Введение, или слово к правозащитникам
Ещё недавно DLP-системы [сноска 1] попадали под прицел местных правозащитников. Сама мысль, что подлец-работодатель читает частную переписку своих работников, да еще имеет наглость требовать, чтобы те в рабочее время занимались работой, приводила поборников прав человека в неистовство. Следовали немедленные кляузы… простите, жалобы в суды и надзорные органы с вечными ссылками на статью 23 Конституции РФ [сноска 2] и для солидности на статью 63 закона РФ «О связи». Работодателям приходилось отступать под опасливый шепот юрисконсульта «Нельзя так делать, на нас же в суд подадут!».
Постепенно здравый смысл вновь вступил в свои права. Большинство корпоративных юристов все-таки сумели разрешить «непреодолимое» противоречие между интересами компании и статьёй 23. Неожиданно для крутых правозащитников в той же самой Конституции РФ нашлась ещё и статья 17 [сноска 3]. Закон же «О связи», к несчастью правдорезов, и вовсе не имеет отношения к делу. Этот закон вообще-то регулирует отношения операторов связи с клиентами. Работодатель (по крайней мере, в большинстве случаев) не является оператором связи для своих работников, не предоставляет им какие-либо платные услуги связи, а следовательно закон «О связи» никак не регулирует отношения работник-работодатель. Таким образом, внедрение работодателем DLP-системы никак не нарушает охраняемые законом права работников (увы, права бездельничать и воровать законом пока не охраняются). Но как же компании пользуются завоеванными возможностями?
Прошлое
В настоящее время использование DLP-систем становится обычной практикой большинства корпоративных служб безопасности. Основная задача подобных систем на современном этапе – сбор и протоколирование всей информации о деятельности сотрудника в автоматизированной системе предприятия, а также обработка этой информации для выявления инсайдерства, мошенничества и других подозрительных действий.
Изначально, в 2003-2005 годах DLP позиционировались на российском рынке как средства для контроля за действиями пользователей (точнее – для уменьшения потерь от простоя сотрудников, занятых бесполезными прогулками по просторам Интернета) и, действительно, для перлюстрации почты сотрудников в целях предотвращения фактов утечки конфиденциальных данных. При этом внедрением таких систем занимались службы IT и информационной безопасности. Впрочем, довольно скоро стало понятно, что игра не стоит свеч. Программы-агенты существенно снижали быстродействие компьютеров, затрудняли нормальную работу и легко обнаруживались самими пользователями. Системы были негибкими – реально настроить систему можно было лишь одним из двух способов – пропускать всё или ловить столько, что никаких человеческих ресурсов не хватало для анализа всего собранного. Да и представленные на рынке системы были далеки от совершенства – их возможности зачастую ограничивались электронной почтой и контролем за WEB-трафиком.
Интерес к технологии немного поутих, но лишь на время. Сейчас достоинства системы уже распробовали службы кадров и экономической безопасности. Накоплен опыт правильного применения и настройки данных систем.
Сейчас на рынке имеется значительное количество DLP-систем, в т.ч. и российской разработки, работа с которыми не представляет существенных трудностей. Типовая DLP-система включает три основные части:
- программы-сенсоры (они же сторожа, они же агенты, они же снифферы — в зависимости от конкретного продукта) — более или менее скрытно ставятся на рабочие станции пользователей и непосредственно осуществляют сбор информации;
- сервер базы данных (он же алерт-центр, он же шлюз, он же центральный компьютер) — принимает информацию от сенсоров, сохраняет в собственной базе данных и фильтрует по запросам администратора);
- программа администратора (она же административная панель, она же дата-центр) — обеспечивает интерфейс с администратором, интерпретацию его запросов и выдачу информации.
