Внедрение российских DLP-агентов (InfoWatch, Сёрчинформ, Solar Dozor, Staffcop) на ноутбуках сотрудников: как не сесть по ст. 138 УК РФ за тайну переписки и не убить SSD
Каждый год в российском бизнесе повторяется драматическая ошибка: собственник компании подозревает руководителя отдела продаж в сливе тендеров конкуренту, ночью тайком просит сисадмина «скрытно поставить шпионскую программу перехвата мессенджеров, микрофона и веб-камеры» на ноутбук менеджера, ловит факт слива и гордо несёт распечатки в полицию и районный суд для увольнения по пп. «в» п. 6 ч. 1 ст. 81 ТК РФ (разглашение коммерческой тайны).
И тут в зале суда происходит шок на 180 градусов:
- Суд признаёт скриншоты НЕДОПУСТИМЫМ ДОКАЗАТЕЛЬСТВОМ, полученным с нарушением ст. 23 Конституции РФ (право на тайну переписки и телефонных переговоров), восстанавливает уволенного менеджера с выплатой ему
1,5 миллиона рублейвынужденного прогула; - А против самого сисадмина и директора по безопасности Следственный комитет РФ возбуждает реальное уголовное дело по ч. 2 ст. 138 УК РФ (нарушение тайны переписки с использованием служебного положения!) и ст. 137 УК РФ (незаконное собирание сведений о частной жизни)!
Почему у одних компаний InfoWatch, Сёрчинформ КИБ, Solar Dozor и Staffcop в суде на 100 % выигрывают многомиллионные дела об увольнении и взыскании убытков с инсайдеров, а у других оборачиваются уголовкой?! Всё решают четыре обязательных юридических шага ДО установки первого агента на ноутбук!
Юридический фундамент законного внедрения DLP на корпоративных ноутбуках (ФЗ № 98-ФЗ «О коммерческой тайне» + Постановление Конституционного Суда РФ от 26.10.2017 № 25-П)
| Обязательный локальный нормативный акт (ЛНА) | Ключевая юридическая формулировка | Что происходит при отсутствии этого пункта! |
|---|---|---|
| 1. Режим Коммерческой тайны по ст. 10 ФЗ № 98-ФЗ! | Утверждён конкретный Перечень информации, составляющей коммерческую тайну, определён порядок обращения, нанесён гриф «Коммерческая тайна ООО ...» (включая цифровые метки и колонтитулы), ведётся учёт лиц, получивших доступ! |
Если в компании не введён режим КТ по всем 5 пунктам ст. 10 ФЗ № 98-ФЗ, Верховный Суд РФ ВСЕГДА отменяет увольнение за слив базы — «раз не было режима КТ, сотрудник ничего не нарушил»! |
2. Прямой запрет использования корпоративного ноутбука и корпоративной почты в личных целях (Положение об использовании ИТ-ресурсов)! |
«Выданный Работнику служебный ноутбук (акт передачи оборудования) предназначен ИСКЛЮЧИТЕЛЬНО для исполнения трудовых обязанностей. Ведение личной переписки, вход в личные аккаунты соцсетей, мессенджеров и банков, хранение личных фотографий и сведений о частной жизни на служебном ноутбуке ЗАПРЕЩАЮТСЯ»! | КЛЮЧЕВАЯ ПОЗИЦИЯ КС РФ! Когда работник под подпись уведомлён о запрете личного использования служебного ноутбука и об автоматизированном контроле ИБ, у него юридически отсутствует разумное ожидание приватности (Reasonable Expectation of Privacy) на служебном устройстве, и вся деловая переписка на нём принадлежит работодателю! |
3. Письменное ознакомление КАЖДОГО сотрудника под личную подпись (ст. 22, 68, 74 ТК РФ) о работе автоматизированной системы DLP! |
Открытое уведомление о том, что все сетевые соединения, подключаемые USB-накопители, печать на корпоративных принтерах и буфер обмена корпоративного ноутбука контролируются средствами защиты информации! (Никаких «тайных закладок» — открытая превенция удерживает от ошибки 95 % людей ещё ДО совершения нарушения!) |
Скрытая от работников прослушка и перлюстрация — прямой путь к ст. 138 УК РФ! |
| 4. КАТЕГОРИЧЕСКИЙ ЗАПРЕТ на скрытую фоновую аудиозапись микрофона комнаты и скрытую съёмку веб-камерой удалённого сотрудника у него дома! | Отключите в политиках агента любые модули скрытого включения микрофона/веб-камеры ноутбука — в квартире удалённого сотрудника ходят его несовершеннолетние дети и супруги, не состоящие с вами в трудовых отношениях (ч. 1 ст. 137 УК РФ без шансов на оправдание!)! |
Контролируйте ТОЛЬКО цифровые каналы передачи служебных файлов! |
Техническая гигиена: почему на ноутбуке с 8 ГБ ОЗУ одновременная битва DLP-агента + Антивируса EDR вешает ноутбук намертво!
Драйвер файлового минифильтра антивируса (KES / Dr.Web) и драйвер перехвата файловых/TLS операций агента DLP (вместе с агентами инвентаризации парка и шифрования диска) выстраиваются в одну цепочку ядра ОС! Если не настроить взаимные перекрёстные исключения (Cross-Exclusions):
- антивирус начинает проверять теневой архив перехваченных файлов
DLP, в ответDLPпытается перехватить и проиндексировать с OCR этот же файл антивируса — возникает мёртвая клинч-петля (Deadlock), съедающая100 %диска и4 ГБ ОЗУ! - Два железных технических правила:
- На ноутбуки с полноценным толстым агентом
DLPс модулем теневого копирования и OCR закупайте СТРОГО НЕ МЕНЕЕ16 ГБ(а для аналитиков и разработчиков32 ГБ) ОЗУ! - Строго по официальной инструкции
InfoWatch / Сёрчинформ / Solarвнесите рабочие директории и процессыDLPв доверенные исключения антивирусаKESи наоборот, а также исключите из перехватаDLPгигантские папки сборки кода разработчиков (node_modules,.git,Docker,target)!
- На ноутбуки с полноценным толстым агентом
Чек-лист регламента доступа к консоли офицера ИБ (принцип «четырёх глаз»)!
- [ ] В консоли
DLPвключено неизменяемое журналирование действий самого офицера ИБ (чтобы рядовой безопасник не читал из любопытства переписку финансового директора о зарплатах топ-менеджеров — создаётся отдельная защищённая ВИП-группа руководства!).
Частые вопросы
Как работает перехват HTTPS-мессенджеров и облачных хранилищ (Яндекс Диск / Почта TLS 1.3) на ноутбуке сотрудника?
Агент на корпоративном ноутбуке устанавливает в системное доверенное хранилище ОС (и хранилище NSS браузеров Firefox/Chromium) внутренний корневой сертификат организации для локальной расшифровки исходящих HTTPS-запросов. ВНИМАНИЕ: обязательно добавляйте в белый список исключений SSL Bypass (БЕЗ подмены сертификата!) государственные порталы ФНС/Госуслуг с двухсторонним ГОСТ TLS, клиент-банки и сервисы ВКС — иначе подмена сертификата сломает электронную подпись бухгалтерии!