OSINT для работы: Как искать открытые данные о компаниях и рынках

Граница между исследованием и вторжением

Если исследование должно повлиять на конкретное решение, его масштаб определяют не объём доступной информации, а данные, необходимые для обоснованного выбора. Публикация не становится достоверной от одного лишь повторения. И открытый доступ сам по себе не даёт права без ограничений собирать, хранить и распространять сведения.

Запрос на проверку поставщика обычно звучит просто: нужно понять, способен ли он выполнить договор и насколько устойчив его бизнес. Первые источники очевидны — сведения о юридическом лице, участие в закупках, судебные споры, официальный сайт. Но поиск легко смещается: от компании — к её руководителю, от его деловой роли — к личным страницам, семье, адресу и кругу общения. Найденные подробности могут казаться полезными лишь потому, что их удалось обнаружить. Профессиональное исследование начинается с другого вопроса: не «что ещё доступно?», а «какое решение изменит этот факт?».

Публичность — не универсальное разрешение

У открытого источника есть как минимум три свойства, которые часто смешивают. Его можно обнаружить без специальных полномочий; сведения в нём опубликованы официально или самим автором; их использование для конкретной цели допустимо. Первые два свойства не гарантируют третьего.

Например, данные о компании в государственном реестре предназначены для определённых юридически значимых задач и доступны в установленном порядке. Сведения из ЕГРЮЛ помогают подтвердить статус организации, имя руководителя или виды деятельности. Карточки арбитражных дел показывают, участвовала ли компания в судебных спорах, а Единая информационная система в сфере закупок — работала ли она с государственными заказчиками. Это содержательные источники для проверки контрагента. Но и здесь важно учитывать назначение источника, актуальность сведений и пределы выводов. Наличие спора не доказывает недобросовестность, а запись о руководителе не превращает его личную жизнь в предмет проверки.

Иначе обстоит дело с открытой страницей физического лица. Человек мог указать там место работы, профессиональный опыт или взгляды. Страница доступна без регистрации, но это не означает, что автор согласился на любое дальнейшее использование публикации — от составления досье до передачи заказчику и хранения в корпоративной базе. Законное основание, цель и объём обработки по-прежнему имеют значение.

Федеральный закон № 152-ФЗ «О персональных данных» не ограничивает обработку работой с конфиденциальными документами. К ней относятся, в частности, фиксация, хранение, извлечение, использование, передача и удаление персональных данных. Поэтому имя, перенесённое с открытой страницы в отчёт или таблицу, уже может считаться обработкой, даже если исследователь не обращался к закрытым системам.

Закон предусматривает несколько оснований для обработки. Согласие — одно из них, но не единственное: в зависимости от ситуации основанием могут быть договор, требования закона и другие предусмотренные им случаи. Однако деловая цель не даёт права собирать любые данные о любом человеке. Основание должно подходить к конкретной задаче, а сама обработка — соответствовать установленным принципам. Если организация не может ясно объяснить, зачем ей нужны сведения о человеке, ссылки на «интерес бизнеса» недостаточно.

Для персональных данных, которые человек разрешил распространять, закон устанавливает отдельный режим. Сам факт, что страница видна всем, не подтверждает, что автор разрешил включать её содержимое в коммерческий отчёт, объединять его с данными из других источников или передавать третьим лицам. Порядок использования зависит от того, как сведения стали доступными, с какой целью их обрабатывают и какие операции планируют.

Деловая информация и сведения о людях

Данные о юридическом лице и персональные данные — не одно и то же. Выручка организации, её адрес, сведения о государственных закупках или дата регистрации обычно описывают компанию. Имя директора, его личный телефон и профессиональный путь относятся к человеку. Иногда одна запись совмещает оба типа информации: например, карточка компании связывает её название с конкретным руководителем.

Персональными могут быть сведения, по которым человека можно определить прямо или косвенно. Фамилии и должности иногда недостаточно, чтобы установить личность, но в сочетании с названием небольшой компании, регионом и публикациями она может стать очевидной. И наоборот: общий адрес вроде «info@» обычно не указывает на конкретного человека, тогда как адрес формата «имя.фамилия» может указывать. Значение имеет контекст, а не только название поля в таблице.

