Software House: Zabezpieczenie własności intelektualnej
Wdrożyliśmy doktrynę ochrony aktywów niematerialnych. Zabezpieczyliśmy kod źródłowy i bazy danych przed odejściem kluczowych programistów do konkurencji.
Właściciel CodeShield Solutions zauważył, że dwaj kluczowi programiści zaczęli zbyt często dopytywać o strukturę własnościową kodu. Rynek IT we Wrocławiu jest mały, a ryzyko, że autorskie algorytmy trafią do konkurencji wraz z ludźmi, stało się realne.
Wyzwanie
Firma zarządzała 14 aktywnymi projektami dla klientów z sektora medycznego. Problem polegał na tym, że 8 programistów miało pełny, niekontrolowany dostęp do głównych repozytoriów kodu oraz baz produkcyjnych. Stare umowy B2B zawierały dziurawe zapisy o przeniesieniu praw autorskich, co w praktyce uniemożliwiało skuteczne dochodzenie roszczeń w sądzie.
Sytuacja była napięta, bo jeden z liderów zespołu otrzymał ofertę od bezpośredniego rywala. Brak procedur wyjścia i brak zabezpieczeń technicznych oznaczał, że CodeShield mogło stracić kontrakty warte 340 000 PLN w ciągu jednego miesiąca. Właściciel czuł, że traci kontrolę nad tym, co najważniejsze – nad kodem, za który klienci już zapłacili.
Podejście
Zaczęliśmy od audytu 11 aktywnych umów B2B i 3 kontraktów o pracę. Korporacyjna Racja Stanu oddelegowała dwóch specjalistów, którzy przez 9 dni roboczych analizowali logi dostępowe i strukturę uprawnień w systemach Git. Skupiliśmy się na twardych danych: kto, kiedy i ile kodu pobierał na prywatne dyski.
Następnym krokiem było przygotowanie nowych aneksów do umów, które precyzyjnie definiują moment przejścia praw i wprowadzają kary umowne za naruszenie poufności. Nie bawiliśmy się w korporacyjne uprzejmości. Postawiliśmy sprawę jasno: chronimy kapitał firmy, aby zapewnić stabilność wypłat dla reszty 12-osobowego zespołu.
Rozwiązanie
Wprowadziliśmy system rozproszonych uprawnień. Teraz żaden pracownik nie ma wglądu w całość architektury bez wyraźnego powodu biznesowego. Wdrożyliśmy doktrynę 'Liczby nie kłamią' – każdy eksport danych jest logowany i wymaga autoryzacji drugiego administratora. Zmieniliśmy też proces 'offboardingowy'.
Dodatkowo, zorganizowaliśmy krótkie przeszkolenie dla kadry zarządzającej z zakresu ochrony tajemnicy przedsiębiorstwa. Pokazaliśmy, jak rozpoznawać symptomy planowanego odejścia pracownika z bazą danych. Wszystkie dokumenty prawne zostały dostosowane do aktualnego orzecznictwa sądów we Wrocławiu, co daje realną podkładkę pod ewentualne procesy odszkodowawcze.
Rezultaty
W ciągu 47 dni od wdrożenia, firma w pełni odizolowała kluczowe segmenty kodu. Gdy jeden z programistów faktycznie odszedł do konkurencji w czerwcu, nie był w stanie wynieść żadnych wartościowych danych, a jego dostęp został zablokowany w 14 minut po złożeniu wypowiedzenia.
Harmonogram
-
12 Maj 2024Audyt logów i uprawnień w systemie Git
-
29 Maj 2024Przegląd 14 umów i przygotowanie nowych aneksów
-
15 Czerwiec 2024Wdrożenie dwustopniowej autoryzacji eksportu danych
-
04 Lipiec 2024Zamknięcie procesu i testowe odcięcie dostępów
"Bałem się, że programiści uznają nowe umowy za brak zaufania i odejdą. Okazało się, że jasne zasady ich uspokoiły. Teraz wiem, że mój kod jest bezpieczny, nawet jak ktoś zmieni barwy."