В июле 2017 г. Федеральный суд по трудовым спорам Германии опубликовал судебный вердикт, интересный в плане легального практического использования специфических программных продуктов, отслеживающих действия сотрудников через кейлоггер и снятие снимков экрана.
Суд постановил, что использование программного кейлоггера для скрытого наблюдения и контроля недопустимо в соответствии с законом и нарушает право заявителя на информационное самоопределение, которое гарантируется как часть общего права на неприкосновенность частной жизни при том, что работодатель не имел никаких обоснованных подозрений в совершении серьезных нарушений обязанностей сотрудником.
Федеральный суд по трудовым спорам Германии постановил, что информация, собранная работодателем с помощью кейлоггеров и других программ аналогичного характера, не может использоваться в целях увольнения сотрудника, поскольку такое наблюдение нарушает личные права работников.
«Герой» этого дела, уволенный сотрудник, работал веб-разработчиком в медиаагентстве в Северном Рейне-Вестфалии с 2011 года. Его работодатель письменно уведомил своих сотрудников в 2015 году о том, что использование корпоративной техники для личных целей запрещено, а интернет и использование компьютеров компании будут отслеживаться. Для этого агентство установило на компьютерах сотрудников специализированную программу для отслеживания всех действий, производимых сотрудниками компании на клавиатуре и регулярного снятия скриншотов экранов. Менее чем через месяц этот сотрудник был вызван руководством, получил «обвинения» в работе на другую компанию в рабочее время и был уволен в тот же день.
Однако уволенный сотрудник не сдался и подал на работодателя в суд. В иске он утверждал, что занимался разработкой компьютерной игры исключительно во время перерывов в работе. Кроме того, он заявил о незаконности использования информации, собранной с помощью кейлоггера, в качестве основания для его увольнения.
Федеральный суд по трудовым спорам согласился с этим аргументом, заявив в постановлении, что программное обеспечение такого рода, как кейлоггеры, является незаконным способом контроля над сотрудниками. Судьи добавили, что использование такого программного обеспечения может быть законным только в случае, если у работодателя есть предварительное подозрение в уголовном преступлении или серьезном нарушении служебных обязанностей.
Попросту говоря, желание просто следить за своими сотрудниками таким примитивным способом, как непрерывный мониторинг рабочей активности, не является достаточным для законного применения. Более того, практика непрерывного мониторинга даже под прикрытием таких аргументов, как желание тотально контролировать использование корпоративной техники и каналов связи, выявлять неэффективных сотрудников и контролировать производительность труда, опираясь на анализ использования программ и запись снимков экранов — на самом деле не имеет ничего общего с задачей обеспечения информационной безопасности, если говорить о защите организации от утечки корпоративных данных. Но вот в силу отсутствия технического различия личного и служебного использования компьютеров, каналов передачи данных и собственно данных — такие продукты действительно могут нарушать личные права граждан, будучи неспособными отделять личное от служебного в принципе. Для выявления правонарушений с помощью такого программного обеспечения обязательно требуется участие человека — администратора или сотрудника службы безопасности, что автоматически означает получение ими допуска к сведениям о личной жизни сотрудников и нарушение их прав.
Если обратить теперь взгляд на российский рынок программного обеспечения, то у нас таких продуктов довольно много. Повсеместно внедряются программные кейлоггеры и средства снятия скриншотов экранов, и что особенно печально — они подаются потребителю под соусом «DLP». Будем откровенны: подобные решения не способны останавливать утечки информации, разве что за счет страха контролируемых сотрудников.
При этом, как ни удивительно, аналогичный по сути подход реализован и в продуктах, позиционируемых как DLP. Фокус в развитии решений, по идее своей предназначенных для защиты информации от несанкционированной утечки, делается на чем угодно, но не на предотвращении утечки, а на пассивном перехвате почты на уровне сервера (в лучшем случае предлагается карантин), сниффинге трафика, анализе связей и построении различных отчетов — то есть по сути речь идет об использовании психологической «защиты» вместо технических мер предотвращения утечки. Не удивительно, что попытки продвижения многих российских DLP-продуктов на европейских рынках натыкаются на значительные сложности, и руководителям таких вендоров приходится пояснять, что, мол, «мы пытались объяснить, что DLP-системы следят не за сотрудниками, а за перемещением информации. Но они не понимали…».
Здесь нет ничего удивительного. На развитых рынках действительно лидируют продукты, обеспечивающие реальную информационную безопасность и не нарушающие права сотрудников, а технологии пассивного мониторинга, и в особенности посредством записи нажатий клавиатуры и снимков экрана, используются как вспомогательные в целях проведения расследований инцидентов.
Стоит отметить, что современным средствам предотвращения утечек информации (DLP) нет необходимости использовать подобные «грубые» технологии, характерные скорее для вредоносных программ — если, конечно, это по сути единственный или ключевой инструментарий такого «решения». Настоящие DLP-решения, которые борются с утечками, а не слепо фиксируют события как возможные инциденты для последующего их разбора, обладают полным набором средств контентной и контекстной фильтрации. При корректном задании DLP-политик возможен автоматический контроль параметров окружения и содержимого файлов и данных, что дает службам ИБ возможность останавливать нежелательную передачу данных непосредственно в сам момент передачи этих данных.
Кроме того, решения, которые действительно относятся к классу DLP, способны функционировать без участия человека, а значит, анализируемая решением информация не станет достоянием посторонних глаз, включая даже сотрудников службы безопасности. Решение о запрете или разрешении передачи информации, а также анализ содержимого передаваемых данных производится DLP-системой на компьютере сотрудника в полностью автоматическом режиме, на основании заранее предопределенных политик, где аналитический «прицел» контентных фильтров установлен на корпоративную информацию. Как следствие, использование таких DLP-решений принципиально не может нарушать права сотрудников на личную и семейную тайну. И такой подход, между прочим, более чем работает на западных рынках.
Среди представленных на мировом рынке одним из лучших и единственным российским решением класса Endpoint DLP, обладающим полным набором функций, является DeviceLock DLP. Благодаря использованию DeviceLock DLP предотвращаются хищения информации внутренними нарушителями через съемные накопители, диски и другие подключаемые внешние устройства, а также канал печати, электронную почту, мессенджеры, файлообменные сервисы и т. д. Кроме того, поддержка DeviceLock DLP событийного протоколирования и теневого копирования обеспечивает юридическую документируемость и доказательность попыток доступа и фактов копирования конкретных данных. В будущем году разработчик планирует предложить рынку новую версию, в которую будут включены и технологии избирательного мониторинга деятельности сотрудников — поскольку будучи частью полноценных DLP-решений, такие технологии могут послужить качественной доказательной базой в последующих расследованиях уже случившихся инцидентов безопасности.