Особенно легко потерять границу при изучении индивидуального предпринимателя: сведения о бизнесе здесь связаны с физическим лицом. То, что предприниматель использует эти данные в работе, не отменяет необходимости определить цель и основание обработки. Аналитик может проверять деловую активность, но не должен превращать такую проверку в сбор всего, что удаётся найти о частном лице.

Закон выделяет особые категории персональных данных, в том числе сведения о здоровье, национальной принадлежности, политических взглядах, религиозных убеждениях и интимной жизни. Биометрические данные имеют особый статус, когда их используют для установления личности. Не следует включать такие сведения в обычное исследование компаний и рынков «на всякий случай». Если деловая задача якобы требует этой информации, стоит остановиться и обратиться к юристу, а не расширять поиск самостоятельно.

Не всякая информация, чувствительная для человека, относится к специальным категориям закона. Домашний адрес, сведения о семье или досуге могут не входить в этот перечень, но от этого не становятся безобидными или полезными для деловой проверки. Такие данные повышают риск навредить человеку и обычно слабо связаны с решением о надёжности поставщика или размере рынка. Важны не только формальные категории, но и необходимость, соразмерность и возможные последствия использования сведений.

Представим, что компания проверяет нового поставщика. Нужно решить, можно ли заключить договор и какие условия снизят риск срыва поставок. Для этого может быть достаточно подтвердить регистрацию, полномочия подписанта, профиль деятельности, историю участия в закупках и сведения о релевантных судебных спорах. Это деловая информация, хотя в отдельных документах могут упоминаться конкретные люди.

Если в официальных данных указано имя руководителя, аналитику не обязательно исключать его из проверки. Оно может понадобиться, чтобы удостовериться, кто вправе действовать от имени компании. Но необходимость заканчивается там, где сведения перестают помогать принять решение. Семейное положение, адрес проживания или личные конфликты не становятся релевантными лишь потому, что их можно связать с человеком, управляющим организацией.

Иногда история руководителя действительно важна для деловой оценки: например, если нужно проверить его полномочия или установить связь между нынешней организацией и другой компанией, фигурирующей в существенном споре. Тогда нужны конкретная гипотеза, надёжный источник и осторожный вывод. Совпадение фамилий не подтверждает, что речь идёт об одном человеке; общий руководитель не доказывает, что нынешняя компания отвечает за прежние нарушения. Вместо длинного перечня найденных связей в отчёт стоит включить только проверяемые факты, влияющие на решение, указать источник и отделить факт от интерпретации.

Что именно требует закон

Для практической работы из ФЗ-152 полезно вынести несколько ориентиров. Цель обработки должна быть определённой и законной: нельзя собирать данные «про запас», надеясь, что они когда-нибудь пригодятся. Объём должен соответствовать цели и не быть избыточным. Данные нужно поддерживать в актуальном состоянии и хранить не дольше, чем требуют цель и применимые нормы. После завершения обработки их следует удалить или обезличить, если нет другого законного основания для хранения.

Эти принципы относятся не только к готовой базе контактов. Они важны и для заметок аналитика, выгрузок, скриншотов, промежуточных таблиц и приложений к отчёту. Если по заметке можно определить конкретного человека, в ней могут содержаться персональные данные. Если аналитик переслал файл заказчику или коллеге, к сбору добавилась передача. Разные операции требуют разных организационных мер; привычка называть всю работу «поиском в интернете» не меняет её сути.

За обработку отвечает тот, кто определяет её цели и порядок. В проекте с внешним исполнителем важны договор и техническое задание, но одного названия роли в договоре не всегда достаточно, чтобы установить, кто именно является оператором персональных данных. Заказчику и исследователю стоит заранее согласовать цель, категории данных, допустимые источники, круг лиц с доступом к материалам, срок хранения и порядок удаления. Если речь идёт о масштабной обработке, чувствительных данных или регулярном профилировании людей, оценку должен провести специалист по праву и защите данных.

