Права сотрудников и безопасность корпоративных данных

Использование средств обеспечения информационной безопасности (ИБ) на предприятиях практически всегда связано для персонала, в том числе и для VIP-пользователей корпоративных информационных ресурсов, с дополнительными ограничениями и неудобствами. Что же касается систем DLP (Data Leak Prevention, защита от утечек данных), то их повсеместно воспринимают как средство слежения за персоналом, некое недреманное око “большого брата”.

Вынесенная на заключительную панельную дискуссию конференции DLP-Russia '2010 тема соблюдения прав гражданина на тайну частной жизни в процессе обеспечения конфиденциальности корпоративных данных позволила представителям DLP-вендоров и искушенных в применении DLP-технологий корпоративных пользователей поделиться своим опытом в разрешении означенной коллизии и предостеречь новичков в области DLP-технологий от связанных с их эксплуатацией ошибок.

Согласно Конституции Российской Федерации (ст. 23, п. 2) каждый гражданин России имеет право на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений, и ограничение этого права допускается только на основании судебного решения. Заместитель генерального директора компании “Код безопасности” Максим Илюхин, ссылаясь на отечественную судебную практику, сообщил, что уволенные за нарушение корпоративных правил обеспечения ИБ при обращении в суд зачастую придерживают возможность подачи иска о нарушении своих конституционных прав как камень за пазухой, в реальности предъявляя претензии за несправедливость увольнения. Корпоративные юристы, учитывая возможные риски, связанные с затруднительным для них разбирательством нарушения конституционных прав, предпочитают идти на мировую и не доводить дело до судебного разбирательства. Людей восстанавливают, выплачивают им компенсации “за несправедливое увольнение”. Однако, как показывает статистика, после этого они надолго не задерживаются: либо увольняются сами по собственному желанию, сознавая, что в услугах нелояльного сотрудника компания не нуждается, либо глупо дожидаются, когда администрация не мытьем, так катаньем подведет их к увольнению “по статье” трудового кодекса.

Разумеется, у каждого гражданина есть неотчуждаемые конституционные права на тайну переписки и телефонных переговоров. Но и у предприятия есть свои, корпоративные секреты, и их тоже нужно защищать. Так, согласно требованиям закона требуют защиты банковская и коммерческая тайны, не говоря уже о гостайне. Как считают эксперты, между этими встречными требованиями вполне возможен компромисс. Оказывается, и с личными секретами персонала можно считаться, не позволяя уволенному за нерадивость или злой умысел работнику размахивать конституцией как дубинкой.

Администрации предприятия важно помнить, что ознакомление с перепиской сотрудников допустимо либо по решению суда, либо по согласию одной из участвующих в переписке сторон, либо в том случае, если вы — непосредственный участник переписки. Организации работы корпоративной почты по второму или третьему сценарию как раз и добиваются опытные руководители ИБ-службы. Так, заместитель генерального директора компании InfoWatch Рустэм Хайретдинов в качестве примера из своей практики упомянул о возможности установки на почтовый сервер утилиты проверки наличия адреса офицера ИБ в каждом почтовом отправлении и о запрещении отправки писем без оного. В этом случае отправитель электронного письма должен всякий раз вводить адрес офицера ИБ как получателя.

Далеко не всегда для того, чтобы контролировать переписку, ее содержимое должны просматривать люди. Например, в DLP-системах это делают роботы. Именно они проверяют контент сообщений на признаки конфиденциальных сведений. При этом перлюстрации почты субъектом не происходит — а закон запрещает вмешательство в переписку именно субъекта. ИБ-офицеры контролируют только сообщения об инцидентах, зарегистрированных средствами DLP. Эксперты также рекомендуют использовать шифрование почтовых архивов и самих баз данных ИБ-инцидентов. Это гарантирует защиту их контента от системных администраторов.

Итак, руководству предприятия следует организовать дело таким образом, чтобы специалистам ИБ были доступны только результаты срабатываний DLP-системы, чтобы они видели не весь текст корпоративной переписки, а только те фрагменты, которые были заданы DLP-системе в качестве шаблонов.

При развертывании DLP-системы, ее настройке и отладке доступ к конфиденциальному или личному контенту могут получить специалисты как самой компании, так и интегратора, выполняющего проект. В то же время по сложившейся практике интеграторы, занятые в этом процессе, никакой ответственности за нарушение конфиденциальности информации заказчика и защищаемых конституцией прав работников не несут, кроме той, что оговорена в договоре и имеет мало общего с требованиями законов. Чтобы преодолеть эту трудность, эксперты рекомендуют формировать для этапа внедрения искусственные массивы данных, добровольно предоставленные их владельцами. Если же заказчик категорически против доступа сотрудников интегратора к своей информации, то, как советуют специалисты InfoWatch, необходимые для DLP данные о структуре трафика заказчика (о приложениях, размере писем, ключевых словах) можно собрать с помощью роботов, а затем генерировать искусственный трафик с такой же структурой и отлаживать функционал DLP на нем.

Генеральный директор InfoWatch Наталья Касперская обратила внимание участников обсуждения на вполне реальную в нынешних обстоятельствах ситуацию. Как должна реагировать администрация предприятия, если DLP-система зарегистрировала передачу данных, маркированных как персональные, в электронном письме, отправленном сотрудником с нарушением предписанных для персональных данных регламентов?

В данном случае эксперты рекомендуют на основании зарегистрированных срабатываний защиты DLP обратиться к автору сообщения, вызвавшего эти срабатывания, с просьбой совместно с представителем службы ИБ разобрать сообщение. Если сотрудник согласится на это, то вопрос может быть разрешен внутри предприятия — ведь у нас нет законов, обязывающих компании информировать общественность об утечках персональных данных. Если же сотрудник согласия не даст, то у администрации появится повод для юридического разбирательства, в ходе которого добывается судебное разрешение на просмотр переписки и извлечение улик для преследования сотрудника за нарушение закона “О персональных данных”. При такой организации процесса у работника нет оснований для обращения в суд с претензиями о нарушении его конституционных прав.

Выводы, к которым пришли участники дискуссии, говорят о том, что обозначенная в теме обсуждения коллизия вполне разрешима. Для этого администрации предприятия, использующего DLP-систему, следует соблюсти при ее развертывании и эксплуатации ряд описанных выше условий. Тем же компаниям, которые откажутся от их выполнения и предпочтут использовать DLP-средства в режиме “большого брата”, придется получить лицензию ФСБ на применение специальных средств и осуществление с их помощью негласного сбора информации. В противном случае применение DLP будет нелегитимным.