Благодаря русскоязычному интерфейсу и более или менее понятной инструкции с установкой DLP-системы справляются в 80% компаний. А вот дальше…
Настоящее
Сегодня считается, что основной потребитель DLP-систем – служба безопасности компаний. Но служба безопасности начинает обслуживать систему в соответствии с собственными представлениями об эффективности. При этом во главу угла ставятся соображения секретности и конспирации – основной задачей оказывается сохранить в тайне сам факт установки и эксплуатации системы. Вторым препятствием на пути полномасштабной эксплуатации оказывается значительный объем «сырых» лог-файлов (например, переписка по ICQ), требующий больших затрат времени на обработку (в силу применения жаргонизмов, сокращений и т.п. обрабатывать такую информацию может только человек). Совокупность этих проблем буквально диктует специалисту службы безопасности легкий, совершено очевидный и неправильный вывод: использовать полученные результаты лишь в исключительных случаях. То есть данные, собранные с помощью DLP, пускаются в ход только в самых тяжелых ситуациях, когда требуется хирургическое вмешательство. Служба безопасности, разумеется, не пройдет мимо явного присвоения имущества компании, инсайдерства, откатов. Уличенных с помощью DLP-систем мошенников иногда увольняют, а чаще просто просят написать заявление «по собственному желанию». При этом (секретность же!) служба безопасности компании демонстрирует воистину экстрасенсорные способности, упорно замалчивая способ получения сведений. Ну что же, лучше так, чем никак.
А вот в менее серьезных случаях полученные сведения либо просто игнорируются, либо складываются «под сукно» до лучших времен. Наиболее типично, когда из поля зрения службы безопасности выпадают:
- откровенно некомпетентные работники (задают по переписке и в сообщениях мессенджеров «детские» вопросы, не могут разобраться в стандартных ситуациях, допускают нелепые ошибки);
- конфликтные работники (интриги и скандалы в служебной переписке, распространение сплетен, участие в явно аморальных действиях) [сноска 4];
- корпоративные бездельники (проводят рабочее время за просмотром развлекательных ресурсов и общением с братьями по разуму);
- теневые (они же неформальные) лидеры, пытающиеся управлять коллективом вместо официального руководителя.
Специалисты службы безопасности, если продемонстрировать им этих достойных персонажей, всегда имеют наготове дежурное оправдание: мы тут ни при чем, это компетенция менеджера по персоналу. В некоторой степени специалисты правы. Действительно, поддержание нормального психологического климата в коллективе – обязанность менеджера по персоналу, или, как теперь модно говорить, HR. Однако HR чрезвычайно стеснён в средствах, и тут ему на помощь вполне можно было бы использовать DLP-систему.
Будущее, или «А чем еще она полезна?..»
Для менеджера по персоналу очень важно понимать, что происходит в коллективе. Но надо признать, что большинство HR просто не в состоянии получить полную и адекватную картину неформальных взаимоотношений. Как и в других подразделениях, в кадровой службе вечно не хватает людей, на них висит множество разнообразных задач (мотивация, страховки, обучение). В результате немногие вообще дотягиваются до задачи анализа проводимых ими же политик, а эффективно это делают вообще единицы.
Кроме того, никакие анкеты не заменят живого общения. А на это у HR не хватает ни времени, ни умения. HR не обладают навыками оперативно-розыскной деятельности, за редчайшими исключениями не умеют приобретать «людей» [сноска 5] и потому буквально обречены на использование различных малоэффективных средств оценки состояния психологического здоровья коллектива. К числу таких приемов сомнительной полезности в различных компаниях могут относиться:
- интервью с работниками. Основное неудобство в том, что сами «серые кардиналы» вовсе не собираются каяться перед HR и расписывать свою неблаговидную роль в коллективе. Многие же работники просто не замечают закулисной деятельности неформальных лидеров и не в состоянии проконсультировать HR. Вдобавок коллектив, как правило, воспринимает HR как представителя администрации. В таком случае информационный ручеек тут же пересыхает – никто не хочет прослыть стукачом;
- анонимное анкетирование. Обычно дает достаточно полное представление о ситуации в компании. Однако иногда оказывается, что сотрудники компании склонны, мягко говоря, к фантазированию. Основная проблема – существенные затраты сил и времени на обработку таких анкет;
- интервью с увольняющимися работниками. Способ достаточно эффективен. Многие работники в последний день перед увольнением режут правду-матку, невзирая на лица. В этом случае, правда, работники далеко не всегда догадываются об истинной причине своих проблем и могут навести HR на ложный след;
- форум для работников на внутрикорпоративном портале. При грамотном подходе и изрядных усилиях HR тут можно почерпнуть немало полезной информации. Однако форум ошибок не прощает – стоит модератору слегка замешкаться, и дискуссионная площадка превращается в рассадник конфликтов и сплетен [сноска 6].