Не следует считать, что согласие нужно для любого делового исследования персональных данных, или, наоборот, что открытая публикация избавляет от необходимости найти основание для обработки. Закон предусматривает разные основания, применимость которых зависит от обстоятельств. Например, организация может обрабатывать часть сведений в рамках исполнения договора или требований закона. В некоторых ситуациях рассматривают законные интересы организации или третьих лиц, но это не универсальное разрешение: нужно оценить, не нарушаются ли права и свободы человека и можно ли достичь цели способом с меньшим вмешательством в его права. Если команда не может объяснить, почему выбрала то или иное основание, вопрос нужно передать на юридическую проверку до начала сбора, а не после составления отчёта.

У оператора есть и другие обязанности: защищать данные, ограничивать доступ и организовывать обработку. Для конкретной организации может иметь значение необходимость уведомить Роскомнадзор и вести внутреннюю документацию; наличие отдельных обязанностей зависит от обстоятельств и предусмотренных законом исключений. Аналитику не стоит самостоятельно объявлять проект освобождённым от требований закона лишь потому, что данные берут из открытых источников. Если компания регулярно использует персональные данные в исследованиях, правила работы нужно согласовать с юристом и специалистами по информационной безопасности.

Проверка пяти границ

Перед сбором полезно пройтись по короткому списку вопросов. Он не заменит юридическую оценку, но поможет остановиться до того, как лишние сведения попадут в файл.

1. Деловая цель. Какое решение должна изменить эта информация? Формулировка «понять, кто этот человек» слишком широка. А вот «проверить, имеет ли указанное лицо право подписывать договор от имени поставщика» — цель конкретная и проверяемая.

2. Источник и доступ. Кто опубликовал сведения и для чего? Это официальный реестр, корпоративная страница, издание, коммерческая база с условиями использования или ресурс с ограниченным доступом? Можно ли получить материал способом, который разрешён владельцем источника и правилами доступа?

3. Необходимость. Можно ли ответить на вопрос, используя менее личные сведения? Если качество поставок оценивают по контрактам компании, не нужно составлять профили сотрудников. Если требуется подтвердить полномочия подписанта, достаточно проверить его статус и документы, а не изучать биографию семьи.

4. Объём и срок. Какие именно поля нужны, кто увидит результат и как долго его следует хранить? Если для вывода достаточно даты, статуса и ссылки на источник, незачем копировать целую страницу, все приложения и десятки связанных публикаций.

5. Основание для отказа. Есть ли причина не собирать данные: сомнительный источник, ограниченный доступ, явная утечка, сведения о здоровье или семье, отсутствие очевидной деловой связи? Возможность сказать «нет» — такая же часть профессионального метода, как умение найти документ.

Этот фильтр не требует автоматически присваивать каждому источнику зелёный или красный цвет. Один и тот же источник может быть уместен для одной задачи и избыточен для другой. Фрагмент судебного акта может подтвердить ход коммерческого спора, но не оправдывает извлечение всех упомянутых в нём персональных данных. Публичная запись о руководителе может помочь проверить его полномочия, но не служит основанием для построения карты личных связей.

Похожие сведения — разные способы получения

Сведения о руководителе поставщика можно найти в официальном реестре, на странице компании, в открытой публикации или в базе неизвестного происхождения. Содержание может совпадать, но надёжность источников и условия сбора различаются. Для аналитика важны цель, происхождение материала и способ доступа к нему.

Официальный источник обычно даёт понятный контекст: ясно, кто ведёт реестр, какие сведения в нём размещены и для каких процедур он предназначен. Это не делает каждую запись безошибочной и не снимает вопросов об использовании данных физического лица, но позволяет проверить происхождение информации и указать его в отчёте. Коммерческий справочный сервис может быть полезен, если его условия разрешают нужный вид работы и передачу результатов. Лицензия на просмотр не всегда означает право массово выгружать данные или включать их в продукт для третьих лиц, поэтому условия подписки нельзя считать формальностью.

Открытая страница в социальной сети требует более внимательной оценки. Профессиональная публикация руководителя может подсказать, что компания заявляет о запуске нового направления. Но личные фотографии, список друзей или обсуждение семейных событий редко помогают оценить, способна ли компания выполнить договор. Если нужные сведения есть и в корпоративном источнике, собирать их из личного профиля обычно незачем. Если же публикация содержит важное деловое заявление, в отчёте лучше сослаться на исходный материал и точно указать, что именно он подтверждает, не извлекая соседние сведения о человеке.

