся, проблема не в дисциплине, а в формулировке правила или отсутствии удобной альтернативы. Исправьте примеры и повторите проверку. Такое упражнение полезнее подписи под длинным документом, который никто не умеет применить в реальной задаче.
Повторите проверку через месяц
Сравните число известных сценариев, долю корпоративных аккаунтов, вопросы сотрудников и реальные инциденты. Хороший результат — не ноль используемых нейросетей, а меньше неизвестных потоков и понятный путь согласования нового инструмента. Добавьте инвентаризацию в адаптацию сотрудников и квартальный обзор поставщиков. Когда люди видят, что полезные сценарии получают поддержку, они раньше сообщают о новых сервисах и помогают компании управлять риском до проблемы.