В условиях некоторого дефицита информации менеджеру по персоналу могла бы оказать неоценимую помощь служба безопасности. Речь идет именно о совместном использовании материалов, полученных с помощью DLP-системы. Те материалы, которые не используются службой безопасности, вполне могут оказаться кладезем полезных знаний для HR.
Заключительные оговорки
Разумеется, автор ни в коем случае не предлагает возложить на HR анализ «сырых» данных – эта работа была, есть и останется прерогативой службы безопасности. Слишком велика вероятность того, что HR не сможет скрыть от сотрудников неуместную осведомленность об их личных делах, а отсюда недалеко и до рассекречивания самого факта существования DLP-системы. Специалистам службы безопасности предстоит передавать HR уже обработанную информацию, не содержащую колоритных цитат.
Возможна подготовка для HR соответствующих аналитических справок и ежемесячных обзоров о настроениях в коллективе. Анализ общения работников посредством электронной почты и интернет-мессенджеров позволяет достаточно легко вычислить как неформальных лидеров, так и корпоративный балласт – бездельников, склочников, любителей поразвлечься в рабочее время.
В необходимых случаях служба безопасности может оперативно уведомлять HR о негативных явлениях в коллективе:
- об оскорбительном, вызывающем поведении отдельных работников и попытках разжечь конфликт;
- о нарушениях требований корпоративной политики использования информационных ресурсов, например загрузке файлов большого размера, пользовании внешними адресами электронной почты и т. д.;
- о нелояльном поведении отдельных работников — рассылке резюме, назначении встреч с новыми работодателями, незаконной передаче за пределы компании сведений ограниченного доступа;
- о «моббинге» работников.
При этом во всех документах службы безопасности, конечно же, не будет никаких упоминаний о DLP-системах, а также характерных цитат, позволяющих работнику понять, откуда получены сведения. Своевременно получив информацию, HR сможет спланировать и принять ответные меры. К числу таких мер могут относиться перетягивание на свою сторону, изоляция или увольнение неформальных лидеров, пересмотр трудовых функций бездельников, пересмотр системы мотивации или плавное увольнение нелояльных сотрудников и т. д.
В обоснование своих действий специалист службы безопасности и HR могут ссылаться на «информацию, полученную из конфиденциальных источников» и даже на «письмо лояльного и самокритичного работника». Даже одна такая ссылка весьма больно бьет по неформальным группировкам отрицательной направленности.
И наконец. Чтобы ввод в эксплуатацию DLP-системы не проходил по бессмертной российской схеме «гладко было на бумаге, да забыли про овраги, а по ним ходить», крайне нежелательно постигать систему методом проб и ошибок в собственной компании [сноска 7], гораздо надежнее для начала обучить ответственных сотрудников службы безопасности в компании-разработчике или стороннем учебном центре.
Автор с благодарностью примет Ваши замечания по этой теме по адресу sobetsky@itsecurity.ru.
________________________________________________________________________
[1] Data Leak Prevention — системы предотвращения утечки данных. Как правило, такие системы обеспечивают контроль за деятельностью пользователей корпоративной сети.
[2] Часть вторая этой статьи гласит: Каждый имеет право на тайну переписки, телефонных переговоров, почтовых, телеграфных и иных сообщений. Ограничение этого права допускается только на основании судебного решения.
[3] Часть третья этой статьи гласит: Осуществление прав и свобод человека и гражданина не должно нарушать права и свободы других лиц.
[4] Автору известен печальный случай, когда работники одной уважаемой российской компании в течение полудня по корпоративной системе обмена мгновенными сообщениями сговаривались заблокировать директора департамента в туалете. Весь обмен сообщениями фиксировался DLP-системой, но служба безопасности узнала об этом дьявольском плане лишь post factum, когда горемыка через три часа заточения был спасен уборщицей.
[5] Более употребительный термин для такого рода персонажей автор никак не может вспомнить после увольнения с государственной службы.
[6] На внутреннем портале одного крупного банка автору довелось увидеть реплики работников с такими многообещающими названиями, как «Очередное скотство начальника отдела аудита» и «Управляющий увольняет тех, кто не лижет ему промежность». Реплики не слишком походили на конструктивную критику.
[7] Между прочим, одним из последствий ошибок может стать рассекречивание DLP-системы перед широкими массами работников компании.
Автор статьи: Игорь Собецкий,
Руководитель Лаборатории экономической безопасности
Учебного центра "Информзащита"
Поделиться