Способ доступа тоже имеет значение. Закрытая группа, личный кабинет для ограниченного круга пользователей, документ под паролем или база, к которой предоставили доступ для другой задачи, не становятся открытыми источниками только потому, что в них обнаружились полезные сведения. Не следует обходить технические ограничения, пользоваться чужими учётными данными, выдавать себя за другого пользователя или пытаться получить доступ к закрытой переписке. Такой сбор может нарушить права людей, условия использования ресурса и внутренние правила организации, а полученный материал окажется непригодным для принятия решения.

Особый случай — документ, который неожиданно оказался доступен без защиты, хотя по содержанию похож на внутренний файл. Техническая доступность не всегда означает, что владелец намеревался опубликовать его для всеобщего использования. Если в материале есть персональные данные, коммерческая тайна или закрытые документы, не следует скачивать другие файлы или распространять найденное. Достаточно зафиксировать адрес и время обнаружения, ограничить доступ к уже полученным материалам и передать вопрос специалисту по безопасности или юристу. Дальнейшие действия, в том числе необходимость сохранить фрагмент как свидетельство инцидента, должен определить ответственный специалист.

Сведения из утёкших баз использовать не следует. Низкая цена, удобная выгрузка или присутствие тех же данных в других местах не дают надёжного основания считать такой источник допустимым. Использование утечки может навредить людям и создать для компании правовой и репутационный риск. Для деловой проверки её лучше заменить официальными реестрами, документами контрагента, законными коммерческими источниками или запросом через установленную процедуру.

Рынок часто изучают через людей, хотя ответ на деловой вопрос можно получить без персональных профилей. Допустим, компании нужно оценить спрос на специалистов в отрасли. Для этого подойдут открытые вакансии: требования, география, диапазон оплаты и динамика публикаций. Аналитик фиксирует организацию, роль, дату, регион и параметры, важные для оценки, удаляет дубликаты и отслеживает тенденции. Имена соискателей, резюме, личные телефоны и публикации сотрудников для такой задачи не нужны.

Другой уровень анализа потребуется, если вопрос касается конкретных руководителей или ключевых специалистов. Тогда исследователю нужно назвать деловую причину — например, установить, кто уполномочен представлять компанию в переговорах. Но и в этом случае собирать всю историю трудоустройства, контакты и публичные высказывания не обязательно. Можно проверить текущую должность в источнике, связанном с самой организацией, и запросить подтверждение у контрагента. Чем сильнее вывод зависит от сведений о конкретных людях, тем яснее должны быть основание, пределы доступа и срок хранения.

Минимум, который позволяет принять решение

Минимизация — не попытка укоротить отчёт любой ценой. Её задача — оставить достаточно проверяемых данных для решения и убрать то, что не добавляет доказательной силы.

При проверке поставщика команда может сохранить дату получения выписки, название организации, необходимую запись о её статусе и ссылку на источник. Вместо того чтобы копировать в рабочую папку десятки судебных документов, достаточно описать релевантный спор, указать номер дела или официальный источник, стадию процесса и дату проверки. Сведения о физических лицах, не относящиеся к вопросу, не нужно переносить в отчёт. Доступ к исходным материалам следует оставить только тем, кому они нужны для работы.

Минимизацию не следует путать с уничтожением доказательств. Если сведения нужны для обоснования решения или должны храниться по закону, договору либо внутренним правилам, срок хранения определяют с учётом этих требований. Но хранить все выгрузки без ограничения срока на случай будущего проекта — не нейтральная мера предосторожности. Чем больше таких материалов, тем выше ущерб от ошибочной рассылки, утечки или несанкционированного доступа. Практичнее заранее установить срок пересмотра материалов и назначить ответственного за их удаление или обезличивание после завершения задачи.

Обезличивание тоже требует аккуратности. Удалить имя — не всегда значит сделать данные анонимными: в сочетании с должностью, небольшим регионом, редкой специализацией и датой человек может остаться узнаваемым. Если рынок можно изучать по агрегированным показателям, не стоит хранить индивидуальные строки «на всякий случай». А при малом числе наблюдений даже сводная таблица иногда позволяет определить конкретного человека; такие результаты нужно укрупнить или не публиковать.

