Сложно оценить, как часто службы информационной безопасности фиксируют инциденты, связанные с действиями сотрудников. Даже небольшие компании регулярно оказываются в ситуации, когда недобросовестный сотрудник использует ошибки в ERP-системах или несовершенство бизнес-процессов компании в корыстных целях.
Разберем пример: есть компания, которая занимается производством и реализацией, скажем, пластиковых окон. Компания внедрила и постоянно улучшает ERP-систему. Система автоматизировала большинство значимых для компании процессов, в частности, закупку, отгрузку и учет товара.
Сотрудники, которые многие годы работают с такой системой, знают об уязвимостях, имеющихся в системе. Более того, в системах ERP часто имеются известные дыры, про которые некоторые сотрудники знают, но не спешат сообщать об этом руководству или разработчикам, т. к. используют их для решения текущих задач.
В какой-то момент происходит инцидент, например, отгружается готовая продукция на крупную сумму представителям неизвестной компании без фактической оплаты, при этом в системе появляется информация, что оплата есть. Выявить этот факт удается только после аудита или при подготовке отчета за очередной налоговый период.
В итоге нет ни продукции, ни оплаты.
Компания, которая оказалась в такой ситуации, может обратиться в правоохранительные органы, искать пропавший товар и пытаться наказать виновных в соответствии с законом. Однако не все так просто.
Инициировать уголовное дело и довести его до приговора суда — чрезвычайно сложно и затратно. Эти расходы компании могут превышать сумму причиненного ущерба на порядок. Исходя из этого, компании неохотно обращаются в правоохранительные органы и работают со следствием. Дешевле спустить все на тормозах. Конечно, уголовное наказание виновных может быть делом принципа. В этом случае вопрос экономической целесообразности уходит на дальний план.
Есть и другие способы реагирования. Например, провести собственное расследование и предпринять попытки возместить сумму ущерба с виновных лиц в досудебном порядке. Эта задача вполне реализуема. В частности, потребовать возмещения ущерба можно в рамках переговоров с виновными сотрудниками.
Конечно, здесь есть свои нюансы. Люди, которые проводят мошеннические операции, готовятся к ним загодя, анализируют вероятность, что их вычислят, а также заранее оценивают перспективы судебного разбирательства.
Поэтому представителям служб безопасности и руководству нужно быть подготовленными к общению с недобросовестным сотрудником.
Во-первых, нужно четко понимать всю схему инцидента. Во-вторых, важно оценить место сотрудника в этой схеме: понять, что именно нарушил сотрудник (если нарушение было). В-третьих, необходимо провести корректное расследование инцидента.
С последним пунктом есть сложности. Практика показывает, что проведение внутреннего расследования и собранные доказательства не всегда устраивают суд. Даже если все доказательства собраны корректно, по таким делам суды часто отказывают в исках. У суда есть весомые основания не доверять результатам работы комиссии, состоящей из сотрудников компании. Также есть основания не доверять сведениям из ERP-систем, на которые будет опираться комиссия при проведении внутреннего расследования.
Рабочим вариантом будет привлечение третьей стороны на самом раннем этапе.
У суда нет оснований не доверять мнению стороннего эксперта, который может быть привлечен компанией для проведения предварительного расследования инцидента. Он может подтвердить или опровергнуть для руководителя организации обстоятельства инцидента, описать и задокументировать, еще до проведения внутреннего расследования, записи ERP-системы. Все это оформляется в виде отчета, который в дальнейшем может быть использован для проведения внутреннего расследования или в беседе с сотрудником. К этой работе также можно привлечь нотариуса.
Если предварительное расследование инцидента проведено корректно, то, как показывает практика, когда вина подтверждается, 4 из 5 сотрудников идут на мировое соглашение и возмещают сумму ущерба в полном объеме. Это происходит даже без проведения внутреннего расследования.
Предварительное расследование инцидента информационной безопасности проходит в два этапа:
- Сбор и документирование свидетельств.
- Подготовка заключения по событию информационной безопасности.
Для корректного сбора значимых свидетельств необходимо соблюсти целый ряд процедур. Например, нужно заранее определить внутреннего заказчика экспертизы, определить цели и задачи и т. д.
Что может содержать заключение по событию информационной безопасности?
Предварительный перечень разделов выглядит следующим образом:
- Время, место, основание и реквизиты исследования
- Сведения об эксперте
- Используемые документы
- Описание доступа в информационные системы
- Последовательность и методика исследования
- Содержание логов и их интерпретация
- Выводы, включая ответы на вопросы
- Оценка перспектив судебного разбирательства
- Рекомендации по дальнейшим действиям
Получив результаты такого исследования, компания может проводить внутреннее расследование, а служба безопасности — работать с провинившимися сотрудниками.
В итоге компания имеет возможность не доводить дело до суда и решить вопрос в досудебном порядке. Либо получить дополнительные доказательства еще до проведения внутреннего расследования, что существенно повышает шансы позитивного разрешения ситуации в суде.