В исследовательской заметке полезнее оставить не весь исходный материал, а проверяемую цепочку вывода: вопрос, источник, дату обращения, существенный факт, оценку достоверности, ограничения и вывод для решения. Например: «В реестре на дату проверки указан действующий руководитель. Это подтверждает его полномочия, но не позволяет оценить фактическую способность компании выполнить заказ». Такая запись информативнее длинной подборки личных публикаций с предположениями о характере и мотивах человека.

Документируемое исследование

До начала работы достаточно завести короткую карточку проекта. В ней фиксируют конкретное решение, категории данных, источники и допустимые способы доступа, основания обработки персональных данных, если они используются, круг лиц с доступом, срок хранения и условия удаления. Если исследование ведёт внешний исполнитель, те же границы нужно согласовать с заказчиком до передачи исходных материалов.

Карточка пригодится не только юристу или специалисту по защите данных. Она поможет исследователю не терять из виду исходную задачу. Если проект посвящён устойчивости поставщика, а в папке появилась таблица родственников директора, несоответствие сразу бросается в глаза. Если для оценки спроса сохраняют имена авторов всех публикаций, стоит проверить, не достаточно ли подсчитать вакансии и компании. Если новый источник требует войти под чужой учётной записью, команда заранее знает, что такой способ исключён.

В карточке стоит кратко зафиксировать и отказ от сбора, если он был существенным. Например: «Личные адреса и сведения о семье не собирались: они не нужны для оценки платёжной дисциплины компании». Это не бюрократическая перестраховка, а свидетельство того, что команда осознанно ограничила объём исследования и не смешивала деловой интерес к организации с неограниченным интересом к людям.

Если материалов уже собрано больше, чем требует цель, не нужно пересылать их коллегам «для оценки». Ограничьте доступ, остановите дальнейшее копирование и обратитесь к ответственному за персональные данные, юристу или службе информационной безопасности. Решение об удалении должно учитывать требования закона и договора, а также возможную необходимость сохранить сведения об инциденте. Если затронуты специальные категории данных, сведения из утечки, данные несовершеннолетних или закрытые ресурсы, особенно важно получить юридическую оценку до продолжения работы.

Профессиональная граница — не просто перечень запретных сайтов. Она проходит через всю цепочку: от формулировки деловой цели до судьбы последней копии файла. Исследователь отвечает не только за то, что нашёл, но и за то, почему искал, каким способом получил материал, кому его показал и когда удалил. Хорошее исследование не стремится охватить всё подряд. Оно показывает, что для обоснованного решения достаточно меньшего объёма данных и что этот объём получен допустимым способом.

Практический фильтр допустимости сводится к пяти проверкам: цель, источник и ограничения доступа, необходимость, объём и срок хранения, основания для отказа. Если хотя бы на одном шаге нет внятного ответа, сбор следует сузить, заменить безопасной альтернативой или отложить до консультации с юристом. Так открытый поиск остаётся инструментом деловой оценки, а не способом вторгаться в частную жизнь.

Граница определяет не только то, какие сведения нельзя собирать, но и то, какие источники действительно помогут принять решение. Следующий шаг — составить карту поиска: заранее наметить направления, источники и точки остановки, чтобы исследование не превратилось в бесконечный просмотр страниц.

Карта поиска вместо бесконечного серфинга

На двадцать третьей вкладке всё ещё открыт тот же вопрос: «Что известно о поставщике?» Решение, для которого нужны данные, уже обозначено. Теперь важно не собрать побольше ссылок, а пройти проверяемый маршрут. На карте поиска для каждого существенного утверждения стоит отмечать, где оно появилось впервые, какие материалы его перепечатывают и есть ли независимое подтверждение. Исследование должно оставаться в пределах деловой задачи и публично доступной информации.

В этой главе OSINT — метод исследования; публично доступная информация — общий массив материалов, а открытые данные — отдельный вид такой информации.

Когда вкладок больше, чем ответов

Представим учебную ситуацию. Компания рассматривает нового поставщика промышленного упаковочного оборудования и решает, включать ли его в короткий список для предварительного запроса цены. На этом этапе не выбирают победителя и не подписывают договор. Нужно выяснить три вещи: та ли это организация, что указана в предложении; предлагает ли она нужное оборудование; достаточно ли свежих публичных сведений, чтобы продолжить знакомство с поставщиком.